【正文】 信息安全和管理的風(fēng)險，涉及整體開發(fā) 環(huán)境的安全，成為開發(fā)測試外包環(huán)境建設(shè)中的關(guān)鍵問題。 通過網(wǎng)絡(luò)策略設(shè)置，實現(xiàn)網(wǎng)絡(luò)的隔離訪問，虛擬桌面與源代碼、文件服務(wù)器（網(wǎng)絡(luò)存儲）可以直接通訊，但是開發(fā)人員的自有設(shè)備與文件服務(wù)器之間通過防火墻等網(wǎng)絡(luò)設(shè)XXX桌面虛擬化方案建議書 21 備進(jìn)行隔離，只有虛擬桌面所需的端口可以被允許訪問，開發(fā)人員無法直接通過自有設(shè)備直接訪問文件服務(wù)器獲得這部分?jǐn)?shù)據(jù)。 ? 提供了開發(fā)環(huán)境快速部署能力 可將開發(fā)環(huán)境中的桌面及應(yīng)用軟件進(jìn)行集中管理，可以隨時調(diào)整軟件開發(fā)需要的操作系統(tǒng)環(huán)境及應(yīng)用部署，極大的簡化開發(fā)人員客戶端的開發(fā)環(huán)境配置及部署要求。 ? 許可證服務(wù)器（ License）負(fù)責(zé) Citrix桌面虛擬化的許可證管理和查詢。 XML服務(wù)驗證用戶身份，提供可用的虛擬桌面列表，并生成相應(yīng)的信息讓終端能夠連接到虛擬 桌面； ? 控制器服務(wù)：負(fù)責(zé)虛擬桌面上虛擬桌面服務(wù)的通信。如果心跳檢測失敗，虛擬桌面服務(wù)將重新與另一個可用的 Desktop Delivery Controller 進(jìn)行注冊。 終端設(shè)備 Desktop Receiver（桌面接收器）：安裝在終端上的思杰客戶端，使終端可以采用 Citrix ICA協(xié)議建立與虛擬桌面的連接。 實施桌面虛擬化收益 決策層： ? 保護(hù) XXX核心數(shù)據(jù)的安全，無需復(fù)雜的 IT系統(tǒng)即可實現(xiàn)嚴(yán)格的安全管控； ? 滿足合規(guī)性要求，由于桌面集中管理，任何法律法規(guī)方面導(dǎo)致的系統(tǒng)變更可以快速完成，減少合規(guī)性方面的風(fēng)險； ? 桌面虛擬化改 造符合技術(shù)發(fā)展趨勢，是桌面管理的必經(jīng)之路； ? 集中管理和安全提升意味著成本的降低，桌面虛擬化比傳統(tǒng) PC有著更高的投資回報率； ? 桌面虛擬化改造可以降低 IT運行的總體碳排放量，符合國家的整體能源戰(zhàn)略； IT運維管理部門： ? 有效減少由于用戶桌面故障導(dǎo)致的 XXX業(yè)務(wù)系統(tǒng)中斷； XXX桌面虛擬化方案建議書 25 ? 實現(xiàn)用戶終端網(wǎng)段和 XXX核心 業(yè)務(wù) 服務(wù)器網(wǎng)段之間的邏輯隔離，員工 可以通過 Citrix虛擬桌面訪問 XXX業(yè)務(wù)系統(tǒng)，但是從終端到后臺核心數(shù)據(jù)之間的直接訪問被切斷，減少被掃描攻擊的可能性； ? 可 配合瘦客戶機(jī)（ Thin Client）使用時，可以真正實現(xiàn) 客戶端零管理，病毒、誤操作都不會對系統(tǒng)產(chǎn)生太大影響，瘦客戶機(jī)耗電量只有 20瓦 左右，尤其是在 大規(guī)模終端設(shè)備的場景下，省電效果尤為明顯； ? 桌面虛擬化改造后，集中的虛擬桌面更容易管理，每個 IT人員可以管理的虛擬桌面數(shù)量可以比傳統(tǒng) PC多出十倍以上； ? 桌面虛擬化改造可以延長桌面設(shè)備的使用周期，例如很舊的 PC機(jī)都可以訪問運行在后臺服務(wù)器上的最新桌面操作系統(tǒng)； ? 簡化桌面設(shè)備的更新流程，由于桌面虛擬化改造后桌面操作系統(tǒng)集中運行在后臺服務(wù)器上，只需要簡單更換設(shè)備即可完成更新流程； ? IT人員可以從繁瑣的傳統(tǒng)桌面管理工作中解脫出 來，促進(jìn)業(yè)務(wù)創(chuàng)新； ? 應(yīng)用程序從操作系統(tǒng)中剝離后，整個生命周期管理都能夠?qū)崿F(xiàn)集中化，研發(fā)、測試、部署、配置、更新以及淘汰過程都在數(shù)據(jù)中心操作，非常高效； ? 應(yīng)用程序只需要針對一個標(biāo)準(zhǔn)平臺進(jìn)行開發(fā)測試，在所有常見平臺上都可以借助Citrix進(jìn)行訪問，例如最新的 iPad設(shè)備； ? 因為桌面虛擬化帶來的數(shù)據(jù)集中，可以快速、方便地集中備份 /恢復(fù)用戶數(shù)據(jù)； ? 可以很容易實現(xiàn)移動辦公支持，支持員工在家、出差在外移動辦公接入， 每個用戶設(shè)計 50Kbps左右的帶寬即可，和應(yīng)用數(shù)量無關(guān)； 最終用戶： ? 工作數(shù)據(jù)隨著虛擬桌面集中管理，不 會丟失； ? 虛擬桌面比傳統(tǒng)桌面更加健壯，桌面、應(yīng)用的故障可以大大減少； ? 配合瘦客戶機(jī)使用時，工作環(huán)境更加整潔舒適，噪音小，同時啟動速度更快； ? 在 移動辦公遠(yuǎn)程 VPN訪問時，更加高效，可以提升訪問的速度； ? 可以在任何時間、任何地點，使用任何設(shè)備安全、高效地訪問個人桌面，獲得最大的靈活性； XXX桌面虛擬化方案建議書 26 ? 享受更強(qiáng)大的桌面性能，在虛擬桌面改造后，用戶分享強(qiáng)大的服務(wù)器運算能力 支撐服務(wù)器群集設(shè)計 虛 擬 桌 面 承 載 服 務(wù) 器 集 群基 礎(chǔ) 構(gòu) 架 服 務(wù) 器虛 擬 機(jī) 基 礎(chǔ) 構(gòu) 架 服 務(wù) 器數(shù) 據(jù) 庫 x 2許 可 證服 務(wù) 器桌 面 控 制服 務(wù) 器（ D D C ）x 2W e bI n t e r f a c ex 2X e n A p p虛 擬 應(yīng) 用 服 務(wù) 器x 2虛 擬 桌 面X e n S e r v e r 資 源 池一 個 資 源 池 2 臺 物 理 主 機(jī)6 臺 主 機(jī)X e n S e r v e r 6雙 路 6 核2 G H z 以 上6 4 G 內(nèi) 存6 塊 網(wǎng) 卡每 臺 支 持 3 0 個虛 擬 桌 面P V S服 務(wù) 器x 2虛 擬 應(yīng) 用 集 群X e n S e r v e r 6雙 路 6 核2 G H z 以 上6 4 G 內(nèi) 存6 塊 網(wǎng) 卡每 臺 支 持 1 0 0 個用 戶 并 發(fā) 訪 問2 臺 主 機(jī)用 戶 數(shù) 據(jù) 中 心S t o r a g e2 臺 主 機(jī)A D 域 控 制 器 x 2 圖 ： 桌面虛擬化支撐服務(wù)器群集設(shè)計示意圖 如上圖所示，桌面虛擬化項目中的支 撐服務(wù)器分為三個集群。 當(dāng)然，對于采用不同的虛擬化解決方案時，橫向擴(kuò)展架構(gòu)需 要重新設(shè)計。 建議將所有可以通過應(yīng)用虛擬化處理的業(yè)務(wù)系統(tǒng)全部遷移到應(yīng)用虛擬化服務(wù)器 XenApp上。如果暫時不部署安全網(wǎng)關(guān)設(shè)備，則需要開通 80、 44 1494和 2598等端口。 磁盤容量規(guī)劃 建議為每個虛擬機(jī)分配 20G磁盤空間用戶操作系統(tǒng)，同時在文件服務(wù)器上規(guī)劃 20G左右放置個人數(shù)據(jù)文件。 例如，為某用戶分配了 100GB，而其中只有 20GB目前得到利用 ， 剩余的 80GB一般得不到利用，但利用精細(xì)化配置，這 80GB可以用于其他目的。 快照 與基線卷 /LUN共享相同的基礎(chǔ)存儲塊。 2臺低配服務(wù)器用于文件服務(wù)器。 硬件列表 硬件類型 功能 數(shù)量 PC 服務(wù)器（兩路六核 64GB內(nèi)存，兩塊 146G 硬盤， 6 塊千兆網(wǎng)卡） Citrix XenDesktop 基礎(chǔ)架構(gòu)服務(wù)器及桌面承載服務(wù)器和 Citrix XenApp 虛擬應(yīng)用承載服務(wù)器 10 PC 服務(wù)器（兩路四核 8GB 內(nèi)存，兩塊 146G 硬盤， 2 塊千兆網(wǎng)卡） 文件服務(wù)器（文件服務(wù)器連接后臺存儲） 2 存儲設(shè)備 支持 iScsi 或 NFS 的存儲設(shè)備若干，用于存放虛擬機(jī)，存儲容量初步規(guī)劃為 6TB 8TB 安全接入網(wǎng)關(guān)。虛 擬桌面資源池中的主機(jī)每臺支撐 30個虛擬桌面， 150個虛擬桌面 考慮 N+1冗余 共需要 6臺；虛擬應(yīng)用中的主機(jī)，每臺支撐 160個用戶， 考慮到 N+1冗余 共需要 2臺服務(wù)器； 存儲方面， 每個用戶虛擬桌面計劃分配 20G空間， 每個用戶計劃分配 20G空間 用作個人存儲 ，考慮到增加 20%的余量，建議配置 8TB 共享存儲。 借助文件級支持，可以快速創(chuàng)建基本虛擬磁盤鏡像拷貝，需要的額外存儲空間很少，只需要保存不同虛擬磁盤版本之間的實際變化。 例如，對于 20GB的虛擬磁盤鏡像，如果保存兩個不同的版本，那么就需要占用 40GB的空間 ， 然而利用重復(fù)數(shù)據(jù)消除功能，重復(fù)數(shù)據(jù)只需保存一次 ， 以后的每個實例只需參考先前保存的拷貝，這樣就可以將需要的存儲空間從 40GB 減少到 20GB多一點 ， 因為 只保存 了 兩個版本之間的不同之處。 XXX桌面虛擬化方案建議書 29 后臺存儲設(shè)備選型時盡量挑選帶有 Deduplicate、 ThinProvisioning 和 SnapShot等功能專門為虛擬桌面設(shè)計的型號，這樣有利于減少重復(fù)數(shù)據(jù)和提升虛擬機(jī)創(chuàng)建速度。 存儲設(shè)計 XenServer支持 HBA或 iSCSI協(xié)議連接后臺共享存儲。雖然是一對一的虛擬桌面，并不建議將操作系統(tǒng)的管理員權(quán)限開放給最終用戶，而只是將日常工作所需要的權(quán)限交給用戶，這樣的管理手段可以減少虛擬桌面本身的故障發(fā)生幾率。 另外，運行在虛擬化環(huán)境的 Windows XP操作系統(tǒng)需要特別的優(yōu)化。 虛擬應(yīng)用服務(wù)器集群 虛擬承載服務(wù)器集群全部運行虛擬應(yīng)用或共享式桌面， 假定每個用戶訪問需要 400MB內(nèi)存， 每臺兩路六核 64GB內(nèi)存的物理服務(wù)器支撐 160個左右用戶并發(fā)訪問虛擬應(yīng)用，考慮到該服務(wù)器集群主要用于災(zāi)備，建議需要 2臺物理主機(jī)。其技術(shù)核心是 HDX ICA協(xié)議， HDX ICA協(xié)議連接了運行在服務(wù)器上的應(yīng)用進(jìn)程或者虛擬桌面和遠(yuǎn)端客戶端設(shè)備，通過 HDX ICA的 32個虛擬通道（包括鼠標(biāo)、鍵盤、圖像、聲音、端口、打印等等），運行在中心服務(wù)器上的應(yīng)用進(jìn)程的輸入輸出數(shù)據(jù)重新定向到遠(yuǎn)端客戶端機(jī)器的輸入輸出設(shè)備上，因此雖然桌面和應(yīng)用客戶端軟件并沒有運行在客戶端設(shè)備上，但是用戶使用起來和在客戶端安裝運行 客戶端軟件相比，沒有感覺任何操作上的改變。 Application Receiver還負(fù)責(zé)向 XenApp發(fā)送應(yīng)用程序啟動的請求。這包括流向和來自數(shù)據(jù)采集器的流量。 ? 應(yīng)用虛擬化服務(wù)器（ XenApp）負(fù)責(zé)向虛擬桌面推送應(yīng)用，應(yīng)用虛擬化的功能描述可以參考 。 Web Interface 網(wǎng)絡(luò)入口服務(wù)器 Web Interface（ WI）負(fù)責(zé)顯示基于 Web的界面，當(dāng)用戶順利通過身份驗證后可以 看到自己可用的虛擬桌面。 通過網(wǎng)絡(luò)防火墻開放遠(yuǎn)程訪問協(xié)議所需的少數(shù)的幾個端口，可提供“標(biāo)準(zhǔn)化開發(fā)桌面”和“非標(biāo)準(zhǔn)化自有桌面”的結(jié)合，實現(xiàn)無縫地使用兩個桌面環(huán)境，符合安全和管理要求。 解決方案整體邏輯架構(gòu)如下圖所示： 方案收益 ? 加強(qiáng)了源代碼及核心業(yè)務(wù)數(shù)據(jù)的安全保護(hù) 在整個開發(fā)過程中，開發(fā)人員須集中訪問服務(wù)器上的虛擬操作系統(tǒng)以及虛擬應(yīng)用構(gòu)成的虛擬桌面，僅能通過虛擬桌面訪問開發(fā)過程中所涉及的數(shù)據(jù)。此外，由于開發(fā)測試環(huán)境的復(fù)雜性和外包人員管理的流動性，常常需要快速提供標(biāo)準(zhǔn)的環(huán)境以供開發(fā)測試人員或外包人員使用。 外包開發(fā) 應(yīng)對業(yè)務(wù)不斷變化的挑戰(zhàn)， IDC自身的 IT系統(tǒng)需要適應(yīng)快速變化的環(huán)境，自身都需要大量的開發(fā)測試和運維人員，甚至需要為外來人員提供辦公環(huán)境。 解決方案整體邏輯架構(gòu)如下圖所示： 方案收益 ? 提高了 IT運維應(yīng)急處理能力 ? 通過 Citrix虛擬化技術(shù)，結(jié)合 Citrix Access Gateway 安全訪問方案，可以實現(xiàn)安全的移動和外網(wǎng)應(yīng)急訪問，這對于應(yīng)對突發(fā)事件的應(yīng)急安全需求，有著重大的意義。 ? 極大的擴(kuò)展了業(yè)務(wù)遠(yuǎn)程訪問的能力，可以使用各種智能設(shè)備移動訪問辦公系統(tǒng)。 ? 簡化了客戶端的管理和維護(hù)。所不同的是內(nèi)網(wǎng)用戶通過局域網(wǎng)訪問，而遠(yuǎn)程用戶是通過專線 或者互聯(lián)網(wǎng) 訪問。每次應(yīng)用的修改及升級，都會涉及到每個遠(yuǎn)程客戶端的更新，這就需要企業(yè)花費人力、物力、財力方可完成。從服務(wù)器網(wǎng)段到終端網(wǎng)段所有的通訊都被安全接入網(wǎng)關(guān)設(shè)備封裝在加密通道中。 ? 當(dāng)桌面硬件被其他“瘦設(shè)備”代替時，它可以通過禁止使用如 USB等可移動存儲設(shè)備，降低使用者偷取信息和導(dǎo)入計算機(jī)病毒的可能。同時 Synchronizer 通過集中地策略管理，可以限制被管理的 OS鏡像對外設(shè)和網(wǎng)絡(luò)的訪問、加密本地存儲的數(shù)據(jù)、甚至在設(shè)備丟失后進(jìn)行遠(yuǎn)程擦除，從而保證客戶端設(shè)備的安全性 。因為虛擬應(yīng)用能夠脫機(jī)工作，因此這種模式也是移動用戶的理想選擇 。 對于應(yīng)用數(shù)量較少，或者目前只著眼解決應(yīng)用交付的用戶，比較適合該交付方式。國內(nèi)不少企業(yè)的設(shè)計部門都在使用。這種方法很簡便而且成本低廉，能夠利用現(xiàn)有 PC 資源并最大限度降低數(shù)據(jù)中心開銷，幫助客戶實施桌面虛擬化。 Windows桌面操作系統(tǒng)運行在機(jī)房里的刀片 PC上，界面通過 Citrix HDX 3D協(xié)議傳輸?shù)角岸嗽O(shè)備。保存狀態(tài)是指用戶和后臺虛擬機(jī)一對一綁定，用戶對虛擬桌面的修改會保存 在虛擬機(jī)中；無狀態(tài)是指從一個磁盤鏡像中啟動多個用戶的虛擬機(jī)，這些虛擬機(jī)保持只讀狀態(tài)，用戶對虛擬桌面的任何修改會在注銷后消失。這種方案結(jié)合了集中管理和全面用戶個性化定制的優(yōu)點，每臺服務(wù)器一般能支持 60到 70個桌面。 后臺基于 Windows Server 20xx 或 20xx服務(wù)器，使用 Citrix XenApp 發(fā)布服務(wù)器的桌面給 前端 用戶同時訪問，配置嚴(yán)格的組策略保護(hù)共享的服務(wù)器工作環(huán)境。利用 FlexCast， IT部門能夠交付各種虛擬桌面 – 每種桌面都經(jīng)過專門定制，可滿足每位用戶的性能、安全性和靈活性要求。 XXX桌面虛擬化方案建議書 11 FlexCast?桌面 虛擬化 交付技術(shù) 思杰是桌面虛擬化解決方案領(lǐng)域中的領(lǐng)導(dǎo)者。這一獨特的功能組合幫助企業(yè)最大程度地提高了移動辦公人員的工作效率。 安全接入網(wǎng)關(guān) Citrix174。 XenApp實現(xiàn)了對應(yīng)用、文件、打印機(jī)和數(shù)據(jù)的集中化部署和管理，允許企業(yè)在數(shù)據(jù)中心管理用戶環(huán)境的關(guān)鍵特征。然而，經(jīng)常出現(xiàn)的同一生命周期管理問題依然存在 —— IT部 門仍需對每個虛擬桌面鏡像及其所安裝的應(yīng)用程序和用戶設(shè)