【正文】 考慮到廣域網(wǎng)接入用戶和安全訪問VPN的需求，需要下列網(wǎng)絡設備：硬件類型功能數(shù)量Citrix Access Gateway 5500安全接入網(wǎng)關、ICA代理1建設桌面虛擬化云平臺需要Citrix及其他廠商的軟件產(chǎn)品支持，部署系統(tǒng)涉及到的Citrix軟件許可如下：Citrix軟件及授權(quán) 版本 單位 說明數(shù)量Citrix XenDesktop企業(yè)版每用戶或每設備Citrix虛擬桌面許可,已經(jīng)包含了XenAPP企業(yè)版其中已包含了虛擬桌面構(gòu)架中所需要的虛擬服務器和虛擬應用許可320此外，系統(tǒng)的構(gòu)建需要用到的其它第三方軟件及許可：第三方軟件及授權(quán)*版本單位 說明數(shù)量Microsoft Windows Server 2008企業(yè)版每服務器 操作系統(tǒng)，含四個虛擬化操作系統(tǒng)使用許可25/4+2=8Microsoft Windows Server CAL 每用戶/設備 Windows Server客戶端訪問許可320Microsoft Windows Server RDS CAL每用戶/設備 遠程桌面服務客戶端訪問許可300Microsoft SQL Server 2005/2008標準版每CPU 數(shù)據(jù)庫2*注：第三方軟件及授權(quán)可利用已有的許可或向相應的廠商采購，具體需求數(shù)量以第三方廠商的許可條款為準，本文檔中的數(shù)量僅供參考。l 延長桌面PC使用壽命，降低桌面更新的采購成本，維護桌面的費用大大降低。 用戶的個性化需求。 位置較為固定； 主要以二維圖形設計為主，部分為三維應用，對三維渲染要求不高xx集團終端改造建議采用循序漸進的方式進行。在IT建設方面也有相應的嚴格要求，尤其是安全類產(chǎn)品需要獲得國家保密局的資質(zhì)。 同樣，SmartAuditor 也通過加快問題標識和解決時間在技術(shù)支持方面予以幫助。項目報價 xx集團桌面虛擬化項目所牽涉到的項目投入可以基本分為以下幾個方面：另一方面，也需從運營的角度，通過合理的監(jiān)控、維護、備份策略，保障系統(tǒng)健康有序地運行。SmartAuditor 使用靈活的策略自動觸發(fā) XenApp 會話記錄。本節(jié)中根據(jù)不同場景Citrix推薦的方案是根據(jù)歷史積累經(jīng)驗的總結(jié)，在實際環(huán)境中必須通過概念驗證（POC）獲得確認后方可確定方案。當然由于移動環(huán)境，網(wǎng)絡條件參差不齊，移動辦公平臺必須可以適應較大的網(wǎng)絡延時、較低的帶寬連接和偶爾發(fā)生的網(wǎng)絡丟包。xx集團普通設計部門應用場景中，突出的特點是：下面中將分析兩種xx集團目前的重要使用場景，并提出Citrix推薦和備選的解決方案。l 虛擬PC需要的補丁，也可以快速安裝，而不用去訪問各個工作區(qū)域。物理服務器規(guī)劃考慮性能問題，下列服務器角色將使用物理服務器部署，可考慮與已有系統(tǒng)共享部署，規(guī)劃如下：服務器硬件角色數(shù)量虛擬服務器數(shù)量CＰＵ內(nèi)存分配CPU：2x8核內(nèi)存: 64G網(wǎng)卡: 6x1G 硬盤: 2x146G基礎架構(gòu)XenServer1+1=2DC域控制器24vCpu4GDDC２4vCpu4GXenApp ZDC24vCpu4GWebInterface24vCpu4GXenLicense12vCpu2GDB24vCpu4GEdgeSight12vCpu4GSmartAuditor12vCpu4GCPU：2x8 核內(nèi)存: 64G網(wǎng)卡: 6x1G 硬盤: 2x146G共享桌面XenServer3+1=4XenApp154vCpu10GCPU：2x8 核內(nèi)存: 64G網(wǎng)卡: 6x1G 硬盤: 2x146GVDI桌面XenServer1+1=2WinXP/7202vCpu2GCPU：2x6 core內(nèi)存: ８G網(wǎng)卡: 6x1G 硬盤: 2x146G文件服務器WindowsServer20082文件服務器規(guī)劃用戶所需存儲空間為20GB*320=；存儲規(guī)劃根據(jù)虛擬機和物理機的容量規(guī)劃，后臺的存儲設備可用容量需大于(1280GB+600GB+)*=10TB。未來可針對應用安裝配置模式的優(yōu)化及用戶使用場景進行進一步詳細測算和調(diào)整。 快照（Snapshot）可以快速創(chuàng)建克隆，基本不發(fā)生存儲開銷。HBA是性能最優(yōu)的解決方案，如果出于成本考慮采用iSCSI，需要保證足夠的IOPS以免磁盤吞吐成為瓶頸 建議為每個VDI虛擬桌面分配20G磁盤空間用戶操作系統(tǒng)，每臺XenAPP虛擬服務器分配50G磁盤空間，同時在文件服務器上規(guī)劃20G左右放置個人數(shù)據(jù)文件。 桌面虛擬化環(huán)境中用戶的管理和物理機環(huán)境沒有太大區(qū)別，建議配合活動目錄的組策略對用戶的權(quán)限進行仔細的控制。從CPU和內(nèi)存統(tǒng)一的考慮，推薦使用雙路8核，64G內(nèi)存的配置，每服務器支持約30用戶。硬件部署配置方案依據(jù)以往Citrix系統(tǒng)實施經(jīng)驗來進行估算，可依據(jù)實際的情況進行調(diào)整。 如上圖所示，xx集團桌面項目中的支撐服務器分為三個集群，分別為基礎架構(gòu)服務器集群、托管共享桌面服務器集群、VDI桌面承載服務器集群。xx集團桌面云方案詳細設計在平臺的構(gòu)建中，可根據(jù)需求選擇通過服務器虛擬化資源池來構(gòu)建運算資源。ICA具備以下特征：? 色彩：ICA協(xié)議支持真彩(24位色)。如果心跳檢測失敗，虛擬桌面服務將重新與另一個可用的Desktop Delivery Controller進行注冊。XML服務驗證用戶身份，提供可用的虛擬桌面列表，并生成相應的信息讓終端能夠連接到虛擬桌面；架構(gòu)圖如下：圖：xx集團桌面虛擬化整體架構(gòu)示意圖本方案中將使用下列組件共同協(xié)作將動態(tài)的虛擬桌面環(huán)境交付給用戶, 下面將詳細描述整體架構(gòu)中的各個組成模塊。Citrix桌面云平臺可根據(jù)用戶的不同場景，通過應用虛擬化和桌面虛擬化的組合實現(xiàn)對用戶環(huán)境的交付。 功能模塊化可以為未來的發(fā)展提供基礎，當數(shù)量或應用等發(fā)生變化，功能模塊化可以很容易地適應，而無需重新設計或重新設計整個基礎設施 。 服務可用性即沒有直接影響整體架構(gòu)問題的單點故障。 方案的可擴展性強，在業(yè)務規(guī)模增大時，可快速擴容部署，總體造價合理； 可以迅速地部署最新的操作系統(tǒng)和應用軟件；項目建成后，應提供安全的桌面工作環(huán)境，同時無需對現(xiàn)有的前后臺應用作大規(guī)模的改造。 事前通告被監(jiān)控的用戶在使用應用的時候，就會被告知，所有行為將會被錄像。 通過網(wǎng)絡設置，虛擬桌面與文件服務器（網(wǎng)絡存儲）可以直接通訊，但是用戶的自有設備與文件服務器之間通過防火墻等網(wǎng)絡設備進行隔離，只有虛擬桌面所需的端口可以被允許訪問，用戶無法直接通過自有設備直接訪問文件服務器獲得這部分數(shù)據(jù)。 可以利用服務器的資源動態(tài)進行調(diào)整，滿足用戶的需求，而不需要采購新的PC滿足需求使用虛擬桌面解決方案可以很好地解決上述問題： 目前的的軟件對藍牙和紅外設備的管理能力有限6. 通過虛擬桌面調(diào)度服務器上的策略設置，可以禁止終端的磁盤，USB等設備以及剪貼板，所有用戶使用的文檔無法保存在本地桌面，而都會駐留在數(shù)據(jù)中心，從機制上保證數(shù)據(jù)的安全。什么樣的設備和什么樣的人可以接入，需要通過安全、智能的網(wǎng)絡接入手段來根據(jù)企業(yè)的管理規(guī)范和安全策略進行自動的判定，將適當?shù)臋?quán)限和應用交付給遠程接入的用戶，在保證業(yè)務安全的同時，讓網(wǎng)絡更加安全，可靠。當大量的虛擬桌面產(chǎn)生，鏡像管理是一個非常關鍵的問題，好的鏡像管理將會大大減少IT管理人員的管理工作量和復雜度。 虛擬應用對于絕大多開發(fā)需要的應用，往往都不需要獨立占有操作系統(tǒng)的資源，而很多業(yè)務工作（不僅僅是開發(fā)）都可以直接使用虛擬應用的方式。因為只有這樣，當大量用戶同時使用桌面的時候，內(nèi)部網(wǎng)絡才不會出現(xiàn)擁堵，同時能夠很好地支持廣域網(wǎng)，甚至互聯(lián)網(wǎng)的訪問，讓開發(fā)人員可以通過各種網(wǎng)絡接入使用虛擬桌面。Citrix使用自有的ICA協(xié)議處理本地操作與遠程桌面和應用的交互。虛擬應用是基于用戶需求實現(xiàn)用戶桌面?zhèn)€性化的第一部分。用戶可以通過價格更為便宜，管理成本更低，更新周期更長的終端設備（瘦客戶端，手機）遠程的使用這些操作系統(tǒng)開展日常的業(yè)務工作，而管理工作都在后臺對這些虛擬操作系統(tǒng)進行管理，從而降低整個桌面的采購成本與管理成本。 應用管理更簡單，管理員在服務器進行統(tǒng)一一次管理，就可以將最新更新交付給所有用戶；目前桌面虛擬化技術(shù)融合了應用虛擬化技術(shù)，在虛擬桌面模式下，每個人獨享的遠程操作系統(tǒng)，并利用內(nèi)含的應用虛擬化技術(shù)，實現(xiàn)更靈活，高效的管理和應用。目前，xx集團公司正處于IT系統(tǒng)架構(gòu)逐步豐富和完善的建設過程中，隨著各業(yè)務系統(tǒng)的不斷建設和集中，IT系統(tǒng)架構(gòu)也越來越趨于復雜，分散的用戶訪問和集中的辦公及業(yè)務應用，要求系統(tǒng)管理，特別是面對最終用戶的應用訪問環(huán)境和用戶桌面環(huán)境的管理，能夠在便捷、高效的基礎上提供更加集中和安全的訪問模式，便于IT部門的運維支持，降低安全和穩(wěn)定性風險，減少IT管理成本，因此如何實現(xiàn)高效、安全的客戶端安全管理，是當前擺在面前的重要議題。如果用戶無法使用他們的桌面或應用程序，公司就無法高效率運作。分析這些問題產(chǎn)生的原因，可以發(fā)現(xiàn)根源在于客戶端和業(yè)務系統(tǒng)的維護，而針對終端操作系統(tǒng)和業(yè)務系統(tǒng)的安裝、維護、升級、防病毒、防信息泄露等工作，反過來會影響到生產(chǎn)，影響到業(yè)務的連續(xù)性。比如位于終端的企業(yè)重要數(shù)據(jù)很容易通過各種途徑泄露，終端用戶設備的丟失會引起的數(shù)據(jù)丟失等等 人員成本：針對分散的終端PC機，IT人員需要經(jīng)常進行操作系統(tǒng)、應用系統(tǒng)、硬件等維護工作；IT人員日復一日陷入低效率的重復手動勞動中，無形中增加了IT投入的人力成本。傳統(tǒng)的IT建設更加注重應用后臺的數(shù)據(jù)集中和運行部署集中。解決方案虛擬化技術(shù)正在成為被廣泛使用的技術(shù)，幫助企業(yè)以更低成本，實現(xiàn)更靈活、穩(wěn)定和高效的IT系統(tǒng)。 提高網(wǎng)絡安全，由于只使用需要開放有限幾個端口，所以可以實現(xiàn)網(wǎng)絡的邏輯隔離和嚴格控制，在不影響應用的前提下，全面提升網(wǎng)絡安全性；　應用虛擬化則是將應用統(tǒng)一部署在服務器上，而用戶終端不需要安裝每一種應用的客戶端軟件，即可以通過使用遠程訪問協(xié)議，直接使用這些應用，從而將用戶使用與管理員管理分開，帶來更大的收益：這種技術(shù)實現(xiàn)了操作系統(tǒng)與應用軟件運行在服務器或后臺工作站上，但是操作（輸入輸出）在客戶端機器上，所有的輸入如鼠標鍵盤的操作被同步到服務器上執(zhí)行，所有的輸出如屏幕的刷新也被同步到客戶端。3. 鏡像管理：對于大量用戶的虛擬桌面管理，良好的鏡像管理可以很好地解決管理面臨的各種問題。利用用戶個性化，用戶設置會被保存起來，并且無論用戶接入哪個桌面都可使用保存的個性化設置，實現(xiàn)了一致的用戶體驗。ICA協(xié)議如下圖所示：圖：ICA協(xié)議邏輯示意圖虛擬化的桌面與應用實現(xiàn)了操作系統(tǒng)與應用軟件運行在服務器或后臺工作站上，但是操作（輸入輸出）在客戶端機器上，所有的輸入如鼠標鍵盤的操作被ICA協(xié)議同步到服務器上執(zhí)行，所有的輸出如屏幕的刷新也被ICA協(xié)議同步到客戶端。 實現(xiàn)智能的，高效的本地設備重定向雖然開發(fā)需要通過策略將客戶端設備的各種存儲設備禁止訪問，但是對于某些特定場景，和特定設備，需要能實現(xiàn)和本地一樣的即插即用的效果，例如Smart Card（智能卡），USB外設（攝像頭等），打印機等，多個顯示器設備。但能夠最大程度利用服務器計算能力。而這些用戶的差異，例如使用應用的差異，配置文件（桌面圖片，收藏夾等），以及數(shù)據(jù)保存都可以通過虛擬應用、配置管理和網(wǎng)絡文件夾的方式實現(xiàn)。圖：用戶登錄界面截圖2. 虛擬桌面系統(tǒng)調(diào)度服務器提交認證請求到后臺域控制器。8. 所有數(shù)據(jù)的傳輸和共享，只能通過網(wǎng)絡應用操作，對于桌面管理員可以設置用戶不能安裝任何軟件，所有可用應用，全都是由管理員從后臺統(tǒng)一通過虛擬應用技術(shù)發(fā)布給有權(quán)限用戶，并從后臺進行實時錄像監(jiān)控，保證用戶的不合法行為得到追蹤和記錄，保證網(wǎng)絡應用進行數(shù)據(jù)傳輸不會導致機密信息泄露。當前企業(yè)在對人員的管理主要是基于傳統(tǒng)的桌面進行管理，主要采用微軟組策略或者第三方的管理軟件或硬件對終端桌面進行控制，例如： 用戶也可以通過將硬盤PC上拆卸下來，帶走通過其他PC進行拷貝而這些手段實施也存在以下的問題和局限： 利用遠程訪問協(xié)議高效性，以及對數(shù)據(jù)的安全訪問機制，開發(fā)團隊可以通過網(wǎng)絡包括vpn網(wǎng)絡遠程進行開發(fā)，而無需在企業(yè)規(guī)定的開發(fā)場地，占用大量的資源。 已有的投入的桌面由于計算壓力的調(diào)整，可能無法充分發(fā)揮其計算能力辦公人員可以攜帶自己的PC作為日常桌面，擁有對其的完全控制權(quán)，可以隨意安裝程序和系統(tǒng)修改，員工的私人事務、與辦公業(yè)務無關、或可能有關的輔助性工作，都可以在私人桌面上實現(xiàn)，對辦公人員的個人需求進行了“疏導”，滿足了辦公人員的日常使用需求同時，也能很好支持工作和IT管理要求。 實時監(jiān)控管理員可以從后臺對用戶正在進行的操作和工作進行實時的監(jiān)控，一旦發(fā)生任何問題，管理人員可以第一時間發(fā)現(xiàn)問題并采取措施，防止產(chǎn)生任何不良的后果。 桌面和應用全部運行在數(shù)據(jù)中心，保證設計資料、文檔等涉密數(shù)據(jù)的安全性； 提供接近于本地應用的最終客戶體驗、并且最大限度保持原有的用戶使用習慣；（設計的方案必須兼容本期已實施的平臺，即本期實施的內(nèi)容可以無縫的集成到設計的整體方案中，在整體方案實施時不會對本期已實施內(nèi)容造成任何重復投入；設計的方案必須有良好的可擴展性，在今后大規(guī)模用戶擴容時，只需要遵循標準擴容即可）NetScaler174。如下圖所示：圖: 應用虛擬化工作示意圖在基于桌面虛擬化