【導(dǎo)讀】深信服科技有限公司。XXXX桌面云解決方案建議書(shū)文檔密級(jí)：公開(kāi)。深信服科技版權(quán)所有ii

　　

【正文】 用戶體驗(yàn) 高清視頻體驗(yàn) 深信服桌面云方案允許在虛擬桌面中查看或編輯圖像和多媒體信息，且可以支持1980*1200 分辨率和 32 位彩色桌面顯示。另外，傳統(tǒng)桌面虛擬化方案在播放高清視頻時(shí)主要采用服務(wù)器解碼和播放，然后將變化中的圖像按幀傳輸給前端顯示設(shè)備，但這種方式對(duì)服務(wù)器性能要求高，且非常占用帶寬資源，往往效果不好。而深信服提出音視頻重定向技術(shù)，將 1080P 高清視頻流在服務(wù)器上進(jìn)行編碼和壓縮，然后直接傳輸?shù)角岸嗽O(shè) 備，利用基于高清視頻處理器和本地解碼技術(shù)流暢地播放高清視頻，給客戶帶來(lái)極佳的視頻觀看體驗(yàn)。 高效 SRAP 協(xié)議 云桌面需要通過(guò)網(wǎng)絡(luò)交付給前端設(shè)備，其中最重要的組成部分就是桌面交付協(xié)議。SANGFOR SRAP 協(xié)議發(fā)展于 2020 年，是專門為虛擬桌面或遠(yuǎn)程應(yīng)用程序的高效交付而設(shè)計(jì)的，能夠滿足低帶寬的傳輸需求，同時(shí)具有最佳的外設(shè)兼容性。 SRAP 協(xié)議主要 通過(guò)高效流式壓縮算法、有損壓縮、圖像緩存匹配、動(dòng)態(tài)內(nèi)容識(shí)別過(guò)濾、文字圖像識(shí)別智能壓縮等優(yōu)化技術(shù)提升 6 倍以上的傳輸效率。最低帶寬要求僅需 20~30K/s，在丟包和延遲 都比較高的網(wǎng)絡(luò)環(huán)境下依然能夠正常使用，最大程度保障用戶桌面體驗(yàn)。 單點(diǎn)登錄技術(shù) 客戶有可能使用多個(gè)虛擬應(yīng)用程序或 Windows 虛擬桌面，而每套應(yīng)用系統(tǒng)或桌面系統(tǒng)都會(huì)有單獨(dú)的身份認(rèn)證措施，一般情況下是需要多次認(rèn)證才能正常辦公，這種工作非常繁瑣且容易出錯(cuò)，影響工作效率。為了提升終端用戶的滿意度，深信服引入單點(diǎn)登錄技術(shù)，在通過(guò) VDC 嚴(yán)格認(rèn)證之后，無(wú)需再次進(jìn)行虛擬應(yīng)用和虛擬桌面的認(rèn)證，采用“一鍵化”模式開(kāi)啟桌面和應(yīng)用的操作界面。目前 支持 BS和 CS類型的遠(yuǎn)程應(yīng)用和 Windows虛擬桌面的單點(diǎn)登錄功能，實(shí)現(xiàn)多系統(tǒng) 和多桌面整合，避免用戶重復(fù)輸入賬號(hào)或口令的繁瑣操作，提升員工工作效率和操作滿意度。 同時(shí)，對(duì)已經(jīng)開(kāi)啟了單點(diǎn)登錄的虛擬應(yīng)用程序，用戶可在登錄成功后在個(gè)人設(shè)置中對(duì)這些應(yīng)用進(jìn)行單點(diǎn)登錄帳號(hào)、密碼自設(shè)定，所設(shè)置的數(shù)據(jù)將以加密的方式進(jìn)行傳遞，并對(duì)管理員不可見(jiàn)，保證用戶帳號(hào)的安全性。 自動(dòng)化桌面部署 在 DHCP 環(huán)境下，用戶使用瘦終端，可在無(wú)人指導(dǎo)的情況下，快速接入云桌面，實(shí)現(xiàn)即插即用的終端操作體驗(yàn)。另外，相對(duì)傳統(tǒng) PC上線前需要經(jīng)過(guò)硬件采購(gòu)、系統(tǒng)安裝、桌面運(yùn)維等一系列的繁瑣、復(fù)雜的過(guò)程，在部署好桌面云平臺(tái)之后，管理員可 以通過(guò) 虛擬機(jī)模板來(lái)快速、自動(dòng)地為新用戶派生虛擬桌面，同時(shí)管理員不僅可在控制臺(tái)查看用戶虛擬機(jī)的 CPU、內(nèi)存、磁盤(pán)的詳細(xì)情況，還可以對(duì)用戶虛擬機(jī)進(jìn)行開(kāi)機(jī)、關(guān)機(jī)、掛起、重啟等電源級(jí)別操作。當(dāng)用戶虛擬機(jī)出現(xiàn)故障后，管理員既可以通過(guò)新的虛擬機(jī)模板進(jìn)行快速替換，也可以在控制臺(tái)遠(yuǎn)程接入用戶虛擬桌面，協(xié)助處理系統(tǒng)故障問(wèn)題。 最優(yōu)的靈活性 廣泛終端支持 用戶可以通過(guò)任意終端設(shè)備來(lái)訪問(wèn)屬于自己的個(gè)人虛擬桌面，而且可以實(shí)現(xiàn)終端遷移功能，在多個(gè)終端間切換，不會(huì)影響原先的桌面操作行為，真正做到桌面隨身行。目前支持PC、筆記本、 瘦終端、 iPad、 iPhone、 Android手機(jī)或智能終端等設(shè)備接入訪問(wèn)虛擬桌面；支持 Windows 7（ 32位和 64位）、 Windows XP（ 32位）、 Windows 8（ 32位和 64位）、 Windows XPE、 iOS、 Android等客戶端操作系統(tǒng)。 豐富的桌面類型 不同的場(chǎng)景、不同的崗位上的員工需要不同類型的桌面，深信服通過(guò) SRAP 交付技術(shù)提供多種不同類型的虛擬桌面，來(lái)滿足用戶多樣化的桌面需求，具體如下： 共享桌面： 利用服務(wù)器操作系統(tǒng)的多用戶會(huì)話共享功能，允許多個(gè)用戶同時(shí)遠(yuǎn)程連接到同一個(gè)操 作系統(tǒng)，并為每個(gè)用戶提供不同的桌面，用戶可擁有自己的桌面配置和個(gè)人數(shù)據(jù)，并共享同一套完整的桌面系統(tǒng)； 標(biāo)準(zhǔn)化的桌面辦公環(huán)境，可以提供一組核心應(yīng)用，適用于不需要（不允許）個(gè)性化安裝軟件或無(wú)自主桌面控制權(quán)限的任務(wù)型員工，比如辦事大廳、職能辦公、生產(chǎn)線、培訓(xùn)中心等。 遠(yuǎn)程應(yīng)用： 利用服務(wù)器操作系統(tǒng)的用戶會(huì)話共享和應(yīng)用程序多實(shí)例功能，允許多個(gè)用戶同時(shí)遠(yuǎn)程連接到同一個(gè)應(yīng)用程序，用戶可擁有自己的應(yīng)用配置和個(gè)人數(shù)據(jù)，并共享同一套應(yīng)用程序； 特定的應(yīng)用程序交付，適合于應(yīng)用數(shù)量較少，日常辦公時(shí)僅需操作某幾類軟件，或需要移動(dòng)辦公的員 工，如營(yíng)業(yè)廳、生產(chǎn)線、銷售部門及管理層移動(dòng)辦公等。 獨(dú)享桌面： 基于服務(wù)器虛擬化提供的可遠(yuǎn)程訪問(wèn)的桌面，即服務(wù)器可以根據(jù)模板自動(dòng)為每用戶分配一個(gè)虛擬機(jī)（安裝 Windows XP、 Windows 7 等桌面操作系統(tǒng)，并且每個(gè)獨(dú)享桌面相互隔離），用戶遠(yuǎn)程訪問(wèn)自己的虛擬機(jī)，并可擁有獨(dú)立、完全的桌面使用和控制權(quán)限。適用于有系統(tǒng)個(gè)性化需求、對(duì)性能要求高的桌面用戶，當(dāng)然部署獨(dú)享桌面對(duì)服務(wù)器和存儲(chǔ)資源的要求比較高。 無(wú)論企業(yè)內(nèi)的各種用戶應(yīng)用場(chǎng)景以及用戶的需求如何多樣化，通過(guò) SRAP 交付技術(shù)，總能找出一種適合的技術(shù)來(lái)滿足各種場(chǎng) 景和用戶的需求。 IT 部門能夠交付各種虛擬桌面 – 每種桌面都經(jīng)過(guò)專門定制，可滿足每位用戶的性能、安全性和靈活性要求。 外設(shè)的總線映射技術(shù) 深信服桌面云方案允許將外設(shè)連接到終端上，外設(shè)驅(qū)動(dòng)安裝于服務(wù)器上，然后可以如本地桌面一樣使用各種外設(shè)，盡管虛擬桌面是在服務(wù)器上運(yùn)行的。通過(guò)總線映射技術(shù)在終端連接外設(shè)的接口如 USB 或串口與服務(wù)器上的虛擬桌面構(gòu)建一條專有的隧道，用于傳輸各種外設(shè)的控制指令，可以支持 包括掃描槍、掃描儀、攝像頭、密碼小鍵盤(pán)、二代身份證讀卡器、手寫(xiě)板、打印機(jī)映射、 USBkey等常見(jiàn)總線辦公設(shè)備 ，并且保持會(huì)話間的隔離。另外，深信服推出專有的虛擬打印技術(shù)，通過(guò)在服務(wù)端選擇 SANGFOR虛擬打印機(jī)，在客戶端本地打印機(jī)即可打印文件，且服務(wù)器端的虛擬機(jī)上無(wú)需安裝本地打印機(jī)驅(qū)動(dòng)。 智能開(kāi)關(guān)機(jī) 智能開(kāi)關(guān)機(jī)能夠真正實(shí)現(xiàn)對(duì) 用戶虛擬桌面 開(kāi)、關(guān)機(jī)進(jìn)行自動(dòng)控制。 即使瘦終端已經(jīng)關(guān)閉，用戶可能會(huì)忘記關(guān)閉位于服務(wù)器上的虛擬機(jī)，此時(shí)便可以實(shí)現(xiàn)對(duì)虛擬機(jī)的自動(dòng)關(guān)閉功能，從而可以節(jié)省服務(wù)器的硬件資源。同時(shí)，通過(guò)軟件內(nèi)置的定時(shí)開(kāi)機(jī)功能，可以指定在任意時(shí)間開(kāi)啟個(gè)人的虛擬機(jī)，且開(kāi)機(jī)時(shí)可將用戶虛擬機(jī)自動(dòng)調(diào)度至資源充足的服務(wù)器上，一方 面通過(guò)此技術(shù)可以避免 IO 風(fēng)暴，加快系統(tǒng)登錄時(shí)間，另一方面，通過(guò)自動(dòng)化技術(shù)來(lái)簡(jiǎn)化用戶訪問(wèn)虛擬桌面的操作步驟，讓用戶體驗(yàn)到簡(jiǎn)約、便捷的桌面操作。 端到端安全設(shè)計(jì) 虛擬桌面 從防范非法用戶和惡意系統(tǒng)管理員 的 角度進(jìn)行 全方位 的 安全 防范，保證 接入虛擬桌面的用戶和 數(shù)據(jù) 高度安全性，深信服 aDesk桌面云方案集成了豐富的 VPN安全特性，針對(duì) 各分層 采用安全措施具體如下： 終端安全 采用精簡(jiǎn)加固基于 Android OS，瘦客戶機(jī)無(wú)本地存儲(chǔ)， 可以說(shuō)數(shù)據(jù)總是存放在最安全的地方。 用戶 接入 虛擬桌面資源時(shí)通過(guò)合法性認(rèn)證、 USB靈活可控策略 、應(yīng)用策略化控制、還原模式 等方式保證終端安全 。 ? 集成本地認(rèn)證、短信認(rèn)證、動(dòng)態(tài)令牌、數(shù)字證書(shū)、第三方認(rèn)證等身份認(rèn)證機(jī)制，而且多種身份認(rèn)證方式可以自由組合，以確保接入用戶的身份唯一性； ? 基于靈活策略設(shè)置 USB端口使用權(quán)限，比如是否允許使用 USB設(shè)備（包括打印機(jī)、掃描儀等），還可以靈活控制 USB 硬盤(pán)的單向使用權(quán)限（比如 僅允許訪問(wèn)終端往虛擬桌面拷貝數(shù)據(jù)，而不允許桌面到終端的數(shù)據(jù)拷貝 ）； ? 基于策略的訪問(wèn)控制：可以根據(jù)用戶、網(wǎng)絡(luò)、服務(wù)、設(shè)備、系統(tǒng)等，通過(guò)關(guān)聯(lián)的策略為他們分配合適的訪問(wèn)權(quán)限。 支持客戶端安全檢查功能，可以根 據(jù)客戶接入終端的系統(tǒng)版本、接入 IP，接入時(shí)間，殺毒軟件的安裝更新情況等，指定用戶的訪問(wèn)控制策略； ? 桌面注銷時(shí)還原至原始狀態(tài)， 該模式下，除了指定的一些目錄外，用戶所做的操作都會(huì)在重啟后被還原。模板升級(jí)后，用戶重新打開(kāi)的虛擬機(jī)包含模板升級(jí)的內(nèi)容，可以 降低終端中毒風(fēng)險(xiǎn)。 傳輸 安全 通過(guò) VLAN 隔離 ，并內(nèi)置企業(yè)級(jí)防火墻模塊進(jìn)行狀態(tài)化 ACL 訪問(wèn)控制，管理員登錄時(shí)采用 HTTPS加密傳輸 、用戶訪問(wèn)虛擬桌面采用 傳輸加密等手段，保證業(yè)務(wù)運(yùn)行和維護(hù)安全。 ? 終端到虛擬桌面之間僅傳輸圖像變化和指令信息，不直接傳輸實(shí)際數(shù)據(jù)，也即是 說(shuō)，“瘦終端 +云桌面”讓數(shù)據(jù)不落地，保障傳輸安全性； ? 可對(duì)傳輸加密通道進(jìn)行基于 IP、服務(wù)的訪問(wèn)控制策略，減少異常流量的傳輸，且支持同一傳輸通道不同會(huì)話的隔離控制，包括存儲(chǔ)會(huì)話、虛擬打印會(huì)話、總線映射會(huì)話等等，從而提升傳輸通道的靈活度； ? 通過(guò)對(duì)終端到虛擬桌面進(jìn)行全程流量加密，杜絕中間人攻擊行為，目前支持 AES、 DES、3DES、 MD SHA、 DH、 RSA等算法，并且支持?jǐn)U展國(guó)密辦 SCB2（ SM1）等其他加密算法，確保通信的安全性； ? 在桌面云接入平臺(tái)上內(nèi)置了企業(yè)級(jí)防火墻模塊，通過(guò)靈活的 ACL 訪問(wèn)控制策略和 DDoS設(shè)置，為整個(gè)平臺(tái)提供狀態(tài)包過(guò)濾和基本安全保護(hù)。 平臺(tái) 安全 虛擬化基礎(chǔ)架構(gòu)（ VMS）的安全性關(guān)系到整個(gè)虛擬桌面訪問(wèn)的穩(wěn)定性和數(shù)據(jù)安全性，本方案首先通過(guò)高可用性設(shè)計(jì)滿足業(yè)務(wù)穩(wěn)定性需求，然后再通過(guò)虛擬機(jī)隔離、數(shù)據(jù)盤(pán)加密 控制、管理員權(quán)限細(xì)化 等 安全機(jī)制 保證用戶數(shù)據(jù)的安全 。 ? 在獨(dú)享桌面的情況下，每用戶獨(dú)占一個(gè)虛擬機(jī)，通過(guò) VMS底層機(jī)制實(shí)現(xiàn) CPU調(diào)度、內(nèi)存、網(wǎng)絡(luò)訪問(wèn)、磁盤(pán) IO、存儲(chǔ)空間的隔離，用戶虛擬機(jī)的故障和安全問(wèn)題不會(huì)影響到其他 用戶，保證虛擬機(jī)之間的隔離安全； ? 每用戶都會(huì)分配個(gè)人數(shù)據(jù)盤(pán)來(lái)存放文檔，當(dāng)用戶遷移至虛 擬桌面的使用模式后，所有數(shù)據(jù)都集中存儲(chǔ)于數(shù)據(jù)中心。因此，通過(guò)為個(gè)人數(shù)據(jù)盤(pán)進(jìn)行加密存儲(chǔ)，讓其他用戶包括管理員都無(wú)法訪問(wèn)，可以保證用戶個(gè)人穩(wěn)私安全； ? 不同管理員角色，授予合適的管轄權(quán)限范圍，并保存操作日志。 支持分級(jí)管理權(quán)限，包括上級(jí)管理員有權(quán)操作下級(jí)管理員的配置行為，相反則無(wú)權(quán)；支持上級(jí)管理員將虛擬桌面資源授權(quán)給下級(jí)管理員。 通過(guò)終端安全、傳輸安全、平臺(tái)安全三大層次的端到端、多方位安全機(jī)制，可以完善保障用戶接入安全、數(shù)據(jù)安全、管理安全、虛擬化安全、基礎(chǔ)設(shè)施安全等多個(gè)建設(shè)環(huán)節(jié)，輕松應(yīng)對(duì)虛擬桌面在建設(shè)過(guò)程中所面臨的 安全威脅及挑戰(zhàn)。 最低的 IT 總體成本 高效率、低能耗瘦終端 深信服 aDesk瘦終端是一種理想的桌面設(shè)備，它外形小巧，無(wú)噪音運(yùn)行，日常耗電量?jī)H需 10 瓦，經(jīng)濟(jì)環(huán)保。 aDesk 允許隨時(shí)隨地連接 SANGFOR 虛擬桌面平臺(tái)，不僅可獲得與傳統(tǒng)PC 一致的訪問(wèn)體驗(yàn)，而且提供了可靠的安全性；同時(shí)通過(guò)虛擬桌面控制器 VDC 進(jìn)行中央管控，極大簡(jiǎn)化 aDesk瘦終端管理工作。 深信服 aDesk瘦終端適用于金融、運(yùn)營(yíng)商、企業(yè)、政府、教育、醫(yī)療等行業(yè)的多種辦公場(chǎng)景，故障排除、軟件安裝和系統(tǒng)升級(jí)都在服務(wù)器端完成，提高了安全性和管理的便捷 性，并為企業(yè)節(jié)約了大量的 IT 投資。 內(nèi)存頁(yè)合并技術(shù) 在桌面云的建設(shè)方案中，服務(wù)器的投資占較大比例，硬件資源的節(jié)省可降低整套方案的投資成本，更好地推動(dòng)云桌面應(yīng)用模式的落地。因此，深信服創(chuàng)新性地提出內(nèi)存頁(yè)合并技術(shù)，因?yàn)槲覀儼l(fā)現(xiàn)，一臺(tái)服務(wù)器承載了幾十臺(tái)甚至上百臺(tái)用戶虛擬機(jī)，但這些虛擬機(jī)都有相同的 只讀內(nèi)存頁(yè)面，比如操作系統(tǒng)執(zhí)行代碼等，針對(duì)相同的頁(yè)面，深信服內(nèi)存頁(yè)合并技術(shù)實(shí)現(xiàn)內(nèi)存區(qū)域的共享，從而發(fā)揮內(nèi)存的最大效率，節(jié)省服務(wù)器的物理內(nèi)存空間，提升用戶虛擬機(jī)的部署密度。通過(guò) 實(shí)際測(cè)試數(shù)據(jù)表明，此技術(shù)至少可以節(jié)省 20%服 務(wù)端成本。 鏡像分離和 IO 加速 一般情況下，每個(gè)用戶的虛擬桌面和個(gè)人數(shù)據(jù)都是獨(dú)占一份存儲(chǔ)空間，其實(shí)大家都可能使用的是同一套 Windows 操作系統(tǒng)，無(wú)非就是應(yīng)用程序和個(gè)人數(shù)據(jù)不同而已。因此，深信服 aDesk桌面云方案將操作系統(tǒng)鏡像和個(gè)人數(shù)據(jù)（包含應(yīng)用程序）進(jìn)行分離，通過(guò)模板化系統(tǒng)鏡像技術(shù)實(shí)現(xiàn)集中化、快速的桌面交付，此技術(shù)不僅可節(jié)省存儲(chǔ)空間，而且管理員只需維護(hù)同一操作系統(tǒng)鏡像，日常系統(tǒng)升級(jí)、軟件更新將會(huì)非常高效，工作量較少。另外，由于多用戶共享同一套模板鏡像，可以 利用服務(wù)器的內(nèi)存或緩存卡進(jìn)行重復(fù)數(shù)據(jù) IO加速，能夠消除相同 OS類型的桌面同時(shí)啟動(dòng)時(shí)的重復(fù) IO，以提升虛擬桌面啟動(dòng)速度和運(yùn)行效率。 桌面服務(wù)器群集設(shè)計(jì) 如上圖所示，在每臺(tái) X86 服務(wù)器上安裝虛擬機(jī)管理軟件 VMS，通過(guò) VMS 軟件可為虛擬桌面平臺(tái)提供最高的可用性，不僅配置方法簡(jiǎn)單，也無(wú)需采用第三方集群軟件，所以成本更低。 VMS 的 HA 配置采用一鍵化模式，在控制臺(tái)界面中快速開(kāi)啟 HA 功能后，便可以將所有或部分服務(wù)器組成高可用性架構(gòu)，無(wú)論是計(jì)劃外停機(jī)或者服務(wù)器出現(xiàn)故障，此架構(gòu)都能 提供最高級(jí)別的服務(wù)可用性。 VMS HA機(jī)制通過(guò)以下方式保障服務(wù)的可用性： ? 持 續(xù)監(jiān)控虛擬機(jī)和服務(wù)器的運(yùn)行狀態(tài)，無(wú)需在虛擬機(jī)內(nèi)安裝其他軟件； ? 檢測(cè)到故障后，通過(guò)在集群內(nèi)的其他正常主機(jī)重啟虛擬機(jī)，防止服務(wù)器故障； ? 結(jié)合 VMS 資源自動(dòng)調(diào)度功能以防止出現(xiàn)故障，以及在群集內(nèi)的主機(jī)之間提供負(fù)載平衡。 當(dāng)然，如果某臺(tái)物理服務(wù)器需要維護(hù)，在無(wú)需中斷服務(wù)的情況下，可將服務(wù)器之上的虛擬機(jī)動(dòng)態(tài)遷移至其他服務(wù)器，管理員可以快速、完整地執(zhí)行透明的運(yùn)維工作。