XXX虚拟桌面应用交付解决方案.doc

XXX虚拟桌面解决方案建议书2011/3/18 第1章概述41.1项目背景和目的4第2章项目需求62.1功能需求62.1.1集中管理62.1.2桌面虚拟化62.1.3存储隔离62.1.4远程接入访问控制62.2技术需求62.2.1水平扩展62.2.2负载均衡62.3服务器安全防护7第3章解决方案及对应项目需求的实现83.1总体方案构架83.2应用场景描述83.2.1外网远程用户应用接入：83.2.2内网标准任务型单镜像虚拟桌面：93.2.3内网图形办公本地流无盘桌面：93.3对应功能需求的实现93.3.1集中管理93.3.2桌面虚拟化103.3.3存储隔离113.3.4数据保护113.3.5远程接入访问控制12 3.4技术需求的实现143.4.1水平扩展143.4.2负载均衡143.4.3服务器安全防护14第4章解决方案效果分析184.1降低桌面维护成本184.2提高数据安全18第5章系统配置建议195.1硬件需求195.2软件需求195.3存储需求20 第1章概述1.1项目背景和目的佛山市XXX有限公司（简称AEE）成立于2000年，是全球最早、最大以锂离子聚合物电池为主，集研发、生产、贸易、服务于一体的技术创新型高新技术企业，公司座落于交通发达的珠江三角洲经济圈核心、拥有顺德千亿大镇美誉的XX高新科技工业园内。公司拥有一支高素质的国际化研发队伍以及国外有一支强大的售后服务队伍，由资深的电池博士、专家、高级工程师、分析师等人组成，其中研发人员100余名，高级工程师20余名，工程师30余名等。目前研发软件部门主要的岗位主要可分为开发类（主要针对软件部）、配置管理类、集成编译类、SQA、软件代表、测试类（软测部门）随着企业研发办公规模扩大，办公环境的管理更加复杂，安全管理的要求也日益提升。利用现有硬件资源，建立一个简单、易用、安全的统一接入平台，以有效进行办公环境的规范管理，支持可控的远程访问模式，同时对于办公环境如何保护重要数据与代码的安全提出了挑战。（1）每台PC部署和维护需要花费大量的时间和人力；（2）无法为移动办公及远程访问用户提供灵活的应用接入平台；（3）由于大量的数据在广域网上传输，因此远程的访问速度和网络性能经常得不到保障，数据安全面临挑战；（4）随着软硬件的频繁升级与更新，客户端设备不可避免地要被淘汰，应该如何控制系统追加投资； 结合国家、行业规范和实际需要，贵司拟建设一套技术先进、功能齐全、安全可靠、性能卓越的桌面访问控制平台，在保证研发代码安全性的同时兼顾工作效率的提升，建议启动虚拟化项目。 第1章项目需求1.1功能需求1.1.1集中管理将办公环境中的应用软件和桌面进行集中管理，可以根据需要随时调整办公环境的应用部署，简化办公人员客户端的办公环境配置及部署要求。1.1.2桌面虚拟化用户可使用集中部署的虚拟桌面进行日常办公和设计工作，工作数据均保存在后台服务器，没有企业领导授权，用户无法接触到企业核心数据。1.1.3存储隔离每个用户能建立各自的文件系统或存储空间，相互之间不能访问。但授权用户可以访问特定用户组的存储空间。1.1.4远程接入访问控制支持分公司远程接入的办公模式，能有效控制用户的剪贴板、本地硬盘、打印机、端口等操作，做到分公司人员未经授权无法从任何渠道获取代码、文档和办公数据。对于合作公司的远程访问要求能有效控制，包括登录时间段、登录用户的监控。1.2技术需求1.2.1水平扩展服务器端支持水平扩展，能通过水平增加服务器来适应办公需求的扩大。1.2.2负载均衡可根据用户访问量和资源使用情况，动态分配到到负载量最低的服务器上。可支持手动负载均衡操作。 2.3服务器安全防护保证服务器对外服务时，系统安全性，确保数据安全。 第1章解决方案及对应项目需求的实现1.1总体方案构架通过CitrixXenDesktop和XenApp集中部署和发布用户桌面和应用，整个后台服务器架构没有变化，客户端可以通过CitrixWebInterface站点来访问集中发布的企业桌面环境，其整体构架如下图所示：1.2应用场景描述1.2.1外网远程用户应用接入：分公司或移动办公人员通过广域网经访问Citrix统一身份验证平台，通过身份验证的用户，可获取到授权的虚拟应用程序，这些应用集中部署在CitrixXenApp服务器集群中，包括：内部业务系统，企业OA，ERP等，用户数据均集中保存在后台文件服务器上。Citrix解决方案基于服务器运算架构，前端设备仅完成界面展示工作，无需强大的硬件资源，即使即将淘汰的PC机也可轻松运行WinVista或Win7等主流操作系统。 1.1.1内网标准任务型单镜像虚拟桌面：标准虚拟桌面和应用都是由后台XenDesktop和XenApp提供，利用CitrixProvisioningServer（简称PVS服务器）生成一个单镜像操作系统。当许多用户需要时，以此镜像可以批量提供标准的操作系统，以后只需要对此镜像单独管理和维护，比如系统升级和补丁更新只要在此镜像上进行就能完成所有用户的更新体验，同时也节省许多存储空间，避免为每个用户建一个物理操作系统。当办公人员直接访问Citrix统一身份验证平台，XenDesktop动态的按需把此镜像生成的操作系统和XenApp交付的虚拟应用以及个人配置文件自由动态组合起来向用户提供一个完整的虚拟桌面，用户获取授权的虚拟桌面和虚拟应用程序，开展日常办公工作，用户数据集中保存在文件服务器，操作体验完全跟本地系统一样。内部办公人员使用的终端设备可以是PC机也可以是瘦客户机。1.1.2内网图形办公本地流无盘桌面：员工使用没有硬盘的PC机，通过网卡PXE启动并与CitrixProvisioningServer服务器通信，获取虚拟硬盘存放位置，创建无盘工作站环境，操作系统镜像保存在CitrixProvisioningServer上，软件更新及系统补丁只需在服务器上进行一次更新即可完成。本地流化桌面每次重启均恢复标准状态，确保桌面性能并且完全利用本地硬件资源，最大化利用原有硬件资源来开展图形比如3D设计工作。1.2对应功能需求的实现1.2.1集中管理Citrix的 集中部署模式只将企业应用部署在数据中心，由于客户端和服务器位于同一局域网内，因而应用性能和安全性得到提升，用户可以通过任意终端和任意网络进行访问数据中心，非常方便；而企业只需对局域网内的数据中心进行管理，实现了管理维护的简化。应用软件的安装及配置变化，均可以在服务器端集中进行，大大简化了办公环境的配置和部署。1.1.1桌面虚拟化CitrixXenDesktop可提供一种端到端的桌面交付解决方案。可动态按需产生虚拟桌面，用户每次登录时都能获得一个干净的、个性化的全新桌面——从而确保性能不会下降。此外，XenDesktop采用的高速交付协议还可在任何网络条件下提供无与伦比的响应速度。对于IT机构而言，XenDesktop可通过分别交付桌面操作系统、应用和用户设置，大大简化桌面生命周期管理并显著降低拥有成本。CitrixXenDesktop可为任意地点的用户按需交付桌面，同时显著简化生命周期管理。它可提供一种端到端的桌面交付解决方案，为最终用户加速交付桌面，提供更强大的数据保护和监控，并降低高达40%的拥有成本。采用桌面虚拟化技术可以在数据中心集中化管理桌面，还可轻松实现安全防护及备份。然而，经常出现的同一生命周期管理问题依然存在——IT部门仍需对每个虚拟桌面镜像及其所安装的应用程序和用户设置进行管理、维护和更新。另外，桌面虚拟化还会带来新的挑战——尤其是会使用户的网络性能大大降低，使每位用户的桌面镜像网络存储成本大大增加。 1.1.1存储隔离通过选择NTFS文件系统和WindowsServer的用户Profile机制，每个用户可以有自己的存储空间。利用NTFS的文件权限的管理机制，用户在服务器端的私有存储空间，工作目录，临时文件可以被安全的管理和限制。可限制用户的对其他用户数据的交叉访问。也可给予特定管理员访问、获取用户数据的权限。同时可以通过配置WindowsServer2003的文件夹重定向，将MyDocuments等目录集中重定向到集中的文件服务器，从而保证用户不管登录到哪台服务器，都能一致地访问其用户数据。1.1.2数据保护传统模式应用分布在企业的所有客户端上，其安全要考虑各个环节：服务器、客户机和端到端的网络；其维护和安全管理范围需要涵盖企业的每一台终端设备和跨广域网段。因为客户端直接访问后台时，之间传输的数据是真实的企业应用数据，该数据会被缓存在用户本地或在传输中被截获，这些都是不安全因素；而用户访问XenDesktop服务器时，之间传输的是屏幕增量变化信息和鼠标键盘变化信息，用户端无任何应用数据缓存在本地，同时中途截获这些信息然后反推出用户真正的办公操作和数据比直接截获办公数据困难上千倍。因而可以说数据总是存放在最安全的地方，XenDesktop带来的最大益处是采用应用虚拟化方式阻止数据任何时候离开数据中心。对于远程用户从公网访问内网，XenDesktop通过严格的用户认证进行安全权限控制。由于网络上传输的只是客户端的键盘、鼠标动作以及显示界面的刷新部分，办公数据和代码的并不下载到客户端本地；数据、缓存、Cookie等等全部在中央受限的环境中控制；另外ICA协议还含有多种加密技术，保证显示界面和用户操作数据的安全传输；客户端的操作感觉虽然就像在本机操作一样，但未经权限许可，不得擅自修改、备份、拷盘、打印等。通过应用发布的方式，内部员工和外部合作公司的员工只能使用本岗位的应用程序，而不能打开其他的应用软件或数据信息。 采用无盘工作站的工作原理，客户端均为无硬盘的PC机通过CitrixProvisioningServer的无盘启动为员工提供办公环境，所有数据均保存在文件服务器，通过设置禁用本地所有端口（例如：USB端口，打印端口等）确保企业核心数据不被泄露。1.1.1远程接入访问控制Citrix为用户提供了统一的安全接入手段，一个典型的接入过程如下图所示：首先用户需要进行身份认证，XenDesktop支持多种身份认证手段，包括双因素认证，指纹识别等：当用户通过认证后，会通过加密链路进入其个人访问门户，看到其所能访问的各个应用软件： 当用户使用某一软件，或访问某一系统，通过Citrix的虚拟化服务器和口令管理，在几秒内自动完成应用调用和登陆，然后用户就可以如在本地一样使用所需软件和应用。而管理员不仅可以方便地设置每个应用允许哪些用户的访问，并且可以详细地记录用户对各应用的使用情况。通过Citrix应用交付平台可以严格控制用户对应用的访问，可控制的操作和资源访问包括Copy/Paste、打印、保存到本地，端口的访问等。 1.1技术需求的实现1.1.1水平扩展Citrix内置实现了群集功能，在Citrix服务器配置中集群称之为一个Farm，当用办公系统规模扩大时，可以方便地通过在ServerFarm中添加服务器来进行水平扩展。1.1.2负载均衡在Citrix的ServerFarm中，“DataCollector”负载均衡调度服务器负责收集每一台服务器里面的一些动态信息，如CPU，内存等使用情况，并与之进行交流；当有应用请求时，自动将请求转到负载最轻的服务器上运行。ServerFarm同时提供了高可用性功能，当单点服务器出现故障时不影响用户使用，用户会重新连接到另外一台负载较轻的服务器上。从而避免了单点故障。1.1.3服务器安全防护1.Windows部分由于Citrix环境基于Windows身份验证，因此，用户权限决定了系统安全性，对于Citrix用户，建议按照部门在域控制器上建立OU，仅赋予OU 中用户最基本的用户权限，使用组策略隐藏服务器系统盘符，使用登录脚本在文件服务器上为Citrix用户创建可读写的个人文件夹，用户个人数据仅允许保存在该目录，此文件夹存放于文件服务器。在CitrixXenDesktop服务器上安装防病毒软件，确保服务器不被病毒所感染。2.Citrix部分使用Citrix控制台为用户配置访问策略，是否允许用户使用本地设备（硬盘，光驱，打印机等），不允许使用本地硬盘的用户登录到Citrix使用相关应用的时候，则无法将数据保存到本地，确保公司核心数据的安全。设置Citrix策略禁止用户使用本地设备 将策略应用于用户usr1用户user1无法将数据保存到本地硬盘 其他用户可正常使用本地硬盘3.网络部分防火墙仅需开放Citrix所需的80和1494端口，如果部署了AccessGateway，则仅需开放443端口即可。CitrixICA协议为私有协议，目前还没有针对ICA的攻击方法，因此，Citrix在广域网的运行是比较安全可靠的。 第1章解决方案效果分析1.1降低桌面维护成本基于服务器运算架构大幅降低前端设备的运算需求，从而延长原有PC终端的使用寿命，随着旧设备的淘汰可更换成免维护的瘦客户机，节省大量的桌面终端投入成本。桌面和应用集中管理和维护使得IT部门的人员可以在后台只管理和操作系统，应用程序，配置文件的单一实例即可向所有用户交付个性化的桌面，同时满足不同类型用户的需求，无论从灵活性还是安全性都可以达到最优的用户体验。1.2提高数据安全由于网络上传输的只是客户端的键盘、鼠标动作以及显示界面的刷新部分，没有任何数据传递，数据、缓存、Cookie等等全部在中央受限的环境中控制；另外桌面虚拟化还含有多种加密技术；客户端的操作感觉虽然就像在本机操作一样，但未经权限许可，不得擅自修改、备份、拷盘、打印等。 第1章系统配置建议Citrix服务器集群根据并发访问量进行估算，根据Citrix在IBM实验室的数据，在模拟多个并发用户分别以简单、普通、高负载三种操作频率使用流行的应用软件得出的数据，再根据Citrix以往的成功实施经验，我们推荐一下服务器方案：建议Xenserver服务器采用配置为(2路8核CPU，64G内存，2个硬盘)的配置，由于需要发布40个虚拟桌面加10个本地流无盘桌面和65个并发的应用虚拟化，而每个虚拟桌需要1G的内存，那么服务器总共内存需要40*1=40GB，如果把AD服务器，XenDesktopDDC服务器，XenApp服务器，数据库服务器，PVS服务器，文件服务器一块放在Xenserver服务器中的话，那么还需要：（AD服务器2*4G）+(XenDesktopDDC2*8G)+（XenApp2*4G）+(PVS服务器2*8G)+（File服务器2*8G）=64G内存。那么总共需要内存容量为：40G+64G=104G，考虑到以后需要在Xenserver服务上虚拟别的服务器，因此建议采用2台Xenserver为64G内存的物理服务器。如果配有共享存储，在2台XenServer服务器之间做HA。1.1硬件需求项目第一期：本地图形流化无盘桌面（10用户）+标准单镜像虚拟桌面（40用户）+外网应用虚拟化接入（15用户）服务器角色型号及规格说明单位数量备注XenDesktop服务器8G内存台2加入同一个farm，用于部署CitrixXenDesktop5.0企业版XenApp服务器4G内存台2加入同一个farm，用于部署CitrixXenApp应用交付PVS服务器8G内存台2加入同一个farm，用于把镜像系统流到桌面文件服务器+CitrixLicenseServer+SQL服务器8G内存台2用于CitrixLicense授权存放个人配置文件AD(域控制器)4G内存台2主备域，用户身份验证办公虚拟桌面1GB内存台40普通办公虚拟桌面1.2软件需求项目第一期：本地图形流化无盘桌面（10用户）+标准单镜像虚拟桌面（40用户）+外网应用虚拟化接入（15用户） 序号产品数量角色备注1WindowsServer2008R2企业版10操作系统2WindowsXPSP3（专业版）11客户端虚拟桌面1个标准镜像+10个无盘流桌面3CitrixXenDesktop企业版用户授权50用户授权4CitrixXenApp企业版授权15用户授权5微软终端服务授权65微软终端服务授权用于XenApp6MicrosoftSQLServer2005/2008标准版（建议企业版）1数据库1.1存储需求项目第一期：本地图形流化无盘桌面（10用户）+标准单镜像虚拟桌面（40用户）+外网应用虚拟化接入（15用户）序号产品数量存储需求总数1办公虚拟桌面1140GB440GB2AD服务器230GB60GB3CitrixXenDesktop服务器230GB60GB4XenApp服务器230GB60GB5PVS服务器230GB60GB6文件服务器+CitrixLicenseServer+SQL服务器230GB60GB+500GB（我的文档和共享文件）1.3TB