诺云-Tropo-安全云桌面解决方案-法院.doc

诺云信息系统（上海）有限公司 诺云Tropo 安全虚拟桌面解决方案2013年9月诺云信息系统（上海）有限公司1. 行业背景当今法院应用正朝着自动化、集成化、网络化、信息化和智能化的方向发展，在这种趋势下，诞生了许多先进技术和先进管理应用模式。随着新时代的需求，如何提高自身的竞争力和应变能力时刻保持优势，已经成为摆在众多业务单位面前的难题。先进的管理和业务模式的发展要求现有的IT基础设置能够提供更高的服务水平，因此在法院信息化中，需要建立以虚拟化为导向的资源分配体系结构，主要用于集中IT管理、应用整合、管理控制等。信息化技术的引进及应用，可以以最高的性价比满足个性化管理需求，使信息技术与业务相融合，不断推进行业的进步和发展。2. 现状分析法院系统单位业务系统众多，且往往涉及到机密信息。单位的桌面IT系统面临着安全性、桌面系统维护、业务连续性保障等诸多挑战需要解决。2.1 系统安全性低办公人员的PC通常是应用系统的客户端，可接收、处理、存储应用系统的数据，且办公人员的工作往往涉及机密信息。若这些数据在PC上被拷贝、黑客盗取等，都容易使数据泄密，从而对业务单位造成不利影响。2.2 终端分散，管理维护困难接入办公网络的终端数量众多，在当前大量使用PC的情况下，所有终端的操作系统、补丁升级、业务软件都需要在每台PC上分别实施，耗费巨大的人力物力，效率低下；同时PC又十分分散，导致管理效率低下进而影响工作人员的办公效率。PC硬件种类繁多，用户修改桌面环境的需求各有不同，很难实现集中式的管理。目前还存在的村镇法庭远离区县中心，桌面的维护也是一大难题。2.3 资源利用率低、可用性差随着IT技术的发展，办公PC的配置越来越高，多核CPU、大内存、大硬盘的配置越来越普及。据调查，现有办公系统的PC资源利用率通常低于10%，计算能力没有得到充分的发挥。此外，终端PC是最容易被病毒、木马攻击的对象，一旦某台PC被攻击就可能导致整个办公网络的业务系统崩溃。2.4 高能耗高排放、运行成本高PC硬件相对较低的成本优势，通常无法抵消PC管理和能耗的高成本。一台PC的能耗在200瓦左右，每台PC一天平均运行10小时，一台PC一年耗电500度左右；同时为PC工作环境配套的电源系统、制冷系统能耗更多。在当今政府部门提倡绿色节能、低碳环保的大环境下，是一个很大的挑战。3. 解决方案3.1 方案原则:根据政府涉密行业的现状及特殊性，诺云推出的云桌面解决方案遵循以下原则：1) 确保政府业务的数据安全性2) 部署、更新简单快速3) 保证政府业务持续运营能力4) 合理IT预算，绿色节能3.2 总体方案-诺云 Tropo桌面云诺云Tropo桌面云产品以虚拟桌面代替传统桌面，产品的高可用性和快速迁移特性有效保证了政府行业关键系统的稳定运行，有效降低了由于系统故障导致的业务终端不可用，将损失降到最低；同时管理人员可对复杂的IT环境经行集中管理，统一运维，大大提升了IT管理人员的工作效率，也减少了硬件的投资成本。此方案可以实现以虚拟化桌面代替传统桌面，用户随时随地使用网络资源，并可进行集中部署，统一运维，极大地节约了能耗和维护成本，并保证高并发数连接的稳定性、可靠性。尤其是保证数据的安全性，所有的数据运算和存储都在后台完成。以部署30个虚拟桌面为例，方案拓扑如下：根据硬件配置的不同，桌面云系统提供的功能将产生差异化。提供如下两种方案供用户进行选择：1） 将2台服务器通过虚拟化技术变为虚拟桌面资源池，运行30台虚拟桌面。该方案暂时无法提供资源池动态HA及虚拟机热迁移功能。同时，统一控制中心也可部署在该服务器上，在不影响桌面性能的基础上可降低硬件投资成本。2） 配备两台服务器组成集群，同时配备SAN共享存储阵列。虚拟桌面数据均存储在 SAN存储阵列之上。该虚拟桌面池（集群）能够提供资源池HA功能，保证系统高可用性；同时虚拟机能够在资源池内的两台服务器之间进行热迁移，当服务器需进行计划内维护时可保证业务连续性。该部署方案中，统一控制中心部署在一台单独的服务器上。瘦客户机部署在办公人员本地，办公人员使用瘦客户机通过诺云NCLP协议连接分配给其的虚拟桌面。整个桌面云系统由Strato控制器统一管理。3.3 桌面云安全设计当多单位的桌面云部署于同一个私有云内时，我们提供VPC（virtual private cloud）解决方案 - 可以在大桌面云的基础上provision-on-demand生成多个VPC。VPC的网络数据完全隔离，网络配置也是互相独立，使得用户在安全性、管理性和合规性上的到保证。同时提供透明的安全策略迁移， 随着虚拟机在物理服务器之间的动态迁移，安全策略也随着动态迁移，满足云架构的实时变化要求,同时对现有的连接无影响。我们的云网络间安全技术，基于网络界最先进的软件定义网络的架构，采用和传统的安全设备在线数据处理不同的方式，使网络安全策略不再影响链路上数据流量。将CA认证以及三合一设备的认证动态的与云管理平台的结合在一起，让用户得到传统状态的使用体验且增强用户认证的高安全性。l 桌面云建设的优势体现1）终端易部署利用先进的云计算技术进行云终端研究，实现云终端的“零部署”和即插即用，用户无需安装部署任何软件（软件集中部署在服务器的云计算平台上），使用人员需要做的仅仅是接上网线、显示器及鼠标、键盘，启动云终端，即可进行业务操作，非常方便易用，真正做到终端接近“前台零部署”。2）终端易维护由于终端数量上的庞大和科室上的分散，因此传统架构下的系统的维护工作量大且非常繁琐。本项目将使用云计算统一平台管理统一维护，在大幅度提升运行维护效率的同时，使得信息人员从繁杂的终端维护工作中解放出来，大大提高工作效率，同时实现云终端接近“零维护”。3）高安全性体现针对这种情况，接入终端应具备良好的故障恢复能力和数据安全保障，通过云计算技术保证数据集中运行于服务端，实现云终端和数据存储功能的分离，通过虚拟机的冗余配置以及存储的容错功能从而有效地杜绝由于PC容易带来的数据丢失等问题。同时由于数据处理和存储也集中在后台数据中心，杜绝了数据在传输过程的安全性问题。4）节能环保建设传统电脑终端能耗问题和散热噪音问题严重阻碍低碳经济和节能环保的建设，针对这种情况，以经济环保的高性能云终端（平均功耗20-30瓦）代替传统电脑终端（平均功耗200瓦）符合政府节能环保建设的需求，并为整个社会实现低碳经济和绿色环保提供表率作用。3.4 管理平台介绍1) 服务器整合通过在物理服务器上创建虚拟机，将传统服务器的业务迁移到虚拟机上运行，可以实现服务器整合从而提高资源利用率。使用桌面云系统，用户可以轻松创建和管理虚拟机，并选择合适的CPU、内存和存储大小、模板、网卡类型和网络。2) 虚拟机运维管理a、虚拟机复制：通过虚拟机复制，系统管理员可以从一个虚拟机模板复制出多个具有相同资源配置、操作系统和应用的虚拟机，显著提升工作效率。b、备份和恢复：支持虚拟机备份功能，管理员可以手动备份控制节点和虚拟机，也可以配置策略定时备份。系统还提供了恢复机制，当虚拟机所在主机故障时，可以将虚拟机方便地从备份点还原到其他的主机上。c、资源实时监控：对物理服务器和虚拟机资源使用情况进行监控，包括CPU使用率、内存使用率，磁盘I/O读写速率、存储使用率和网络使用率等资源使用情况，系统管理员可以根据实际情况进行资源调配。3) 虚拟网络管理支持虚拟网络技术，包括虚拟交换机和虚拟VLAN等功能。a、虚拟交换机：虚拟交换机的运行方式与物理以太网交换机相似，它将服务器上运行的多台虚拟机以类似于物理交换机的方式连接起来，从而实现虚拟机之间的互联互通、VLAN隔离等交换机特性，便于对虚拟交换机进行管理。b、虚拟VLAN：虚拟交换机上实现了类似与物理交换机上的VLAN功能，能够根据802.1Q 标准，利用VLAN字段进行二层广播域的划分，实现同一VLAN内虚拟机的MAC 学习和二层通信，以及不同VLAN 之间虚拟机的相互隔离。要使用此功能，必须在宿主服务器中创建虚拟网络交换机，并将其绑定到支持802.1Q VLAN标记的物理网络适配器。VLAN ID可在两个位置设置。虚拟网络交换机本身，可以设置父分区的虚拟机网络适配器所使用的VLAN ID。c、可以创建多个虚拟网络，以提供多样的通道。还可使用虚拟网络管理对虚拟网络进行添加、删除或者修改操作。如可以创建提供下列功能的网络：仅用于虚拟机间的通讯，此类虚拟网络叫做私有网络。 用于宿主服务器和虚拟机之间的通讯，此类虚拟网络叫做内部网络。通过创建到宿主服务器上物理网络适配器的连接，在虚拟机和物理网络之间进行通讯，此类虚拟网络叫做外部网络。 4) 服务器运维管理通过管理平台，可以对多台服务器进行统一管理，资源调度和存储管理等多种操作。可以进行集中管理数百个主机以及上千上万台虚拟机，同时可以设置分级管理员分组管理各自的虚拟机或物理主机。系统提供B/S架构的方式执行相关任务和操作，实现对虚拟机的创建、配置、启动、停止、删除、远程访问和部署操作。5) 保证业务连续性借助虚拟化HA，可以实施一个统一的灾难恢复平台，发生故障时可以快速恢复虚拟机或转移到可用的服务器，保证业务的连续性。相比于传统昂贵的高可用性方案，虚拟化实现的高可用性经济成本大大降低。6) 高安全性通过执行安全性管理，隔离虚拟机的数据传输和网络通信；虚拟机之间的隔离机制保证了一个虚拟机异常或被危及时不会相互影响。利用企业级的stateful防火墙，支持NAT、访问控制、L7inspection等功能，保证虚拟机的网络安全。采用虚拟局域网的方式加强网络管理和安全，控制不必要的数据广播。用户可自定义安全组规则保证只有授权的源可以访问内部虚拟机。7) 节省的IT成本我们的系统虚拟化技术可以为企业节约大于40%的硬件投资和60%的运维成本。规模越大，节省的投资和成本越可观。随着处理器能力的加强、在更多低成本硬件上得到认证，节约的成本会不断提高。8) 标准化IT操作我们的系统虚拟化技术将企业的软件和硬件相分离，创建标准化的数据中心，虚拟化技术可以在任何主流的服务器上运行，支持任何软硬件环境中配置和维护服务器，提高了现有硬件投资的价值。由于虚拟化技术将软硬件管理分开，在需要时将运行中的软件从需要维护的硬件上迁移，保证了业务的连续性，并节约了整体IT管理成本。9) 提高业务响应速度IT人员可以快速、灵活地配置新服务器和虚拟机，以响应业务的变化。系统提供了强大的瞬时置备功能，使业务部门在需要时置备他们的桌面和应用。以前需要几天的时间部署架构，现在只需要1个小时乃至几分钟。10) 动态资源调整能力虚拟化技术将资源集中到资源池中统一管理和分配，系统可以对虚拟机的工作负载变化作出响应，根据业务量的大小和优先级调整IT资源，确保服务质量。根据预先指定的虚拟机资源分配的规则和优先级，系统会自动优化虚拟机位置，以提高硬件的利用率、灵活性和可用性。使用虚拟化系统以后，只需部署少量的服务器即可灵活应对业务需求变化。11) 日志与报警管理12) 系统记录事件和操作日志，如虚拟机创建和删除，主机组创建和删除，管理员和用户登录，服务启动等。系统使用报警支持对系统资源使用的情况进行监视，如主机CPU的使用率等。用户可以设置报警条件，报警等级，在条件满足时产生报警。这些功能能够帮助系统管理员及时了解系统的运行状况，并在故障时能够排查故障原因，及时恢复正常运行。 3.5 方案特点1. 高安全性诺云 Tropo 系统，将所有的数据都放在数据中心，用户终端只是虚拟桌面的同步影像，没有任何数据存储。数据中心的安全等级要远远高于本地，极大避免了数据的丢失。同时，诺云Tropo 系统配合诺云 Slice客户端，可根据USB外设类型或使用者权限进行控制，防止机密数据的外泄。管理员可使用 Tropo 系统中的自动备份功能，灵活备份数据，这样即使硬件损坏，数据丢失，也可以将备份数据快速恢复到正常状态，不会让劳动成果付出东流。2. 集中，灵活的管理通过诺云Strato控制器，并可对整个系统中的物理及虚拟设施进行统一管理，将复杂的基础设施进行整合。Strato控制界面基于B/S架构，不必单独安装管理客户端，所有的管理动作都可在控制中心中进行，其强大、灵活的集中管理模式将管理员从繁复的工作中解脱出来，极大的提高了工作效率。诺云Tropo对用户权限进行了灵活的定义，可以对各部门配置管理员，给予相应的权限，使得部门管理员只要登录GUI管理界面，就可完成所有管理工作。3. 快速部署诺云 Tropo系统提供给管理员高度的自由度，管理员可以根据需要将新的应用软件，环境制作成为模板，只需两步操作，完成应用的升级、部署，且模板可以反复使用，极大的节省了时间。4. 高可用性当应用故障，系统损坏时，管理员只需使用备份文件快速恢复虚拟机，或者直接将现有虚拟机删除，在使用模板重新建立一个虚拟机，整个过程可在一分钟内完成，保证了高度可用性。5. 优秀的用户体验借助诺云NCLP协议对视频流、语音流、图像流的优化，通过诺云Slice客户端可以使用户获得与真实PC相同的用户体验，并且支持最高达2560X1600的分辨率，显示效果一流。6. 降低总成本TCO诺云Tropo 系统所使用的Slice客户端，价格只有普通PC的1/3,功耗比传统PC节省90%，并且诺云Slice客户端使用瘦客户端架构，比普通PC有更长的使用寿命，拥有更高的使用稳定性。集中管理的特性也使得管理员的工作量急剧减少，极大的节省了时间与人力成本，降低总体拥有成本。4. 配置参考4.1 硬件配置（方案一）名称CPU内存NIC/HBA卡硬盘数量虚拟桌面资源池Xeon 6核 E5-2620*296G2端口1Gb全双工300G*2 SAS企业级磁盘 RAID12T*4 SATA企业级磁盘 RAID12Slice瘦客户端Intel 1037U2G RAM1端口全双工16G ROM604.2 硬件配置（方案二）名称CPU内存NIC/HBA卡硬盘数量虚拟桌面资源池Xeon 6核 E5-2620*296G2端口1Gb全双工500G*2 SAS企业级磁盘 RAID12Strato控制器Xeon Intel16G2端口1Gb全双工300G*2 SAS企业级磁盘 RAID11存储资源池IP或光纤存储2T *6 SATA企业级磁盘 RAID51Slice瘦客户端Intel 1037U2G RAM1端口全双工16G ROM604.3 软件配置诺云Tropo云桌面终端软件，每终端接入许可。该套件功能：标配虚拟机管理模块，外设管理模块，存储管理模块，备份模块，用户管理模块，日志管理模块。5. 产品介绍诺云虚拟化产品基于诺云云操作系统，拥有虚拟机、模板、存储、用户权限、日志、备份和还原以及升级等系统组件。用户可通过web登录诺云 Strato 控制器进行集中管理及控制。5.1 虚拟机在虚拟机组件中可以进行虚拟机的操作，包括创建、删除、启动、停止、重启、强制关闭、修改设置、远程桌面、复制、还原、以及创建模板等功能5.2 模板在模板组件中可以对系统中的模板进行统一管理，进行更名、删除、或者直接选择一个模板进行创建虚拟机的操作。5.3 存储诺云Tropo支持存储的统一管理，可以对虚拟机动态进行存储空间的增加减少等。5.4 用户权限在用户权限组件中，不同角色及用户的定义，系统各组件及操作的设置都可精细划分，使得用户权限控制强大且灵活。此外，用户的外设使用权限，也在用户权限中进行配置。5.5 日志管理员可以通过日志查看到系统中所有发生的操作和事件，当发生异常时也可对时间进行追踪，及时发现问题。5.6 备份和还原备份和还原组件可以将虚拟机和控制节点的数据备份到备份服务器上，管理员可对重要虚拟机或整个主机进行备份策略的设置。虚拟机备份数据部分则显示目前系统中的备份情况。5.7 升级升级组件提供给用户进行一键式升级的功能，用户还可以通过该组件查看系统中各个节点的版本情况及升级进度。6. 总结诺云Tropo 是一套完整的企业级桌面虚拟化解决方案，旨在为用户提供集约式、一体化、低成本和高可靠性的桌面云端体验。通过我们的解决方案可以对桌面进行集中化的灵活部署、调配、管理和个性化定制，并容易的化解用户在系统、应用安全性和管理性方面的难题。诺云信息系统（上海）有限公司