桌面虚拟化在涉密网内的应用研究

1 引言

    桌面虚拟化是指将计算机的桌面进行虚拟化。以达到桌面使用的安全性和灵活性。用户可以通过瘦客户端、PC或者类似的设备在局域网或者远程访问获得与传统终端一致的用户体验。

    在政府部门、军工企业等涉密网络内。信息的安全保密是至关重要的，但涉密网络内众多的安全产品和软件，加大了涉密信息系统的复杂性，制约了信息化应用水平。在虚拟化技术，尤其是桌面虚拟化技术的快速发展的形势下。能否在涉密网络内采用桌面虚拟化技术取代原有的终端桌面环境，提升信息化管理和维护水平，并保证信息的安全保密是很大的挑战。

2 桌面虚拟化的优势

    2．1降低成本

    降低成本是很多人对桌面虚拟化所带来好处的第一反应，不过这个成本需要具体的分析。如果片面地认为桌面虚拟化就是降低成本。则有可能产生一种误解。不可否认桌面虚拟化有降低成本的功效，但是具体情况要具体分析，尤其是初始成本方面，虚拟软件、服务器、存储设备以及网络改造等一次性投入价格不菲，但如果把眼光放长远看，采用瘦客户机或高性能PC配合无盘数据流模式进行VDI(虚拟桌面架构)，就能体会出虚拟桌面在管理成本上的巨大优势。但这是一个“长线投资”，非常考验主管人员在TCO(总体拥有成本)方面的关注能力。所以，在初期桌面虚拟化并不等于降低成本，它的成本优势需要逐步显现。

    2．2便于企业IT对终端桌面的集中控管

    借助于虚拟桌面，IT部门将所有的桌面管理收到了后端 的数据中心。足不出户即可对桌面镜像和相关的应用进行管理和维护，而这种管理与维护对于前端用户来讲是透明的。比如上万个员工都是用同一个桌面镜像，管理人员只需为这个 桌面镜像打一次补丁，那么上万个终端的桌面系统也就全部更新了。因此，虚拟桌面为企业IT管理提供了一个极好的管 理手段，而这种集中管理的快捷性，是传统的物理桌面所不能 性。桌面虚拟化在涉密网内的应用数量并不是很常见，处于叫比拟 。

    其实并不是桌面虚拟化之后就没有个人桌面了，可以在本地桌面上再接收一个虚拟桌面或应用，或者使用性能强劲的系统网络引导进入一个系统，或者通过硬盘引导进入另一个系统等多种方式获得个人独有的桌面，来实现虚拟桌面与 本地个人桌面的并存。

    2．3让企业的数据与IT系统更为安全

    桌面虚拟化少不了应用虚拟化，而应用的执行是在后台的数据中心里，那么应用所产生的数据也就存储在数据中心，而不是在用户终端的存储设备上，所以即使终端受损或是丢失，企业的应用数据也不会遗失，并且使原来分散在个人客户机硬盘内的数据集中到数据中心的磁盘阵列上，得到了更高级别的性能和保护且便于集中备份管理，这也极大地提高了企业敏感数据的安全性。此外，即使你丢了电脑，也可以迅速的用另一台电脑继续办公，因为数据都在后台，并且由于桌面虚拟机在数据一侧，可以享受到数据中心的灾备支持，做到“永不停机”，从而也就更好地保证了业务的连续性。

    另一方面，由于企业IT管理员可以在后台对桌面和应用进行集中的维护，在木马、病毒的防护上肯定要比传统分散的物理桌面要强得多，而传统的物理桌面由于会接入内部网络，所以一个终端出问题，就可能殃及整个IT系统。对此，桌面虚拟化显然有良好的免疫能力，即便镜像文件受到感染，影响的也是虚拟机，可以更快地清除和恢复。

    2.4提高商业合作效率与生产力

    对于企业协同，比如企业的一些外包服务、协同的资料处理、临时的多公司人员集中办公等，由于每个公司的IT架构与系统并不见得相同，所以也就为这种协同办公带来了诸多困难。而通过桌面虚拟化，企业可以为这些业务生成相应的虚拟计算机，部署相应的桌面和应用，而数据可以透明地向后台集中，待协作结束后，只需关闭相应的虚拟机就可以了，无需为其再单独购买IT终端，这也就意味着提高了企业的生产力。

    另一个提高生产力的要素在于，桌面虚拟化的平台无关性，即人为属性和物理属性。人为属性是指，你用的可以不是你自己的电脑.只需上网登录你的账号就可以访问你的桌面和应用，从而实现“让应用如影随行”。而物理属性上，整个网络系统、应用系统是一个完整的整体，只要介入网络就能访问相应的数据，保证了接入设备的无关性。

3 涉密网内桌面虚拟化的部署难点

    虽然桌面虚拟化有如此之多的优点但由于涉密网的特殊性，桌面虚拟化在涉密网内的应用数量并不是很常见，处于叫好不叫座的尴尬局面，而涉密企业的信息安全是其中的重中之重。现有涉密网都是严格按照“等级保护和分级保护”等相关国家有关规定建立起来的。其中软硬件方面主要为以下几部分:

    (1)身份认证(主要为数字证书认证key，也有如指纹识别等其它认证方式)。

    (2)审计软件(包括应用审计，端口审计等诸多功能)。

    (3)防火墙(构建服务器DMZ区)。

    (4)入侵检测系统(保护网络资源的机密性、完整性、可用性)。

    (5)关键业务使用盘阵，并定期备份。

    以上几个方面虽然可以实现一个相对安全的企业环境，但是却无法规避对于用户终端系统、软件、数据的维护和配置问题。对于企业信息中心来说最重要的难题是，如何既能保证满足现阶段的数据安全保护要求，又能减少对终端用户的维护量和工作量，并能提高终端数据安全性，使终端用户也能拥有与数据中心服务器相同的安全等级。

    正是因为以上问题的普遍存在才出现了对桌面虚拟化产品的强烈需求，但由于涉密网内环境的特殊性，很多情况下商用网内的一些虚拟化桌面实施办法又无法满足涉密网内的严格要求。比如涉密网内的身份认证等必备软件，由于部署时间较早，软件在研发过程中没有考虑到虚拟化桌面的发展需要，且部分软件公司为了保持自己软件在用户系统内的主导地位，封闭了一些非通用的技术绑定关键应用。这些都导致了桌面虚拟化应用产品无法与其它软件的兼容。正是由于以上原因的存在才导致了桌面虚拟化在涉密网内推广的举步维艰。网

    另外同一公司内不同部门所处的职能不同，如果一味地选择厂家推荐的部署方案:“统一将原有PC更换为瘦客户机”，第一无法满足研发人员对使用环境的要求，第二无法满足研发人员对桌面环境性能的要求(VDI环境下图形的处理性能低下，如3D设计等)。

    所以说如果想使涉密网在满足数据安全要求的前提下，想做一些改变，部署桌面虚拟化并能受益于其所带来的好处，那么就不能局限于已有的商业案例或厂家推广的那些来照搬到涉密网内，而必须结合涉密网内自身应用情况，在信息系统中因地制宜地进行桌面虚拟化的选择和建设。

4 涉密网内桌面虚拟化部署方法

    找到一种最适合于企业本身业务模式的桌面虚拟化产品，不要只局限于品牌知名度和市场占有率，要从整体的投资和能力以及自身业务特点考虑。

    (1)对现有身份认证或审计软件进行二次开发或升级。有的软件已经同我们企业的核心应用绑定，在选定产品之后遇到兼容性问题的时候，二次开发和软件升级是最好的选择。

    (2)模拟生产环境业务模式和需求对桌面虚拟化产品进行全面测试，找到适合企业自身的部署方式。因为商业企业在安全性方面要求不高且使用的软件比较开放，而且也无需用一种产品一种模式贯穿全局，完全可以根据不同的用户需求使用不同的部署模式。

    (3)当初步测试完成后，可以进一步在生产环境下进行完全测试。由于不同方案对于防火墙、入侵检测等安全产品的配置要求有所不同。如VDI模式和无盘数据流模式对防火墙和入侵检测的配置以及带宽要求是完全不同的，根据不同的部署方式，防火墙和入侵检测也可能需要升级。

    (4)桌面虚拟化对网络依赖性更强，所以需要更大的带宽来承载虚拟化传输的数据量，尤其是企业存在CAD等大数据量应用情况下，才能够保证稳定的数据传输。

    (S)桌面虚拟化对数据中心存储设备的IOps要求比较高，需要配备性能更强的磁盘阵列存储设备，来保护终端用户系统和数据的高可靠性及安全性。

    (6)由于桌面虚拟化后所有数据都在文件服务器进行存储，这样对服务器及存储的安全性要求就非常的高，文件服务器使用故障转移群集技术，保证当一台服务器发生故障时，另一合服务器自动接管所有功能，继续实施对外提供服务，不影响终端任何使用。

    (7)桌面虚拟化模式必须在域环境下工作，通过在网络内配置DNS服务器、域控制器、DHCP服务器等网络服务，满足桌面虚拟化的应用需求。因为域网络的全局用户账户和安全策略都是集中在一台或者少数几台DC上进行配置与管理的，所以相对工作组网络来说，这些配置的安全性就更高，更不容易被人攻击和破解。

    (8)桌面虚拟化模式下，所有的终端主机系统均模版化管理，包括主机的操作系统，驱动程序以及一些常用软件等。只需要制作一个模版后，所有相同型号主机都可以通过此模版创建其他主机的系统文件，方便快捷地完成多台终端主机系统的部署。

    (9)桌面虚拟化可以按照终端机器的不同品牌型号制作不同的模版，每个型号只需要制作一个模版即可，然后复制多份，给其他主机来使用，无需给每一台终端手动安装，大大减少了管理员的工作量及错误出现的机率。

    (10)虚拟化技术实施系统桌面重定向，将所有终端用户的桌面文件都重新指向在另外一个安全的文件夹中，即使系统发生故障，必须重新安装操作系统才可以解决，也不怕数据丢失了，因为所有的桌面文件已经不存在系统盘符中，这样用户的桌面文件仍然存在安全的地方。

5 案例分析

    以国内某研究所部署桌面虚拟化为例，由于该研究所为涉密单位，所以所内办公网络建设是完全按照保密规定建立的，与互联网物理隔离。

    用户登陆计算机终端需要经过身份认证Key认证，对应用的访问需要经过审计软件的监控和审计，对于前端计算机端口和应用，需经过专门的审计软件进行监控。由于该所是一个设计单位，大量的研发人员对桌面终端的处理能力有很高的要求:各个部门工作方向不同对终端的使用方式也有不同。有的部门需要并口或串口调试设备，有的部门需要高性能显卡进行设计等等;并且软件和硬件丢失数据时有发生，严重干扰了研究所内的办公环境，有时还会因为数据丢失等问题造成项目推迟等状况。但是上千台终端的维护重任都压在了几个IT维护人员头上。通过多方调研了解，研究所希望能通过部署虚拟化桌面，提高桌面的维护效率和终端数据的安全性，但前提是不能更改和替换现有的软件和拓扑架构，并要符合涉密网的相关规定。通过综合考虑，决定选用无盘数据流模式，构建虚拟桌面系统。

    具体说来就是前端的终端设备还是使用原有PC机，只需要将硬盘去掉，系统盘是储存在数据中心的磁盘阵列上，开机后通过网络引导直接加载磁盘阵列上的系统盘到内存。整个过程对于用户来说与使用原有PC机完全相同，软硬件兼容性也完全相同，所以顺利通过了初步测试。但由于此种方式比传统VDI方式有更高的带宽需求，所以所内将原有百兆网改为千兆网络，改进防火墙和入侵检测系统的数据访问策略，增加了吞吐量，在入侵检测上对此应用产生的超大包进行了识别，增加了数据包检测速度。

    实施完成后用户本地无磁盘，在数据中心搭建文件服务器，并搭建域控制器制定相关用户策略。当用户登录系统后将数据中心的网络空间直接挂载到本地，由于此存储空间动态增长，可以灵活设定最大值。通过设置桌面重定向也规避了部分用户因系统崩溃而导致系统桌面放置数据丢失的问题。

    这样的实施方法实现了用户系统和用户数据的大集中。

    为了保证系统和数据的安全性，通过部署持续数据保护系统，利用快照保护虚拟桌面系统和数据，支持系统或数据快速回复到指定备份时间点。

6 总结

    显然，桌面虚拟化有效地降低了涉密企业的桌面管理成本，提升了数据安全和业务持续性。但由于涉密网的特殊性。在现阶段部署桌面虚拟化免不了会有这样那样的一些问题。但如果根据企业自身的业务特点进行全面考量，以我为主，合理选择，完全可以找到并应用一个合适的解决方案。