云巅桌面云方案V1.0 NetApp

云巅（上海）网络科技有限公司2015OWTware云巅iConn桌面云解决方案建议书V1.02修订记录版本变更描述变更人日期发行记录发行日期V1.0文档创建林文炜09/12/2015未发行V1.0文档完成林文炜09/12/2015未发行桌面云项目建议书桌面云项目建议书目录TOC\o"1-2"\h\z\u1 现状分析 Owtware云巅（上海）网络科技有限公司现状分析虚拟化云计算技术是IT发展的热点之一，可以有效地解决数据安全、集中管控、降低运维成本、快速部署、跨平台访问、节能环保等问题。随着桌面虚拟化技术的日益成熟，桌面虚拟化技术也给越来越多用户带来了传统PC所没有的好处，逐步推广桌面云平台势在必行。企业现有信息化系统桌面终端主要基于传统的PC运维方式，办公人员通过PC或笔记本电脑进行日常的办公，需要在每台办公终端上安装各种办公软件客户端，存放数据。各种OA及业务系统运行在数据中心的后台服务器上，办公终端的办公软件客户端经由局域网连接后台服务器，访问业务数据和流程。IT人员除了需要集中维护数据中心的后台服务器，还需为办公人员提供Helpdesk服务，解决办公终端的硬件、操作系统，及软件问题。此外，IT人员还需定期对后台系统、用户的桌面操作系统和办公软件进行必要的更新维护，以保证内网办公的各环节都运行在最新的软件版本之上，防止由于系统的漏洞导致办公系统的瘫痪。目前的部署方式存在以下问题：如何保证数据的安全性业务数据直接存放于办公终端，各种移动存储(如U盘、移动硬盘等)的接入并无限制，且笔记本电脑经常带离办公场所，业务数据难以得到正确的保护；办公终端与后台业务系统之间的交互产生的真实业务数据在网络上传输，存在网络数据被截取并外泄的风险；一旦办公终端遭受恶意软件或病毒攻击，后台业务也将暴露于安全风险之下；用户对关键业务系统的访问及操作无法进行录像或监控，提供不了审计、回溯等安全功能。IT人员如何对终端环境进行高效的管理终端用户办公环境不统一，应用软件和操作系统的版本差异化大，IT管理维护通常需要到终端用户现场进行，导致维护管理的效率低下，容易因为终端设备的故障导致业务访问的中断；IT人员需要保证各种办公软件在用户终端上的正确运行，一旦软件出现安装/使用/升级等问题，排错工作量较大；数据分散在各办公终端，IT人员无法对办公数据进行集中备份，增大了数据丢失的风险。IT人员难以限制用户在办公终端安装的应用软件，也难以限制用户使用的外设，不容易实现IT环境的标准化。如何进一步降低运维成本PC故障率高，排错时间长，远程技术支持需要额外的软件。现场支持时间长，效率低；传统PC每台功率超过200W，每年消耗大量用电；PC成本高，更换周期短，在当前硬件发展趋势下，通常每3～4年需要升级硬件；PC占地大，线缆多，影响干净整洁的办公环境；财务等部门因为需要使用不同的软件版本导致需要使用多台PC设备；能否将办公延伸至其他终端类型目前使用的各种办公软件大部分只有运行于PC或笔记本电脑的版本，若需将办公延伸至其他终端类型，如平板电脑、智能手机或瘦客户机，需要对现有业务系统或办公软件进行改造，涉及二次开发成本及工作量；若通过开发的方式将办公软件延伸至其他终端类型，用户使用习惯的改变将难以避免，需要对用户进行业务培训；若将办公软件延伸至移动终端，需保证终端访问的安全性，降低数据外泄的风险；若将办公软件延伸至移动终端，并开放公网的访问，需保证用户从公网访问的便捷性、高效性及安全性。需求分析基于上述现状分析，我们总结出如下的实际应用需求目标：安全性桌面和应用全部运行在数据中心的服务器上，集中进行安全管控；用户无法随意将各类的涉密信息从工作桌面上取走；可以制定严格的访问策略，细粒度地控制最终用户对桌面应用的访问权限，例如是否可以打印、复制粘贴或将文件保存到本地；实现客户端与虚拟桌面之间的传输加密；支持关键应用系统的用户操作录像审计，跟踪和记录用户操作工程，方便回溯；支持基于角色的权限控制。最终用户体验良好的用户体验，虚拟桌面能够提供与目前用户使用的PC一样的各种功能：如流畅地播放视频，通过即时通讯软件进行多媒体通信（包括双向语音），流畅地观看带有flash的网页，使用各种外设等。良好的外设支持：支持USB设备重定向、串口和并口重定向、本地磁盘重写向，另外支持设置USB存储设备黑白名单。终端设备上展现的虚拟桌面支持支持Flash的本地渲染，可流畅播放。支持动态图像质量调整。用户的客户端设备可以使用各种操作系统和配置的硬件设备来访问桌面/应用和数据。如：笔记本、PC机、瘦客户机、各种智能手机、PDA、iPad等。管理员应该有必要的监测能力，评估最终用户体验和排除故障所需的工具，以找出问题，并计划调整受到影响的服务质量。未来终端用户可以通过下列不同类型的网络：高带宽的LAN、低带宽的WAN、Internet/3G、甚至用电话拨号的链路都可以流畅地进行工作。可管理性满足用户个性化，同时减化管理员工作量。操作系统采用单一模板部署，用户自行安装的软件和数据重定向特定的个人盘，当操作系统更新时不会影响用户安装的软件和个人数据。通过一个集成的管控界面实现对所有功能的操控；可靠性不存在直接影响整体架构稳定性的单点故障。所有功能组件必须支持冗余或高可用性，某些功能组件出现故障也不受影响所有用户，其次允许个别用户会话尽可能自动恢复。支持虚拟机故障检测及快速回退。资源的高利用率通过采用服务器和瘦客户机，实现硬件设备更长的更新周期；解决方案方案基于云巅™iConn桌面云方案构建，云巅™iConn桌面云方案完全由云巅公司自主研发，从虚拟化内核到用户桌面的交付全部使用超融合架构，云巅™iConn桌面云方案允许多个用户桌面以虚拟机的形式独立运行，同时共享CPU、内存、网络连接和存储器等底层物理硬件资源。这种架构将用户彼此隔离开来，使每位用户都拥有自己的操作系统，确保每个用户的个性化和保留原有使用习惯，于此同时，可以对桌面实现应用的管控和高效集中运维。架构组成总体架构拓扑图该方案采用总部集中建设方案，数据中心建设在北京总部，所有分支机构通过专线连接到北京总部进行集中访问。该方案通过集中提供桌面云平台，实现了应用集中、数据集中和管理集中，从而避免了终端用户的数据管理问题。部署架构该方案采用分布式堆叠架构，每台服务器均保持独立运行，通过软件集群方式实现统一化管理，每台服务器通过心跳线进行连接，确保服务器之前网络结构局域网络：该网络主要提供核心服务器的交换，并与楼层汇聚交换机连接，联通各个办公楼等广域网络：该网络主要连接其他分公司办公区域，实现业务数据互访。互联网络该网络通过外部互联网络接入，主要提供移动业务访问，对外采用通过SSL443加密传输，且桌面云在网络上不传输真实数据，保证数据安全传输。网络带宽需求桌面云网络流量主要传输桌面云的桌面画面信息，平均每用户建议保留至少256kbps.访问方式PC或瘦客户机访问流程介绍可通过PC浏览器(IE,Firefox,Chrome,Safari)访问统一的访问门户，输入用户名和密码：系统会根据用户的权限和分配的资源自动显示其桌面，用户可以在页面中预览之前的桌面状态，并可直接点击进入如下图，系统自动以html5方式呈现用户桌面，用户无需安装任何客户端应用。手机或Pad访问流程介绍访问流程截图访问AppStore，输入owtware下载Owtwarelens程序点击Owtwarelens程序图标，打开程序输入用户名、密码出现用户桌面，点击桌面进入进入Windows桌面系统支持移动设备本地键盘输入，包括中文和英文安全管控身份安全管理设计本系统与传统桌面云方案的不同在于不依赖微软AD域，大多数传统的桌面虚拟化厂商方案几乎都必须依赖微软AD域作为认证核心节点，这对于大多数中国用户来说，他们将面临着不仅仅是用户管理的变化，包括原有的网络结构、应用环境、用户权限都要发生较大的变化，这往往导致了项目上线后各种兼容性问题。云巅着眼中国用户IT现状，自主研发了多认证体系支持，不依赖于AD域，提供内置的用户认证模块，并支持与第三方LDAP及双因素认证进行对接，充分理解中国用户的实际需求，提供开放、安全的用户认证管理平台，并高效融合在系统中，高度可靠、安全。数据安全管理设计数据与设备输入输出控制系统自带针对数据与外设的控制，包括如下几个方面安全控制内容内容说明USB外设可针对具体USB设备的唯一ID识别号来启用或禁用该设备的使用，包括打印机、扫描仪等客户端共享文件夹可针对用户PC本地磁盘的映射数据的传输进行控制，可进行双向、只读的控制，避免非法数据带入粘贴板可针对用户的粘贴行为进行控制，包括单向、双向粘贴内容音频控制包括对扬声器、麦克风的支持控制视频播放包括对摄像头、视频流的支持控制传统端口设备包括对串口等旧有接口设备的支持控制打印使用审计控制可以对用户打印的文件进行XPS格式的存档，后期可以追溯用户打印的文件及文件内容。屏幕录像审计控制可以对用户屏幕操作行为进行全屏录像，后期可以随时调阅用户的录像审计，直观展示用户的桌面行为。病毒防控安全设计采用三级安全控制用户虚拟机采用非持久方式，用户退出桌面后自动清除用户数据之外产生的临时数据，实现系统自恢复，使得病毒等没有残留的余地，保证系统的安全！控制用户数据交互通道，例如USB、磁盘映射、粘贴板等的控制，减少外部非安全数据的输入，降低病毒防控风险通过集中文件存储，在相应的文件服务器上进行统一的防病毒操作，实现高效的病毒防控网络安全访问设计本方案在网络上传输的仅是Windows操作系统的图形指令，没有其他与用户相关的文件和数据系统自身对外仅提供ssl443端口服务，实现内外网隔离，保障用户业务访问安全，数据中心所有对外流量只需443一个端口实现接入和隔离！方案特点高效的管理与运维传统桌面虚拟化解决方案给用户带来了便捷高效的同时，也提高了信息化管理人员的技术门槛。桌面云管理员需要具备PC管理人员+服务器存储管理人员+桌面云软件管理人员+服务器虚拟化管理员+数据库管理和备份管理人员+AD域管理员等，如某一个环节人员技术实力跟不上，就会给整个桌面云项目带来影响；从用人成本来说，不但没有下降反而提升了；云巅桌面云采用新一代硬件超融合架构，无需配置存储，也不需要配置额外的数据库，支持AD域但不依赖AD域，将桌面云的管理运维难度降到普通PC管理员即可轻松上手，充分利用现有终端管理技术资源，降低了运维难度。快速部署、线性扩容传统桌面虚拟化方案由各种复杂的硬件，及各种第三方软件组成，整个安装实施步骤复杂，某一个环节出现问题就会影响整个项目的进度及稳定性。而当需要进行传统桌面虚拟化系统扩容时，各组件、系统相互牵连，往往需要重新评估和升级，不然无法满足现有业务需求；云巅采用超融合分布式架构，信息技术人员可以通过一键安装的形式将云巅云平台整合到一台X86工业标准服务器中，整个安装实施简单，并以此为基础单元实现线性、海量扩容，扩容时只需购买X86服务器和软件许可，无需对原有硬件进行升级或扩容；软件的超融合最大程度上降低了安装部署及后期扩容实施的复杂度；而且能有效的控制初期投入及未来的扩容成本；分布式架构系统采用了分布式架构，整体架构更加灵活和可伸缩，针对大型企业，多数据中心和分支机构的实际情况，系统支持分布式部署与集中式部署等多种交付模式，从而满足不同应用规模的需求。用户体验传统桌面虚拟化方案中必须在每台虚拟桌面操作系统中安装Agent代理程序，用户通过虚拟桌面agent程序获得屏幕画面及鼠标键盘信息的交互，因此用户对虚拟桌面的操作都是通过代理程序提供服务；由于代理程序是运行在虚拟桌面中，因此其非常脆弱：AD故障、DNS故障、网络故障、程序冲突、用户误删文件甚至是禁用网卡等任何问题都可能影响正常工作，而且故障诊断定位非常困难。云巅桌面云服务不再依赖操作系统内部的代理程序，用户对桌面的任意操作都不会影响连接！即便用户禁用了虚拟桌面的网卡，访问连接仍然保持不会中断；用户操作虚拟桌面就像操作物理PC一样的体验。云巅桌面云可以提供多种登陆方式，客户端，网页，移动终端，而网页登陆最具有代表性。可以直接通过web浏览器登陆桌面。只要在任何能打开web浏览器的设备上，都能轻松访问。不需要安装任何插件。给出差，家庭办公员工提供了便利；高度的安全性传统桌面虚拟化部署中需要在数据中心防火墙上为每个虚拟桌面开启多个外部访问端口如：443、80、1494、2598、4172等，大量端口开放口容易给信息化系统网络带来极大的隐患，而云巅桌面云仅需开启443端口即可，协议通信、管理、登陆都在统一443端口中进行SSL加密传输；如要发布外网中，只需对应内网443端口即可。从整体信息化网络建设来说，为避免造成网络攻击，黑客攻击等问题，肯定是对外端口越少越好；整个桌面云传输采用NSP协议，该协议在网络上仅传输屏幕变化、鼠标键盘及一些外设信息，并通过SSL加密传输，所有数据仍然保留在数据中心，数据集中安全可控。自主可控并可根据用户需求定制化与客制化目前市场上的虚拟化架构主要有：KVM、XEN、Hyper-V、VMware，不同的架构体系所代表的产品功能之间会有差异，比如虚拟机画面传输，USB设备映射等，10年前就已经提出的虚拟化技术路线，一直延伸到现在；随着信息化技术的发展需要，各厂商需要不断的完善自己的产品，而伴随着就是不同的组件，不同的软件搭配起来的解决方案，企业需要的是一种适合自己的私有云方案，而非虚拟化技术。云巅桌面云是一个满足所有终端用户计算服务需求的云平台，建立在强大的的云巅云平台之上。针对各种复杂的业务挑战，提供最终用户计算服务所需的存储管理、设备管理、用户生命周期管理、虚拟机管理、自助门户和远程访问支持。云巅桌面云从底层虚拟化平台到用户访问协议都是自主研发，并有自主知识产权，系统核心架构师拥有微软和Facebook十多年的软件研发经验，研发团队掌握多项云计算领域的核心技术，完全掌控所有核心代码，我们可以根据不同的客户交付不同风格的产品。方案对比比传统方案更易于部署从上图中，我们可以看出，传统的VDI(如Citrix、VMware等)需要部署大量的第三方管理组件，包括AD域、数据库、连接服务器、许可证服务器等，所有组件均构建在WindowsServer服务器之上，部署极其复杂。云巅采用超融合架构，整个安装过程仅需一张光盘3个步骤，软件高度融合，简化部署过程，并通过分布式架构，后期升级无缝平滑，按需增加即可扩展整体规模。比传统方案更易于管理云巅采用超融合架构，整个架构仅需一个控制台，根据不同用户权限授予不同的管理使用能力，访问管理简洁，管理员和用户入门快，所有复杂的数据库、底层管理架构均由云巅超融合管理平台进行了整合，相较传统VDI方案复杂的管理架构，云巅统一融合的架构易于管理和维护。比传统方案体验更好云巅NSP协议能够提供最佳的桌面用户体验，特别是外设的支持，针对中国用户特殊外设提供定制化，满足中国用户特殊外设的应用需求。除此之外，对于云巅提供全面的系统支持，不仅仅是Windows桌面的交付，还能提供Linux系统的交付，且云巅平台采用无代理架构，用户具有完整的桌面用户体验，且任何操作都不会影响桌面访问的稳定性。而反观传统VDI方案，用户在桌面中的行为直接影响着虚拟桌面访问的稳定性，甚至用户修改IP地址这种在桌面PC环境下看似正常的操作，到了传统VDI厂商的方案中却成了非法操作。云巅从架构上彻底解决这些用户体验问题，提供用户最佳的用户访问体验。云巅采用无代理架构，用户桌面从虚拟化底层进行传统，与用户操作系统完全隔离，确保用户体验与桌面访问的独立性，保障用户体验和访问性能。比传统方案成本更低传统VDI厂商需要大量的第三方产品来构建他们的整体解决方案，实现同样的效果云巅无需使用任何第三方软硬件要求，从而大幅减少了整体投资成本。与传统方案综合比较方案配置清单硬件需求清单类型配置参数数量备注单价（元）总价（元）服务器CPU：2*IntelXeonE2600