虚拟化桌面在公安院校的应用＊

郭顶龙

(贵州警察学院，贵州 贵阳 550005)

0 引言

目前某学院办公终端一直使用功能全面的传统PC，但是大多数PC 终端都是八年前采购的，目前存在很多问题。虽然在大多数情况下，PC单一采购价格相对实惠，PC 配置和性能发展迭代非常快，性能优越。但在实际使用过程中，复用率非常低；每台PC 上需要安装相同的业务所需的软件程序及客户端；所有数据分散在各个PC 端上，无法对PC 进行统一集中的维护和管理，对数据无法进行统一集中存储、备份和处理。主要表现为：办公效率低；数据可以随便拷贝，安全风险大；运维人员工作复杂，终端运维困难。近年来，服务器中的CPU、主板、内存、磁盘等硬件设备的升级迭代，使服务器整体的运算、控制、存储和虚拟化的能力得到成倍的提升。虚拟化桌面是利用服务器资源，对计算机的终端系统进行虚拟化，以此达到桌面使用的灵活性和安全性，最终通过任何设备都能在任意时间、地点访问网络上的个人专属桌面系统。

1 问题应对

1.1 信息安全问题

2013 年斯诺登曝光美国“棱镜计划”，美国政府可以随意地调取科技IT 界八大巨头的数据，监控全球信息，全球正从IT（Information Technology）时代步入DT（Data Technology）时代。科技是第一生产力，发展底层国产自主可控芯片与基础软硬件，是保卫中国信息安全和产业安全的根本保障。最早提出“大数据”时代到来的是全球知名咨询公司麦肯锡，麦肯锡称：“数据，已经渗透到当今每一个行业和业务职能领域，成为重要的生产因素。人们对于海量数据的挖掘和运用，预示着新一波生产率增长和消费者盈余浪潮的到来。”在大数据发展的驱动下，人工智能必将成为各行各业发展动力。因此保卫自主信息安全刻不容缓。

1.2 国产化进展的伟大历程

从早期“863”、“核高基”时代科技界先驱筚路蓝缕的从0 到1 的突破，到一代代芯片、基础软硬件研发人员和企业家的长期坚持，再到国家半导体产业大基金以资本方式聚集力量，驱动产业加速发展。目前我国在国产化上已经有了许多突破：国产操作系统中标麒麟、银河麒麟……；国产芯片龙芯、飞腾、兆芯……。无论是软件还是硬件，都已经研发出值得信赖的核心技术产品。国家自主可控的发展经过了从实验室可用→勉强能用不好用→能用可用等阶段，正在逐步进入产业化，终端用户体验得到极大的提升。

1.3 Windows停服问题

微软于2020 年1 月14 日正式停止Win7 的更新，除额外支付费用扩展安全更新的政企用户外，不再提供任何技术支持、软件更新、安全更新及修复。2022年4 月9 日，微软向仍在运行Windows 10 版本1909或20H2 的用户发出警告。这两个版本都将随着5 月10 日达到服务期结束。不再获得技术支持后，这些Windows 系统将容易受到恶意攻击，所以用户及时升级系统非常重要，特别是那些连接到互联网的系统。

针对上述问题，在本单位内网电脑的建设上使用了桌面云技术来取代传统PC，采用在服务器一体机上承载桌面映像的方法，以集中资源管理方式并提高其桌面计算基础架构的可管理性。

2 建设需求

2.1 桌面云

迈向云计算之旅的第一步就是利用桌面云切断传统硬件设备的局限性，将原先运行在PC 端中的桌面、业务应用和用户数据统一迁移到将建设的数据中心服务器，这样不但能有效解决桌面统一上线的管理和数据安全的传统难题，而且还能为广大教职工用户提供多种工作环境所需的桌面灵活性和可访问性，实现随时随地有效可控访问[1]。

桌面云模式必须提供与传统PC 端一致的用户体验，让用户使用感知效果达到最佳状态。保证流畅的桌面操作及视频播放，并且良好兼容市面常见的打印机、扫描仪、多功能一体机、外置光驱等各类常见外围设备。不仅要确保系统桌面、业务软件的运行可靠，而且也要求桌面云架构必须具备平滑扩容升级的潜力。

桌面云应提供软硬件一体化服务器平台，不再使用软、硬件分开的集成模式，以更少的管理组件、更易用的管理平台，去实现简单高效的安装调试及运维管理，提升系统部署速度、运行效率。

2.2 桌面云架构设计方案

建设一站式、高性价比桌面云方案，只需要终端（信创终端、瘦终端、旧终端）、信创服务器两种硬件，及桌面云软件（包括虚拟桌面控制器、服务器虚拟化、存储虚拟化等软件平台）即可完成桌面云的快速搭建。如图1所示。

图1 桌面云超融合系统架构

⑴硬件平台

采用国产化服务器，每台服务器预装全套桌面云系统软件，开箱上架开机就用，不需要繁琐复杂的系统安装运行调试。部署时，将所有采购的服务器加入一个集群，形成统一运算资源池，实现弹性调用、集中监控。故障自动切换，即一旦检测到某台服务器突然发生故障，管理平台自动调用集群内的其他正常的服务器重启出错服务器运行的虚拟机，保证整个桌面云业务平稳正常运行。

采用分布式虚拟存储的架构，可以将服务器中指定的硬盘整合成虚拟的存储池，同时通过缓存技术、虚拟存储网络、多副本冗余等磁盘管理技术，在没有独立存储设备的方式下，完全实现高IO 性能、数据高可用、虚拟机迁移、故障自动切换等管理[2]，统一为桌面云系统提供经济高效的存储管理服务。每台服务器配备的二块高性能固态盘做冗余，用于安装桌面云的底层管理系统，高性能的缓存固态盘用于热点数据读写和缓存加速，普通的数据盘用于存放部署好的虚机模板和用户产生的个人数据。

采用多种业务网络传输架构，分别传输不同的业务数据，按使用类型分为：业务网、存储网、管理网。其中业务网主要传输图像、视频、外设等数据流量，存储网主要传输IO 操作、副本、迁移等流量，管理网主要传输配置、心跳、检测等数据流量。为达到三网分离使用，每台服务器必须配备多个千兆网口和万兆口，万兆光口用于存储网，三套网络分别采用双端口双交换机聚合的方式来提升网络可靠性和带宽。

⑵软件平台

虚拟化桌面控制器，提供细粒度策略控制、用户分级认证管理、虚拟化桌面、瘦终端监控及管理等多种功能；从而实现更安全、更便捷、更可靠地管理整个云桌面系统[4]。服务器虚拟化是直接在服务器硬件上面安装相关虚拟化平台，然后再在虚拟化平台上安装相关操作系统和业务应用，依赖虚拟层内核和服务器控制台进行统一的管理，可为云桌面提供高性能负载平台和先进管理功能[5]，包括虚拟机快速部署、资源管理及监控、集群高可用、动态迁移、数据备份及恢复等功能。

2.3 桌面云安全

IT 系统对安全性要求越来越高，云桌面平台的每一个环节都要求体现安全控制的根本理念。使用通过可靠有效的安全控制方法和手段，来保证正在运行的正常桌面业务系统的运行，有效的规避所有安全风险，见图2。使用的安全措施主要有：传输协议安全加密、身份认证多级权限管理、业务区域分别安全隔离、业务数据进行加密存储。

图2 系统安全控制

⑴传输协议安全加密

利用云桌面平台进行办公，用户使用终端通过专有通信传输协议连接到数据中心，传输协议承载整个图像传输、身份认证等关键业务信息，桌面云专有通信传输协议仅传输客户端图像变化和鼠标、键盘等操作数据，本身并不直接传输具体的应用数据，避免用户产生的数据在终端留存而泄露的发生。同时使用SSL 传输协议，保证所有信息数据都是在安全的通道内进行传输。

⑵身份认多级证权限管理

为了建立针对不同用户的访问权限，实现细粒度的管理用户平台策略，必须建立统一的用户身份认证平台，建立统一的用户身份认证将给云桌面平台的统一管理提供绝对可靠的安全性和便捷性。云桌面管理平台必须具备良好的密码管理策略[1]，可强制密码生存期、密码生复杂度、密码更改最短有效期、密码长度等要求、帐号密码输入错误达到一定次数就锁定等多种密码的安全策略，确保用户密码的安全性、唯一性。

⑶区域安全隔离

单位内部有多个部门，每个部门都存在有各自的业务系统、应用软件和特殊应用需求，而云桌面平台将为会不同的业务部门提供定制的服务，部门之间的业务信息和数据信息都需要隔离保护，因此采用区域方式的隔离技术，不同部门的业务应用可以根据不同的VLAN 进行虚拟环境的网络逻辑性隔离，保证不同教职工访问的安全性。

⑷业务数据加密存储

每个终端用户的系统桌面上都会存放着各种业务数据，云桌面平台使得数据统一集中化存储，如果平台受到恶意性攻击，被恶意破坏，将会存在重大的数据丢失及泄密风险。因此，需要对个人盘业务数据采用统一加密存储技术，以确保所有数据的安全性。

3 桌面云建设

3.1 全面保护核心数据

桌面云构建了一套高性能和高可用的桌面架构，使用自动化备份和统一集中式运维方式，最大化地简化终端硬件管理。如果发生系统故障需要恢复时，从传统PC的几小时缩短至几分钟的桌面云恢复，提升学院教职工办公的极致体验，教师不用担心因客户端故障、损坏或者丢失而造成工作中断，因为教职工的所有数据和业务应用程序均存储在虚拟化平台的数据中心，即便设备发生故障、损坏或丢失，用户可以从其他终端设备登录，并快速衔接中断的工作[6]。可以分级分组的控制用户是否能将文件从服务器数据中心的桌面拷贝到本地存储设备，如光盘、U盘、移动硬盘等。并可根据不同桌面用户的安全系数及接入桌面的环境匹配不同用户安全级别的策略，来实现保密性能，杜绝内部资料的流失，做到数据可控可管[3]。

3.2 提高运维工作效率

借助桌面云的模板部署、派生及更新等多种技术手段，管理员可以非常轻松、快速地按需求创建指定的多个桌面，并在很短的时间内将各种业务应用程序和配置文件推送至整个虚拟化平台中的指定桌面云。在日常维护方面，管理人员也只需要维护虚拟化平台的几台服务器、几套常用的模板和一些业务应用程序，提升桌面使用的效率及IT管理水平效率。

统一的运维管理界面可对计算、存储、网络及虚拟机等桌面资源进行全方位统一监控和实时告警，提前识别存在的故障及风险。并能支持统一完成所有云桌面的开机、重启、锁定、关机等系统操作，从低碳环保的角度能为云桌面设置开关机计划，实现上班前自动开机、下班后自动关机，节省资源占用。也能支持为云桌面设置为还原模式，在操作系统重启后，C盘数据恢复为开机时状态，除个人数据外，其他内容均还原为初始状态，始终为用户呈现干净可用的桌面环境，提供适用于多人使用的教学培训环境。

云桌面分组分级管理模式，支持批量系统设置，如为用户云桌面快速分配IP地址，提升IT人员桌面维护效率。支持一键深度检测，快速识别业务风险，并自动提供相应的解决方案，助管理员轻松解决业务问题。软件故障，可申请远程协助。系统故障、中毒或重要数据丢失，无须管理员介入，可利用快照恢复系统。支持分级分权，客户的管理员可以根据其组织结构的岗位分工，为不同管理员分配不同的管理权限，实现管理员之间管理界面、权限相互隔离，互不干扰。

4 结束语

本单位从事网络维护与管理的部门为学院某中心（处级单位）下的网络科，目前在编人员三名，其中一名为工勤人员，负责整个学院的网络维护和实验中心的国家资产管理。所以专业技术人员的短缺、工作人员知识能力不够。导致目前现有人员只能对疲惫应对现有相关系统进行维护，通过使用桌面云系统后，解决了许多平时难以解决的情况。管理部门可以通过设置集中化策略控制用户对数据的分组分级访问权限，例如控制用户是否能将文件从数据中心的桌面拷贝到本地设备或U 盘，并可根据不同桌面的安全系数及接入桌面的环境匹配不同安全级别的策略，从而完全实现全面安全又提高了桌面生产力。