内外网云桌面替换传统终端的设计分析
靖纯
（新华社技术局全媒体采编技术系统部）
摘要：云桌面作为云计算技术的重要组成部分，在运维、安全等方面的独特优势，已广泛运用于企事业单位的生产环境中。在新媒体业务背景下，云桌面虚拟终端以不同方式替换传统终端，让终端用户通过多种方式接入应用系统，实现内外网数据交换，并可按需设计达到最佳性价比。关键词：云桌面 虚拟终端 内外网 数据交换1引言
新媒体产品业务是新华社全媒体集团业务中变化最快的业务形态，由于其主要面向互联网用户，它们随着互联网技术的飞速发展而显得最富有活力。要想占领终端、抢占互联网用户市场，发展新媒体产品是现代媒体快速扩大影响力的必由之路。随着新媒体业务不断发展，传统业务和新媒体业务之间的数据交换日渐频繁。新闻单位业务系统必须具有较高的安全性，与互联网完全隔离是组建内部局域网的最高安全技术手段, 但同时也限制了用户对互联网的访问需求。随着媒体融合下全媒体建设的不断深入，新华社的新闻业务与Internet之间的联系更加密切，内外网协同工作成为新华社业务应用必须解决的问题。近年来，云计算技术的快速发展引起了新产业变革。云桌面技术是将数据计算由传统PC终端转移到后端服务器，终端仅负责图形输出显示及鼠标键盘操作的桌面虚拟化技术，是目前云计算技术的重要发展方向。云桌面实现了在服务器端对虚拟桌面统一部署，将用户数据和应用系统集中管理，从而可以有效实现内外网数据交换，使内外网协同处理新媒体业务变得方便快捷并可以即时显示。云桌面系统需针对不同的网络机构和布局采取不同的设计，才能保证用户对内部局域网和外部Internet的安全便捷访问。2 传统内外网办公环境分析及发展
新华社对办公环境和内外网络安全都有严格要求，为防止互联网外部入侵，内外网要物理隔离；内网资料禁止被拷贝，而传统PC终端缺乏针对外接移动存储设备的控制能力，只能由管理员逐个设置，存在安全隐患；同时，传统PC终端具有硬盘、光驱、USB接口等设备，本地拥有存储、计算能力，用户可以随意安装各类软件，容易受到病毒攻击，进而对整个网络产生影响；由于对内网和外网物理隔离，业务岗位一般需要配备双PC终端，投资大、空间占用大，用户使用不方便。上述情况导致传统PC终端模式必须做出改变，由于云桌面技术的发展和优势，使其成为最佳的选择。2.1传统办公环境新华社现有业务系统设计采用的是两机物理隔离的方式。两机物理隔离实现方式是：一个办公岗位配备两台PC终端，其中一台PC只能连接内部业务网络办公，另一台PC可以连接Internet。此方式两台PC终端的数据交互相当麻烦，外网查找了资料后无法直接导入到内网，内网发布的新闻信息无法得到外网的反馈，在新媒体业务中会直接导致各种信息的延误，产生滞后效应。2.2内外网模式实现方式对应两机物理隔离，当前办公环境连接内外网的两种常见网络布局和布线方式：单网络布线方式，是指在网络布线时只建立一套网络系统，内外网之间增配网络隔离与信息交换设备和防火墙实现单机双网功能。单网络布线具有使用方便、成本低的优点, 但也存在着较大的安全隐患，并不是严格意义上的物理隔离。双网络布线方式，是指在网络布线时, 同时建立了两套物理隔离的网络系统。每位用户配备两台PC终端, 分别连接内外两个网络，两套系统没有数据交换。具有最高的网络安全性，但成本较高。2.3传统终端到云桌面的升级在传统PC终端向云桌面系统升级的过程中，最简单的做法是利用虚拟终端替代全部或部分的传统PC，无需对现有网络结构进行任何改变，只需部署云桌面服务器即可实现。但系统升级的过程最好遵循循序渐进原则，先小规模试用再大规模推广，尤其是PC终端总量非常庞大时更应如此；内外网都使用云桌面系统时先独立建设实现物理隔离，再混合统一实现资源共享的后台云桌面服务，达到可数据交换的逻辑隔离，充分体现云计算特性。云桌面系统的试用可以虚拟桌面展示应用效果。以内网为例，本地PC终端直接访问内网中部署的云桌面服务器，虚拟桌面加载业务内网环境，完成内网业务应用。PC终端安装虚拟桌面客户端软件后，不需要单独再部署一套虚拟终端设备。以上设计同样适用于外网云桌面系统初期建设。如果本地PC终端配置了双网卡，可同时连接内外网，则可借助本地终端与云桌面结合实现内外网逻辑隔离需求。本地终端连接外网，云桌面服务器部署在内网，本地终端安装虚拟桌面客户端软件，用户需要通过互联网进行资料查询时切换到本地系统，处理内网业务时则调用虚拟桌面客户端软件切换到云桌面系统，方便性、快捷性、安全性都得到相应保障。这种设计实现了资源的最优利用，满足单位硬件利旧，降低成本。目前，新华社多个应用系统已使用此方式进行管理及简单程序部署。系统管理员使用云桌面技术在一台服务器上运行多个虚拟云桌面，实现多个PC功能，为多个应用系统服务，使用本地PC终端去调用云桌面进行远程管理，是上述设计的具体实现。3内外网不同隔离需求的云桌面设计分析
云桌面系统构建于企业级云平台上，基于服务器的模型，多个用户桌面以虚拟机的形式独立运行，同时共享CPU、内存、网络连接和存储器等底层物理硬件资源；为实现统一认证、统一管理以及更灵活的调配资源，需要在服务器端管理所有用户桌面，并且加强对应用软件和补丁管理的控制，提高系统的安全性和可靠性。云桌面系统涉及服务器、网络、存储资源等物理设备部署、虚拟终端接入和提供高效访问的云桌面服务体系。云桌面系统为每个用户提供访问内外网络的虚拟化桌面，同时阻止内外网络文件的直接传输，达到内外网隔离的目的。用户所有操作行为均在虚拟化桌面中进行，数据集中在服务器端，内外网数据交换与本地工作终端彻底分离，构成内外网协同工作的安全高效的平台。3.1内外网双布线双终端实现物理隔离设计新华社对内外网应用系统严格区分，不允许物理联通，且已实现了双网络布线基础网络结构，云桌面的实现可建立内外网独立的系统，即建立两套云桌面系统，实现物理全隔离，并可通过双虚拟终端实现办公区域的隔离，达到最高的物理隔离安全级别，系统架构如图1所示。内网虚拟终端可访问内网中所有资源，与内网业务相关的工作均在内网虚拟终端内进行，用户通过终端访问内网专属桌面使用相关资源。外网虚拟终端，可与Internet相连，满足用户日常办公访问外网的需求。设计部署采用安全级别最高的物理隔离手段，引进云桌面技术后实现了硬件与数据的分离，计算存储均集中到云桌面服务器端，大大提高了安全等级。外设接入的管控将十分容易，可快速实现权限开放和关闭的设置；双虚拟终端模式可满足用户在办公时的内外网隔离需求，相较传统终端物理隔离技术，云桌面系统不会有数据驻留本地，所有核心数据全在服务器端，是传统PC终端物理隔离的直接升级版。新华社目前正在部署大厦发稿中心云桌面系统，由于涉及部门很多，需要逐步更换，所以采用此种设计模式。在不影响用户业务活动前提下，首先建立外网云桌面系统，更新完成后视情况逐步推广至内网应用系统。图1内外网双布线双终端物理隔离
3.2内外网双布线单终端实现物理隔离设计在完全物理隔离的基础上，云桌面服务器没有变化，仍然建立内外网独立的两套云桌面系统，仅增加云桌面虚拟终端配置，使虚拟终端可控制内外网切换，一边连接办公外网，一边连接业务内网，二者只能分别访问本网内的云桌面系统，完全物理隔离；虚拟终端附加了网络控制模块，内外网络同时接入控制模块，通过相应网络控制开关操作进行内外网切换，但内外网络不能同时连通，可实现不同网络内云桌面的访问。系统架构如图2所示。图2内外网双布线单终端物理隔离
设计部署同样采用安全级别最高的物理隔离手段，用户工作台只有单台虚拟终端，空间占用和能耗会减少；虚拟终端仅增加双网控制模块，不需要额外的其它投入，使用便捷度和用户空间体验大为提升；内外网数据交换比双虚拟终端模式有所加强，投入成本比双虚拟终端相对减少，在内外网都成功建立云桌面系统后可以采用单虚拟终端模式。3.3内外网双布线单终端实现逻辑隔离设计基于内外网双网络布线基础结构建立混合云桌面系统，可实现逻辑隔离和资源配置的最优。内外网的云桌面系统进行集中部署，建立统一的云桌面系统，硬件资源可以共享。通过云桌面虚拟终端对服务器虚拟桌面的访问切换进行内外网应用的使用，虚拟终端配备两个网卡分别接入内外网，云桌面服务器同时接入内外网，并严格指定其中各个虚拟桌面也分属不同的网络，绑定相应的网卡，虚拟终端在系统调控下只能在其专属网络下调用各虚拟桌面，从逻辑上实现物理隔离的效果。系统架构如图3所示。用户通过虚拟终端登陆后可以选择分属内外网的不同虚拟桌面进入相应业务系统，选择内网时只能通过内网网卡访问服务器端内网虚拟桌面，选择外网时只能通过外网网卡访问服务器端外网虚拟桌面，内外网云桌面互不干扰各行其道，同时云桌面系统整体资源利用的自适应可实现对硬件资源的最优利用。图3内外网双布线单终端逻辑隔离
此设计的成本比建设两套云桌面系统大为降低，且充分利用了云桌面服务器端硬件资源的自调节、自适应特点。服务器端硬件资源投入大为降低，相较独立云桌面系统，混合云桌面模式可实现硬件资源最优配置和最高利用率；单虚拟终端模式也可降低能耗，减少资源浪费，虚拟终端内可实现快速内外网应用切换，增加了内外网数据交换的便捷性。云桌面整体系统简洁紧凑又不降低安全级别，是现在内外网隔离云桌面最具性价比设计。3.4内外网单布线单终端实现逻辑隔离设计基于单布线模式下建立混合云桌面系统，借助云桌面虚拟交换机技术实现内外网逻辑隔离。可限定某个划分的子网不可访问外网，仅访问内网资源，与可以访问Internet的子网之间实现逻辑隔离。云桌面服务器同时连接内外网，但无需为每个虚拟桌面绑定网卡，而是体现其云计算属性，在相应网络资源池中随机分布。根据管理员设立的策略，虚拟交换机与物理交换机功能保持一致，可完全符合物理网络的相关规则，构建整体云桌面系统网络环境，在系统内将内网环境和外网环境做人为划分，以满足用户对内外网的相应需求。用户访问内外网应用均通过单台虚拟终端登陆，终端不做网络区分，通过服务器端虚拟交换机调用不同的虚拟桌面池资源，虚拟桌面在创建时就已经具备了某个子网属性，用户登陆不同的虚拟桌面即可实现内外网的切换访问。系统架构如图4所示。图4内外网单布线单终端逻辑隔离
此设计不需要额外硬件资源或网络作支撑，完全依靠云桌面自身特点实现内外网的逻辑隔离。虚拟交换机可对云桌面的网络加以规划，并继承现有办公环境下的网络规则，对需要访问外网或是内网资源的用户，可在分配云桌面时，构建相应的子网属性，最终实现逻辑隔离；硬件资源投入可大为降低，相较内外网独立云桌面系统，此设计可实现硬件资源最优配置，达到最高利用率，同时安全性也得到了保障。此设计是云桌面体现云计算技术特性的具体实现。
评论 点击评论