許蕓蕓

在含有涉密信息的網(wǎng)絡(luò)中，如何將新有的桌面虛擬化技術(shù)與分保標(biāo)準(zhǔn)找到相互的契合點(diǎn)成為桌面虛擬化在涉密網(wǎng)內(nèi)推進(jìn)的合規(guī)性關(guān)鍵，將現(xiàn)有的安全體系架構(gòu)移植到桌面虛擬化部署環(huán)境成為其技術(shù)關(guān)鍵。桌面虛擬化技術(shù)是未來(lái)IT管理的發(fā)展趨勢(shì)，其技術(shù)創(chuàng)新、管理創(chuàng)新和管理思路的改變將對(duì)現(xiàn)有的管理模式、技術(shù)架構(gòu)以及相關(guān)的信息安全規(guī)定產(chǎn)生強(qiáng)烈的沖擊和變革。目前一些信息化程度較高、技術(shù)實(shí)力相對(duì)雄厚的軍工科研生產(chǎn)單位，已經(jīng)率先建設(shè)使用了基于云計(jì)算技術(shù)的涉密網(wǎng)絡(luò)，在業(yè)務(wù)應(yīng)用和安全保密管理方面都進(jìn)行了有益的嘗試，2014年開始西飛與金航數(shù)碼就根據(jù)軍工行業(yè)內(nèi)的現(xiàn)狀和需求，確定了“基于涉密信息系統(tǒng)的桌面虛擬化適用性”研究課題，這些有益的嘗試為終端虛擬化在涉密網(wǎng)中的應(yīng)用提供了實(shí)踐依據(jù)。

一、方案概述

終端虛擬化解決方案主要由前端接入設(shè)備及配套虛擬化管理系統(tǒng)、虛擬化平臺(tái)和基礎(chǔ)物理資源組成。前端設(shè)備及配套虛擬化管理系統(tǒng)一般采用瘦客戶機(jī)、前端配套精簡(jiǎn)操作系統(tǒng)及配套管理系統(tǒng)；虛擬化平臺(tái)主要為瘦客戶機(jī)提供相互管理的虛擬機(jī)，并通過VDI軟件提供桌面用戶認(rèn)證管理、桌面訪問控制、動(dòng)態(tài)資源調(diào)度、動(dòng)態(tài)桌面遷移和負(fù)載均衡等功能，如下圖所示。國(guó)外主流廠商主要有VMware、思杰和微軟三大廠商，國(guó)內(nèi)主要有升騰、京華科訊和方物等。國(guó)內(nèi)外廠商在基礎(chǔ)架構(gòu)、桌面分發(fā)、傳輸協(xié)議、鏡像管理、虛擬應(yīng)用等桌面虛擬化技術(shù)領(lǐng)域已有成熟的商用解決方案。

二、政策合規(guī)性

在涉密網(wǎng)中能否使用瘦客戶機(jī)及虛擬化技術(shù)還未獲得相關(guān)政府部門的明確肯定，因此需要積極和國(guó)家相關(guān)政府進(jìn)行探討，確定符合政策的終端虛擬化技術(shù)的部署和使用方式。經(jīng)咨詢具有國(guó)家保密局涉密集成資質(zhì)的公司，了解業(yè)內(nèi)的通用做法，對(duì)于當(dāng)前一些使用了虛擬終端的涉密網(wǎng)來(lái)說(shuō)，為了保證其合規(guī)性，一般做法如下：

涉密網(wǎng)中普通PC機(jī)的管控措施可應(yīng)用在虛擬終端機(jī)上；相關(guān)單位要在方案設(shè)計(jì)時(shí)就組織專家評(píng)審會(huì)，專門對(duì)在涉密網(wǎng)中的應(yīng)用虛擬終端的方案進(jìn)行評(píng)審，以便于順利通過測(cè)評(píng)。

三、可行性分析

目前，在涉密網(wǎng)上現(xiàn)在運(yùn)行著眾多涉密、非涉密信息系統(tǒng)和終端管控、網(wǎng)絡(luò)審計(jì)、違規(guī)外聯(lián)等安全保密系統(tǒng)，企業(yè)信息部門需要設(shè)立專人負(fù)責(zé)終端計(jì)算機(jī)的維護(hù)。在現(xiàn)有的維護(hù)工作中，需要對(duì)每臺(tái)計(jì)算機(jī)進(jìn)行維護(hù)，如系統(tǒng)重裝，應(yīng)用軟件的安裝等工作。如果出現(xiàn)應(yīng)用系統(tǒng)更新，新的業(yè)務(wù)系統(tǒng)的上線，桌面維護(hù)的工作量會(huì)非常巨大。

終端虛擬化技術(shù)能在很大程度上解決上述問題，而且經(jīng)過測(cè)試，終端虛擬化技術(shù)在涉密辦公網(wǎng)中能夠與現(xiàn)有的應(yīng)用系統(tǒng)、安全系統(tǒng)兼容。并且經(jīng)過適當(dāng)?shù)募砷_發(fā)后，可與多數(shù)企業(yè)在用的CA身份認(rèn)證系統(tǒng)和單點(diǎn)登錄相結(jié)合，因此終端虛擬化技術(shù)在涉密網(wǎng)中部署有很好的前景。

四、在涉密網(wǎng)中使用虛擬化終端的優(yōu)勢(shì)

（一）集中管理，業(yè)務(wù)針對(duì)性強(qiáng)

涉密辦公網(wǎng)對(duì)于終端辦公環(huán)境的管理有嚴(yán)格的要求。終端虛擬化技術(shù)所能執(zhí)行的應(yīng)用完全取決于服務(wù)器端的集中設(shè)定，系統(tǒng)管理員可以根據(jù)涉密網(wǎng)業(yè)務(wù)的需要，為客戶端定制統(tǒng)一、合規(guī)、高效的應(yīng)用，使得涉密網(wǎng)的辦公環(huán)境標(biāo)準(zhǔn)化，可以有效地防止其他惡意程序的安裝，提高涉密網(wǎng)的安全性。

（二）管理、維護(hù)成本低

終端虛擬化技術(shù)是在網(wǎng)絡(luò)環(huán)境下工作的，其運(yùn)行的程序、數(shù)據(jù)都集中在服務(wù)器端，在這種工作模式下，整個(gè)系統(tǒng)的安裝、調(diào)試、管理、維護(hù)、升級(jí)都由系統(tǒng)管理員在服務(wù)器端統(tǒng)一實(shí)現(xiàn)，客戶端僅需要做很少的管理、維護(hù)工作，應(yīng)用系統(tǒng)的升級(jí)和客戶端沒有關(guān)系，使得系統(tǒng)管理員可以在任何一點(diǎn)單點(diǎn)控制整個(gè)網(wǎng)絡(luò)系統(tǒng)。這將能夠幫助系統(tǒng)管理員快速地完成信息系統(tǒng)的安裝、調(diào)試、升級(jí)和維護(hù)工作，大大節(jié)省信息系統(tǒng)的部署時(shí)間，降低人力資源費(fèi)用和管理成本，提高管理效率。

（三）具有低廉的整體擁有成本

終端虛擬化技術(shù)中終端的購(gòu)買費(fèi)用要比臺(tái)式PC的費(fèi)用低，其設(shè)備具有非常少的可移動(dòng)部件，所以通常其使用壽命比較長(zhǎng)，擺脫了不斷硬件升級(jí)困擾，一體化設(shè)計(jì)，性能穩(wěn)定，故障率低。當(dāng)中央系統(tǒng)進(jìn)行升級(jí)和備份處理時(shí)，所需要花費(fèi)的IT運(yùn)維費(fèi)用較少。此外，采用終端虛擬化技術(shù)終端能耗較少，根據(jù)測(cè)算，每臺(tái)終端與傳統(tǒng)臺(tái)式機(jī)相比，每年可節(jié)能約80%，整體能降低多達(dá)67%的能耗與冷卻需求所導(dǎo)致的成本。通過服務(wù)器虛擬化技術(shù)對(duì)服務(wù)器整合之后，可以實(shí)現(xiàn)如下直接成本的節(jié)省：

物理服務(wù)器的空間成本；

物理服務(wù)器的電能成本；

服務(wù)器機(jī)房冷卻成本；

物理服務(wù)器硬件成本；

網(wǎng)絡(luò)設(shè)備硬件成本（包括昂貴的裝置，如交換機(jī)和光纖管道主機(jī)總線適配器）；

每臺(tái)物理服務(wù)器和網(wǎng)絡(luò)設(shè)備的維護(hù)成本。

可以實(shí)現(xiàn)如下間接成本的節(jié)?。?/p>

硬件故障或硬件維護(hù)的停機(jī)成本；

部署新服務(wù)器和應(yīng)用的所需時(shí)間；

出現(xiàn)意外服務(wù)器故障時(shí)，遷移到新物理硬件的時(shí)間；

設(shè)備老化后，遷移到新物理硬件的時(shí)間 。

五、可能存在的問題

（一）網(wǎng)絡(luò)環(huán)境的高安全性和可靠性要求

終端虛擬化技術(shù)對(duì)網(wǎng)絡(luò)及后臺(tái)服務(wù)器要求比較高，如果是網(wǎng)絡(luò)質(zhì)量不好或使用廣域網(wǎng)絡(luò)可能會(huì)存在問題。而且其所有業(yè)務(wù)完全依賴于網(wǎng)絡(luò)，網(wǎng)絡(luò)一旦癱瘓，所有的虛擬化終端都將無(wú)法啟動(dòng)和工作。企業(yè)內(nèi)大量終端開機(jī)時(shí)，并發(fā)運(yùn)行對(duì)網(wǎng)絡(luò)的要求很高，如果網(wǎng)絡(luò)質(zhì)量不好會(huì)存在很大的問題。

因此，需要對(duì)企業(yè)涉密網(wǎng)絡(luò)現(xiàn)狀認(rèn)真調(diào)研，并在方案設(shè)計(jì)時(shí)進(jìn)行大量詳盡測(cè)試，包括主干網(wǎng)帶寬，核心和接入交換機(jī)的各項(xiàng)性能進(jìn)行詳細(xì)測(cè)試，分析現(xiàn)有的網(wǎng)絡(luò)環(huán)境在大量虛擬終端并行運(yùn)行的條件下對(duì)網(wǎng)絡(luò)的影響。

（二）服務(wù)器性能和安全性高要求

終端虛擬化技術(shù)對(duì)于服務(wù)器要求比較高，所有的終端的發(fā)布管理都是通過服務(wù)器進(jìn)行，后端服務(wù)器需要模擬前端的CPU、內(nèi)存、硬盤等，并且終端所有計(jì)算都在后臺(tái)服務(wù)器進(jìn)行，當(dāng)終端數(shù)量較大時(shí)對(duì)于服務(wù)器的性能的壓力會(huì)很大。此外，由于所有的管理都是在服務(wù)器上運(yùn)行，因此對(duì)服務(wù)器的安全性有著很高的要求，一旦出現(xiàn)服務(wù)器被入侵，會(huì)出現(xiàn)嚴(yán)重的安全隱患。因此在方案設(shè)計(jì)時(shí)需要對(duì)虛擬化中服務(wù)器的詳細(xì)的性能參數(shù)進(jìn)行測(cè)試，確定在現(xiàn)有的涉密辦公環(huán)境下，每臺(tái)服務(wù)器模擬的瘦客戶數(shù)量以及多服務(wù)器的部署方式。

（三）管理維護(hù)制度的改變

多數(shù)涉密網(wǎng)現(xiàn)有的管理和維護(hù)制度都是針對(duì)普通PC終端的，但是終端虛擬化的方式改變了PC的管理方式，所有的管理和維護(hù)都通過服務(wù)器進(jìn)行，可能會(huì)存在和原有的管理維護(hù)制度不符的地方，需要對(duì)原有的制度進(jìn)行修改。比如，在分級(jí)保護(hù)中要求，終端設(shè)備及中間流轉(zhuǎn)數(shù)據(jù)的交換機(jī)不處理涉密數(shù)據(jù)，如果全部按照老辦法標(biāo)密，會(huì)給管理員帶來(lái)更大的工作量，虛擬化快捷、方便的特性將大大折扣；在運(yùn)維方面，傳統(tǒng)運(yùn)維模式下，網(wǎng)絡(luò)、桌面、存儲(chǔ)、服務(wù)器四塊業(yè)務(wù)通常分部門來(lái)完成，當(dāng)出現(xiàn)故障容易判斷故障點(diǎn)，而VDI桌面實(shí)際上是將以上四部分的技術(shù)整合，如何將四塊技術(shù)部門聯(lián)動(dòng)排查故障在VDI桌面中顯得格外重要。除此之外，業(yè)務(wù)入、退網(wǎng)申請(qǐng)、故障申報(bào)的流程也會(huì)隨著VDI桌面的實(shí)施發(fā)生變化。

六、部署替代方式

基于目前多數(shù)涉密網(wǎng)的現(xiàn)實(shí)情況，可以采取分批購(gòu)置取代到期報(bào)廢的普通PC，從普通PC與虛擬化終端并存逐步過渡到全部更換為虛擬化終端的分布實(shí)施方式，這樣可以最大限度的避免涉密網(wǎng)內(nèi)用戶使用習(xí)慣的改變和充分利用現(xiàn)有資源。

終端虛擬化方案在涉密網(wǎng)中部署有很好的優(yōu)勢(shì)，也存在一些未確定的問題，本文的討論結(jié)果僅是一種嘗試和參考，是否能很好的解決涉密網(wǎng)中的終端管控問題，還需要在實(shí)踐中進(jìn)一步驗(yàn)證。