构造安全的云桌面系统

　　如图1所示，云桌面通常包括以下几部分。

　　图1 云桌面组成示意

• 访问层，包括各种可以访问云桌面的终端设备，可以是特定的瘦终端，也可以是传统的PC电脑，笔记本电脑，手机等。
• 接入层，由虚拟桌面链接协议和网络设备组成，网络设备可以是透明的，通过交换机/路由器IP可达即可，也可以通过防火墙/VPN来增强传输安全性。
• 数据中心中有控制层和应用层等软件系统层，以及H3C CAS虚拟化管理平台搭建的服务器虚拟化层，软件系统方面的安全和稳定性是构造安全的云桌面系统的关键。此外在数据中心还有服务器，存储，网络设备组成的硬件平台。

　　可见，构造一个安全的云桌面系统需要通盘考虑，才能建立一个完整的安全防护体系架构。忽略整个系统任何一个小的方面，都可能导致整个系统的不安全。

　　1. 访问层安全

　　云桌面系统，所有计算和和数据的存储都是在云端，客户端不保存用户的数据，在客户端和（后台）云端通信时，传输的仅仅是位图的变化，并没有实际用户的数据传递到客户端，所以不用担心数据在从服务器端传递的过程中被窃取。

　　云桌面可以提供细粒度的访问控制，可以通过安全策略开放或者关闭 USB 、打印机端口等；同时USB 端口可以分等级控制：保证连接在上面的扫描仪、智能卡等可以正常使用，但是禁止使用大容量存储盘，即确保敏感数据不会通过U盘泄露出去，又保证了业务的正常进行。

　　此外，云桌面系统还可以提供细粒度的文件复制黏贴控制，可以单向禁止从云中拷贝内容至原生操作系统上，保障企业业务数据安全；反方向禁止拷贝亦然，防止不安全文件在云中扩散。

　　2. 接入层安全

　　为了防止有窃密者通过非法获取别人的用户名和密码，或者使用自己的用户名密码在安全区域外通过任何一台瘦客户端来访问云桌面，需要添加另外一种认证方式。这种认证方式可以是在交换机上开启802.1X认证，使得只有规定MAC的终端在规定端口上才能接入网络，非规定终端无法连入，充分保证接入网络的安全性，保障企业核心数据区。此外，如果将终端MAC和用户账号绑定，可以防止其他人使用非规定账号接入云桌面中。再通过智能卡配合认证，可以防止账号被随意使用，实现人与账号的绑定。

　　客户端和服务器之间的通信由于是通过网络上传播，所以有可能被人窃听、破解，来破坏数据的完整性。为了防范这种情况的出现，一种方法是采用专有网络方案，即搭建专网，设立防火墙并建立安全域。这样可以确保网络中的客户都是可信任客户最终保障数据传输安全。另一种方式是对通信的数据进行加密。在云桌面方案中一般对于公司防火墙外的非信任用户提供安全连接点，外部用户通过这个安全连接点连接到防火墙内的服务器，这种安全连接点的方式可以是 SSL VPN，也可以是L2TP、PPTP这样的二层隧道。对于公司防火墙内部的用户和服务器之间的连接，一般是通过 SSL 协议进行加密传输。通过这两种方式，云桌面方案有效的保证了数据传输的安全性。

　　3. 虚拟桌面镜像安全

　　虚拟桌面镜像技术是虚拟桌面的核心技术之一。使用虚拟桌面镜像可以将桌面配置成浮动桌面池，这样只需要重启桌面，桌面就可以自动恢复到未受病毒感染时的状态（初始镜像） , 而用户身份数据保存在云端，不会受到病毒的影响。但是如果用户有私有文件，或是使用自动/手动桌面池的话，由于这些文件是可写的，病毒就可能常驻在这些文件里面。如果贸然通过初始镜像还原，可能造成用户数据的丢失。使用备份镜像还原则可能造成病毒的再扩散。因此防病毒软件必不可少。我们需要运行反病毒软件来清理病毒，必须给云桌面中的桌面安装防火墙和防病毒软件，和传统桌面相比，这种安装非常快，一般只需要在几个初始镜像上进行安装就可以了。

　　传统的桌面操作系统也通常受到各种漏洞的侵扰，比如最常使用的Windows XP操作系统漏洞多达万余个，需要及时安装官方补丁来修补漏洞，防止恶意软件利用操作系统漏洞侵入。云桌面系统可以批量分发，安装补丁，并根据需求优先安装指定补丁，十分便于运维，并大幅提高终端安全性。

　　4. 数据中心硬件安全

　　和通常的数据中心的服务器一样，云桌面方案中的服务器也必须遵循企业一般的安全策略，如关闭所有的不需要的端口，安装必须的防火墙以及升级到最新的安全补丁，每天进行备份，部署监控软件等等。云桌面中的存储的安全要求和企业中的其他存储安全基本上是一样的。最常用的存储安全方式是在 FC 的路由器做分区和逻辑单元数掩码。

　　5. 管理权限安全

　　在传统桌面中，用户数据都是保存在本地的硬盘当中，非授权用户未经许可，难以获取用户数据。但是在云桌面方案中，用户数据都是保存在服务器存储中，云桌面管理员可以比较容易的获取这些数据，这就要求对用户数据加密，防止未经授权的获取用户数据，同时对管理员的密码和访问都需要做出严格的限制，防止用户数据的泄密。

　　云桌面系统中所有的管理都集中到云端进行，不小心的误操作或者黑客获得管理权限之后的有意操作会造成很大的影响，影响的大小取决于操作的类型和总的用户的数量，所以在云桌面系统中可以采取以下两种措施来消除这种影响。

• 定义不同的管理角色。例如分为维护管理员，组织管理员和超级管理员，可以根据实际需要来进行更细粒度的划分。
• 审计。对每个涉及到系统变更的操作都需要做好审计工作，这样在事故发生以后可以追溯系统中的变化。审计也能有理由识别出恶意操作，及时发现系统的漏洞。

　　6. 结束语

　　通过在前端、网络、服务器、存储、软件架构、管理权限等各个方面实施安全措施，我们可以搭建一个安全可靠的云桌面系统，解决最困扰IT管理人员的终端安全问题，让大家一起享受云计算带来的好处。