涉密網(wǎng)中終端虛擬化的應用探討

許蕓蕓

在含有涉密信息的網(wǎng)絡中，如何將新有的桌面虛擬化技術與分保標準找到相互的契合點成為桌面虛擬化在涉密網(wǎng)內(nèi)推進的合規(guī)性關鍵，將現(xiàn)有的安全體系架構(gòu)移植到桌面虛擬化部署環(huán)境成為其技術關鍵。桌面虛擬化技術是未來IT管理的發(fā)展趨勢，其技術創(chuàng)新、管理創(chuàng)新和管理思路的改變將對現(xiàn)有的管理模式、技術架構(gòu)以及相關的信息安全規(guī)定產(chǎn)生強烈的沖擊和變革。目前一些信息化程度較高、技術實力相對雄厚的軍工科研生產(chǎn)單位，已經(jīng)率先建設使用了基于云計算技術的涉密網(wǎng)絡，在業(yè)務應用和安全保密管理方面都進行了有益的嘗試，2014年開始西飛與金航數(shù)碼就根據(jù)軍工行業(yè)內(nèi)的現(xiàn)狀和需求，確定了“基于涉密信息系統(tǒng)的桌面虛擬化適用性”研究課題，這些有益的嘗試為終端虛擬化在涉密網(wǎng)中的應用提供了實踐依據(jù)。

一、方案概述

終端虛擬化解決方案主要由前端接入設備及配套虛擬化管理系統(tǒng)、虛擬化平臺和基礎物理資源組成。前端設備及配套虛擬化管理系統(tǒng)一般采用瘦客戶機、前端配套精簡操作系統(tǒng)及配套管理系統(tǒng)；虛擬化平臺主要為瘦客戶機提供相互管理的虛擬機，并通過VDI軟件提供桌面用戶認證管理、桌面訪問控制、動態(tài)資源調(diào)度、動態(tài)桌面遷移和負載均衡等功能，如下圖所示。國外主流廠商主要有VMware、思杰和微軟三大廠商，國內(nèi)主要有升騰、京華科訊和方物等。國內(nèi)外廠商在基礎架構(gòu)、桌面分發(fā)、傳輸協(xié)議、鏡像管理、虛擬應用等桌面虛擬化技術領域已有成熟的商用解決方案。

二、政策合規(guī)性

在涉密網(wǎng)中能否使用瘦客戶機及虛擬化技術還未獲得相關政府部門的明確肯定，因此需要積極和國家相關政府進行探討，確定符合政策的終端虛擬化技術的部署和使用方式。經(jīng)咨詢具有國家保密局涉密集成資質(zhì)的公司，了解業(yè)內(nèi)的通用做法，對于當前一些使用了虛擬終端的涉密網(wǎng)來說，為了保證其合規(guī)性，一般做法如下：

涉密網(wǎng)中普通PC機的管控措施可應用在虛擬終端機上；相關單位要在方案設計時就組織專家評審會，專門對在涉密網(wǎng)中的應用虛擬終端的方案進行評審，以便于順利通過測評。

三、可行性分析

目前，在涉密網(wǎng)上現(xiàn)在運行著眾多涉密、非涉密信息系統(tǒng)和終端管控、網(wǎng)絡審計、違規(guī)外聯(lián)等安全保密系統(tǒng)，企業(yè)信息部門需要設立專人負責終端計算機的維護。在現(xiàn)有的維護工作中，需要對每臺計算機進行維護，如系統(tǒng)重裝，應用軟件的安裝等工作。如果出現(xiàn)應用系統(tǒng)更新，新的業(yè)務系統(tǒng)的上線，桌面維護的工作量會非常巨大。

終端虛擬化技術能在很大程度上解決上述問題，而且經(jīng)過測試，終端虛擬化技術在涉密辦公網(wǎng)中能夠與現(xiàn)有的應用系統(tǒng)、安全系統(tǒng)兼容。并且經(jīng)過適當?shù)募砷_發(fā)后，可與多數(shù)企業(yè)在用的CA身份認證系統(tǒng)和單點登錄相結(jié)合，因此終端虛擬化技術在涉密網(wǎng)中部署有很好的前景。

四、在涉密網(wǎng)中使用虛擬化終端的優(yōu)勢

（一）集中管理，業(yè)務針對性強

涉密辦公網(wǎng)對于終端辦公環(huán)境的管理有嚴格的要求。終端虛擬化技術所能執(zhí)行的應用完全取決于服務器端的集中設定，系統(tǒng)管理員可以根據(jù)涉密網(wǎng)業(yè)務的需要，為客戶端定制統(tǒng)一、合規(guī)、高效的應用，使得涉密網(wǎng)的辦公環(huán)境標準化，可以有效地防止其他惡意程序的安裝，提高涉密網(wǎng)的安全性。

（二）管理、維護成本低

終端虛擬化技術是在網(wǎng)絡環(huán)境下工作的，其運行的程序、數(shù)據(jù)都集中在服務器端，在這種工作模式下，整個系統(tǒng)的安裝、調(diào)試、管理、維護、升級都由系統(tǒng)管理員在服務器端統(tǒng)一實現(xiàn)，客戶端僅需要做很少的管理、維護工作，應用系統(tǒng)的升級和客戶端沒有關系，使得系統(tǒng)管理員可以在任何一點單點控制整個網(wǎng)絡系統(tǒng)。這將能夠幫助系統(tǒng)管理員快速地完成信息系統(tǒng)的安裝、調(diào)試、升級和維護工作，大大節(jié)省信息系統(tǒng)的部署時間，降低人力資源費用和管理成本，提高管理效率。

（三）具有低廉的整體擁有成本

終端虛擬化技術中終端的購買費用要比臺式PC的費用低，其設備具有非常少的可移動部件，所以通常其使用壽命比較長，擺脫了不斷硬件升級困擾，一體化設計，性能穩(wěn)定，故障率低。當中央系統(tǒng)進行升級和備份處理時，所需要花費的IT運維費用較少。此外，采用終端虛擬化技術終端能耗較少，根據(jù)測算，每臺終端與傳統(tǒng)臺式機相比，每年可節(jié)能約80%，整體能降低多達67%的能耗與冷卻需求所導致的成本。通過服務器虛擬化技術對服務器整合之后，可以實現(xiàn)如下直接成本的節(jié)?。?/p>

物理服務器的空間成本；

物理服務器的電能成本；

服務器機房冷卻成本；

物理服務器硬件成本；

網(wǎng)絡設備硬件成本（包括昂貴的裝置，如交換機和光纖管道主機總線適配器）；

每臺物理服務器和網(wǎng)絡設備的維護成本。

可以實現(xiàn)如下間接成本的節(jié)?。?/p>

硬件故障或硬件維護的停機成本；

部署新服務器和應用的所需時間；

出現(xiàn)意外服務器故障時，遷移到新物理硬件的時間；

設備老化后，遷移到新物理硬件的時間 。

五、可能存在的問題

（一）網(wǎng)絡環(huán)境的高安全性和可靠性要求

終端虛擬化技術對網(wǎng)絡及后臺服務器要求比較高，如果是網(wǎng)絡質(zhì)量不好或使用廣域網(wǎng)絡可能會存在問題。而且其所有業(yè)務完全依賴于網(wǎng)絡，網(wǎng)絡一旦癱瘓，所有的虛擬化終端都將無法啟動和工作。企業(yè)內(nèi)大量終端開機時，并發(fā)運行對網(wǎng)絡的要求很高，如果網(wǎng)絡質(zhì)量不好會存在很大的問題。

因此，需要對企業(yè)涉密網(wǎng)絡現(xiàn)狀認真調(diào)研，并在方案設計時進行大量詳盡測試，包括主干網(wǎng)帶寬，核心和接入交換機的各項性能進行詳細測試，分析現(xiàn)有的網(wǎng)絡環(huán)境在大量虛擬終端并行運行的條件下對網(wǎng)絡的影響。

（二）服務器性能和安全性高要求

終端虛擬化技術對于服務器要求比較高，所有的終端的發(fā)布管理都是通過服務器進行，后端服務器需要模擬前端的CPU、內(nèi)存、硬盤等，并且終端所有計算都在后臺服務器進行，當終端數(shù)量較大時對于服務器的性能的壓力會很大。此外，由于所有的管理都是在服務器上運行，因此對服務器的安全性有著很高的要求，一旦出現(xiàn)服務器被入侵，會出現(xiàn)嚴重的安全隱患。因此在方案設計時需要對虛擬化中服務器的詳細的性能參數(shù)進行測試，確定在現(xiàn)有的涉密辦公環(huán)境下，每臺服務器模擬的瘦客戶數(shù)量以及多服務器的部署方式。

（三）管理維護制度的改變

多數(shù)涉密網(wǎng)現(xiàn)有的管理和維護制度都是針對普通PC終端的，但是終端虛擬化的方式改變了PC的管理方式，所有的管理和維護都通過服務器進行，可能會存在和原有的管理維護制度不符的地方，需要對原有的制度進行修改。比如，在分級保護中要求，終端設備及中間流轉(zhuǎn)數(shù)據(jù)的交換機不處理涉密數(shù)據(jù)，如果全部按照老辦法標密，會給管理員帶來更大的工作量，虛擬化快捷、方便的特性將大大折扣；在運維方面，傳統(tǒng)運維模式下，網(wǎng)絡、桌面、存儲、服務器四塊業(yè)務通常分部門來完成，當出現(xiàn)故障容易判斷故障點，而VDI桌面實際上是將以上四部分的技術整合，如何將四塊技術部門聯(lián)動排查故障在VDI桌面中顯得格外重要。除此之外，業(yè)務入、退網(wǎng)申請、故障申報的流程也會隨著VDI桌面的實施發(fā)生變化。

六、部署替代方式

基于目前多數(shù)涉密網(wǎng)的現(xiàn)實情況，可以采取分批購置取代到期報廢的普通PC，從普通PC與虛擬化終端并存逐步過渡到全部更換為虛擬化終端的分布實施方式，這樣可以最大限度的避免涉密網(wǎng)內(nèi)用戶使用習慣的改變和充分利用現(xiàn)有資源。

終端虛擬化方案在涉密網(wǎng)中部署有很好的優(yōu)勢，也存在一些未確定的問題，本文的討論結(jié)果僅是一種嘗試和參考，是否能很好的解決涉密網(wǎng)中的終端管控問題，還需要在實踐中進一步驗證。