基于HTTPS的大規(guī)模公共計(jì)算機(jī)管理系統(tǒng)的設(shè)計(jì)與開發(fā)

◆何鳴皋

1 公共計(jì)算機(jī)管理系統(tǒng)的分析

在傳統(tǒng)的高校教學(xué)環(huán)境中，公共計(jì)算機(jī)主要部署在公共計(jì)算機(jī)機(jī)房內(nèi)，機(jī)房內(nèi)部要么是每臺(tái)計(jì)算機(jī)均直接連接至校園網(wǎng)，要么屬于一個(gè)獨(dú)立的局域網(wǎng)。如圖1所示，在這種環(huán)境下，公共計(jì)算機(jī)管理軟件通常用廣播和點(diǎn)對(duì)點(diǎn)連接等方式實(shí)現(xiàn)管理服務(wù)器對(duì)機(jī)房計(jì)算機(jī)的控制，這種實(shí)現(xiàn)方式存在固有的局限性。

圖1 傳統(tǒng)的公共計(jì)算機(jī)管理系統(tǒng)結(jié)構(gòu)圖

首先，基于廣播的管理系統(tǒng)，管理系統(tǒng)服務(wù)器通過局域網(wǎng)廣播向客戶端傳輸數(shù)據(jù)，只能在同一個(gè)局域網(wǎng)網(wǎng)段或是廣播域中使用，從而使管理系統(tǒng)的應(yīng)用局限在一個(gè)機(jī)房之中。

其次，點(diǎn)對(duì)點(diǎn)的連接方式要求服務(wù)器和客戶端能夠直接互相訪問，不適合有NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）的網(wǎng)絡(luò)環(huán)境，即客戶端只能訪問服務(wù)器，而服務(wù)器不能直接連接到客戶端。

針對(duì)校園網(wǎng)內(nèi)IPV4資源不足的問題，校園網(wǎng)常采用NAT將不同的教學(xué)環(huán)境分為多個(gè)子網(wǎng)。NAT雖然解決了IP資源不足的問題，也縮小了網(wǎng)絡(luò)范圍，一定程度上增強(qiáng)了網(wǎng)絡(luò)的安全性和可控性，但也破壞了校園網(wǎng)內(nèi)的連通性。NAT外的地址不能直接訪問NAT內(nèi)的內(nèi)網(wǎng)地址，從而使基于局域網(wǎng)廣播或點(diǎn)對(duì)點(diǎn)連接的網(wǎng)絡(luò)應(yīng)用不再有效。而傳統(tǒng)的公共計(jì)算機(jī)管理系統(tǒng)大多都基于局域網(wǎng)廣播或者服務(wù)器與客戶端的點(diǎn)對(duì)點(diǎn)互連，因此無法再在復(fù)雜的校園網(wǎng)環(huán)境中使用。

另外，近年來很多高校都在進(jìn)行校園網(wǎng)的實(shí)名制認(rèn)證技術(shù)改造，常見的技術(shù)方案是采用RADIUS（遠(yuǎn)程用戶撥號(hào)認(rèn)證系統(tǒng)）來進(jìn)行校園網(wǎng)管理[1]，不但實(shí)現(xiàn)了校園網(wǎng)的實(shí)名制接入認(rèn)證和上網(wǎng)計(jì)費(fèi)，也通過PPPOE、L2TP VPN等協(xié)議解決了局域網(wǎng)廣播和ARP欺騙的問題。PPPOE和L2TP協(xié)議工作在網(wǎng)卡設(shè)備之上，不依賴于本地網(wǎng)絡(luò)設(shè)備的TCP/IP協(xié)議，撥號(hào)認(rèn)證后由PPPOE服務(wù)器分配IP地址，計(jì)算機(jī)的本地網(wǎng)絡(luò)設(shè)備不用設(shè)置IP地址，與相鄰的計(jì)算機(jī)之間不構(gòu)成局域網(wǎng)，從而很大程度上阻止了網(wǎng)絡(luò)病毒的傳播。但是通過PPPOE、L2TP等協(xié)議接入校園網(wǎng)的方式也打破了傳統(tǒng)機(jī)房局域網(wǎng)的結(jié)構(gòu)，因此，新型的公共計(jì)算機(jī)管理系統(tǒng)必須能夠適應(yīng)新的校園網(wǎng)環(huán)境。

傳統(tǒng)的公共計(jì)算機(jī)管理系統(tǒng)，不適合在大范圍的網(wǎng)絡(luò)環(huán)境中應(yīng)用，從而造成了目前擁有多校區(qū)、多機(jī)房的高校不易實(shí)現(xiàn)集中統(tǒng)一管理，多采用各校區(qū)、各機(jī)房獨(dú)立管理的局面。因此，高校校園網(wǎng)環(huán)境的不斷發(fā)展變化使傳統(tǒng)的公共計(jì)算機(jī)管理系統(tǒng)不能適應(yīng)需要，從而迫切需要重新設(shè)計(jì)管理系統(tǒng)的架構(gòu)，適應(yīng)新型的校園網(wǎng)結(jié)構(gòu)，滿足跨校區(qū)、大規(guī)模的統(tǒng)一管理需求。

2 新型公共計(jì)算機(jī)管理系統(tǒng)的設(shè)計(jì)

綜上所述，基于局域網(wǎng)環(huán)境的傳統(tǒng)公共計(jì)算機(jī)管理系統(tǒng)已經(jīng)不能滿足高校辦學(xué)規(guī)模和校園網(wǎng)絡(luò)的發(fā)展需要，所以必須設(shè)計(jì)并開發(fā)新型的大規(guī)模分布式公共計(jì)算機(jī)管理系統(tǒng)。在新型的管理系統(tǒng)中，首先要解決的是系統(tǒng)的性能問題。本文之前提到，在高校校區(qū)規(guī)模不斷擴(kuò)大，公共計(jì)算機(jī)數(shù)量不斷增多的背景下，管理系統(tǒng)必須能夠管理更多的計(jì)算機(jī)設(shè)備，能夠負(fù)載更多的客戶端并發(fā)訪問。然而，在傳統(tǒng)的管理系統(tǒng)中，往往采用基于局域網(wǎng)TCP/UDP的CS結(jié)構(gòu)，有些甚至是由客戶端直接訪問數(shù)據(jù)庫服務(wù)器，這種二層體系結(jié)構(gòu)決定了管理軟件不能夠負(fù)載大量的客戶端訪問，并且使用范圍也局限在局域網(wǎng)之中。

因此，在新型的公共計(jì)算機(jī)管理系統(tǒng)中，采用客戶端—應(yīng)用服務(wù)端—數(shù)據(jù)庫的三層體系結(jié)構(gòu)，如圖2所示，其中應(yīng)用服務(wù)端采用Apache HTTPD服務(wù)程序，在系統(tǒng)的數(shù)據(jù)傳輸中采用加密的HTTPS協(xié)議。由于高性能HTTP服務(wù)程序能夠滿足海量用戶的并發(fā)訪問需求，因此就解決了公共計(jì)算機(jī)管理系統(tǒng)在向多校區(qū)、多機(jī)房統(tǒng)一管理方向發(fā)展過程中出現(xiàn)的性能瓶頸問題。另外，采用HTTPS服務(wù)端還解決了公共計(jì)算機(jī)管理系統(tǒng)的數(shù)據(jù)傳輸安全性問題，在公共計(jì)算機(jī)管理系統(tǒng)的數(shù)據(jù)傳輸過程中，無論是客戶端與服務(wù)器的連接，還是管理端對(duì)服務(wù)器的操作，如果采用明文傳遞信息的話，信息很容易在局域網(wǎng)中被監(jiān)聽或竊取，特別是在公共計(jì)算機(jī)管理系統(tǒng)涉及到上機(jī)金額的數(shù)據(jù)傳輸中，數(shù)據(jù)安全性顯得尤為重要。而通過HTTPS的SSL數(shù)據(jù)加密，則能夠在保證系統(tǒng)性能的基礎(chǔ)上確保數(shù)據(jù)安全[2]。

圖2 新型公共計(jì)算機(jī)管理系統(tǒng)體系結(jié)構(gòu)圖

采用HTTPS的服務(wù)端機(jī)制，還能夠統(tǒng)一公共計(jì)算機(jī)管理系統(tǒng)的數(shù)據(jù)傳遞機(jī)制。在傳統(tǒng)的公共計(jì)算機(jī)管理系統(tǒng)中，除了客戶端與服務(wù)端的CS結(jié)構(gòu)外，還要為對(duì)公共計(jì)算機(jī)管理系統(tǒng)進(jìn)行管理操作，這樣一般是通過建立管理端與服務(wù)端的CS結(jié)構(gòu)來實(shí)現(xiàn)，或是在管理系統(tǒng)中單獨(dú)采用BS結(jié)構(gòu)，通過瀏覽器進(jìn)行系統(tǒng)管理。而采用HTTPS的服務(wù)端的結(jié)構(gòu)，無論公共計(jì)算機(jī)管理系統(tǒng)的客戶端還是管理端，都通過HTTPS端口訪問服務(wù)器，這樣就統(tǒng)一了數(shù)據(jù)傳遞接口，系統(tǒng)客戶端就是一個(gè)HTTPS客戶端，而管理端可以直接通過瀏覽器訪問HTTPS服務(wù)器。

2010年春，王述金被評(píng)為“全縣宣傳文化思想工作先進(jìn)個(gè)人”。我高興極了，立即拿著證書和獎(jiǎng)金，搭車前往王述金家，卻沒有看到他的影子。他的弟弟王述銀告訴我，哥哥已于去年10月份就不在了。我大為震驚，猛然想到，他不是快過年時(shí)，還送給我一包茶葉嗎？

在新型公共計(jì)算機(jī)管理系統(tǒng)采用的三層體系結(jié)構(gòu)中，應(yīng)用層使用Apache或nginx等HTTPD服務(wù)結(jié)合PHP編程語言進(jìn)行實(shí)現(xiàn)，PHP不但對(duì)HTTPD接收的客戶端請(qǐng)求進(jìn)行業(yè)務(wù)計(jì)算，還連接后臺(tái)數(shù)據(jù)庫進(jìn)行數(shù)據(jù)存儲(chǔ)。由于PHP能夠采用封裝的數(shù)據(jù)庫接口對(duì)多種數(shù)據(jù)庫軟件進(jìn)行操作，這樣就實(shí)現(xiàn)了公共計(jì)算機(jī)管理系統(tǒng)的數(shù)據(jù)庫無關(guān)性，可以靈活采用多種數(shù)據(jù)庫軟件作為系統(tǒng)的后臺(tái)數(shù)據(jù)庫。而本文采用MySQL數(shù)據(jù)庫為例來進(jìn)行系統(tǒng)的設(shè)計(jì)與分析，由于MySQL廣泛應(yīng)用于負(fù)載較大、對(duì)訪問速度要求較高的Web應(yīng)用后臺(tái)數(shù)據(jù)庫中，所以能夠進(jìn)一步提升公共計(jì)算機(jī)管理系統(tǒng)的性能。

新型公共計(jì)算機(jī)管理系統(tǒng)需要解決的另一方面的重要問題是，在校園網(wǎng)絡(luò)新的結(jié)構(gòu)條件下，實(shí)現(xiàn)對(duì)公共計(jì)算機(jī)設(shè)備的大規(guī)模和分布式管理。由于采用NAT或RADIUS技術(shù)的校園網(wǎng)的終端節(jié)點(diǎn)之間不再一定能相互直接連通，大量的節(jié)點(diǎn)被NAT或RADIUS隱藏在了網(wǎng)關(guān)之后，網(wǎng)關(guān)外的節(jié)點(diǎn)不再能夠直接訪問網(wǎng)關(guān)內(nèi)的節(jié)點(diǎn)。在這種新的網(wǎng)絡(luò)結(jié)構(gòu)條件下，新型公共計(jì)算機(jī)管理系統(tǒng)采取客戶端定時(shí)訪問服務(wù)端的方式與服務(wù)端進(jìn)行通訊，而服務(wù)端不主動(dòng)訪問客戶端，如圖3所示。

圖3 新型公共計(jì)算機(jī)管理系統(tǒng)消息傳遞機(jī)制

在公共計(jì)算機(jī)管理系統(tǒng)中，除了之前提到過的服務(wù)端和管理端外，還有接受用戶刷卡的刷卡端和安裝在機(jī)房內(nèi)PC機(jī)上的客戶端。其中刷卡端在用戶刷卡后將用戶信息傳遞到服務(wù)器，改變用戶狀態(tài)數(shù)據(jù)為“刷卡上機(jī)”，使用戶賬號(hào)能夠登錄PC機(jī)；而客戶端則接受用戶的賬號(hào)和密碼輸入，傳遞到服務(wù)器進(jìn)行驗(yàn)證，通過后則允許用戶使用PC機(jī)系統(tǒng)。最后，當(dāng)用戶關(guān)閉PC機(jī)并返回刷卡端刷卡時(shí)，將用戶狀態(tài)改為“刷卡”下機(jī)，統(tǒng)計(jì)用戶的上機(jī)時(shí)間，計(jì)算上機(jī)金額，并進(jìn)行扣費(fèi)和儲(chǔ)存到數(shù)據(jù)庫中，從而完成整個(gè)上機(jī)過程。在上機(jī)過程中可以看出，用戶在刷卡端刷卡上機(jī)、刷卡下機(jī)，以及在PC機(jī)客戶端進(jìn)行登錄操作時(shí)，刷卡端和客戶端都即時(shí)連接服務(wù)器，將數(shù)據(jù)傳遞到服務(wù)器并接收反饋數(shù)據(jù)。因此，這幾個(gè)操作都是由用戶主動(dòng)發(fā)起，與服務(wù)端屬于實(shí)時(shí)操作，在新型公共計(jì)算機(jī)管理系統(tǒng)的網(wǎng)絡(luò)模式中都可以用客戶端訪問服務(wù)端完成。而在用戶登錄PC機(jī)后，客戶端的主要作用是向服務(wù)端報(bào)告PC機(jī)的運(yùn)行狀態(tài)和接收服務(wù)端的指令，因此在這些環(huán)節(jié)中對(duì)實(shí)時(shí)操作的要求不高，完全可以通過客戶端定時(shí)自動(dòng)訪問服務(wù)端來完成，這就解決了在服務(wù)端不能直接訪問客戶端的網(wǎng)絡(luò)條件下，客戶端與服務(wù)端進(jìn)行消息傳遞的問題。

在本文實(shí)現(xiàn)的新型公共計(jì)算機(jī)管理系統(tǒng)中，客戶端自動(dòng)與服務(wù)端進(jìn)行數(shù)據(jù)同步的頻率（即客戶端定時(shí)訪問服務(wù)端的間隔時(shí)間）是可配置的，可以根據(jù)服務(wù)器的硬件性能、客戶端的數(shù)量以及HTTPD服務(wù)的運(yùn)行情況進(jìn)行調(diào)整。

由客戶端定時(shí)主動(dòng)發(fā)起的訪問請(qǐng)求機(jī)制雖然解決了服務(wù)器無法直接訪問客戶端的問題，可以滿足公共計(jì)算機(jī)管理系統(tǒng)絕大多數(shù)的應(yīng)用需求，但定時(shí)循環(huán)訪問也降低了系統(tǒng)消息傳遞的實(shí)時(shí)性，與基于局域網(wǎng)廣播的管理系統(tǒng)相比，向大量客戶端統(tǒng)一發(fā)送指令的延遲較大。因此可以在客戶端定時(shí)循環(huán)訪問服務(wù)器的機(jī)制基礎(chǔ)上，根據(jù)需要再采用HTTP長連接（HTTP persistent connections）技術(shù)實(shí)現(xiàn)服務(wù)器向客戶端實(shí)時(shí)發(fā)送消息，從而結(jié)合兩種機(jī)制的優(yōu)點(diǎn)，在網(wǎng)絡(luò)節(jié)點(diǎn)不能直接互連的復(fù)雜網(wǎng)絡(luò)環(huán)境下也實(shí)現(xiàn)類似局域網(wǎng)廣播的實(shí)時(shí)消息傳遞效果[3]。HTTP長連接技術(shù)通過服務(wù)器端在接受客服端請(qǐng)求后保持TCP連接不斷開，從而用一個(gè)TCP連接處理多個(gè)HTTP請(qǐng)求和響應(yīng)，實(shí)現(xiàn)了TCP連接的復(fù)用，與每次客戶端請(qǐng)求都建立新的TCP連接相比，有效降低了系統(tǒng)負(fù)載。更重要的是由于TCP連接沒有斷開，服務(wù)器端可以實(shí)時(shí)向客戶端發(fā)送消息，應(yīng)用在公共計(jì)算機(jī)管理系統(tǒng)中可以通過控制服務(wù)器端向所有計(jì)算機(jī)發(fā)送重啟和關(guān)機(jī)等系統(tǒng)命令。

在具體的系統(tǒng)開發(fā)中，可以用nginx的nginx_http_push_module模塊來實(shí)現(xiàn)服務(wù)器端的HTTP長連接[4]，而在客戶端實(shí)現(xiàn)上，由于在HTTP/1.1中，默認(rèn)使用的就是長連接方式，因此只要在客戶端中不明確斷開連接，就可以保持與服務(wù)器端的長連接。

3 新型公共計(jì)算機(jī)管理系統(tǒng)的開發(fā)

以Windows XP的GINA為例，可以設(shè)計(jì)一個(gè)GINA的登錄對(duì)話框，包括用戶名和密碼輸入框，以及登錄確認(rèn)按鈕等，在點(diǎn)擊確認(rèn)按鈕的函數(shù)中可以加入自定義的認(rèn)證機(jī)制，即通過HTTPS協(xié)議向服務(wù)器發(fā)送HTTP POST請(qǐng)求，并接收服務(wù)器端的反饋，以確定是否允許用戶登錄。如果用戶名和密碼驗(yàn)證通過，則調(diào)用以下代碼允許登錄：

PostQuitMessage(0);

最終將自定義的GINA工程編譯為一個(gè)DLL文件，如MyGina.dll，并且導(dǎo)入注冊(cè)表替換系統(tǒng)自身的登錄框：

REG ADD “HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon” /V GinaDLL /T REG_SZ /D MyGina.dll /F

在Windows Vista之后的Windows系統(tǒng)中，采用了新的登錄認(rèn)證接口：Credential Provider API。微軟提供了進(jìn)行Credential Provider二次開發(fā)的示例代碼：Credential Provider Samples[7]。在SampleAllControlsCredentialPro vider.vcproj工程的CSampleCredential.cpp程序中也可以加入自定義的登錄認(rèn)證代碼，并最終編譯為SampleAllCont rolsCredentialProvider.dll，將以下注冊(cè)表內(nèi)容導(dǎo)入注冊(cè)表以啟用自定義的登錄機(jī)制：

在實(shí)現(xiàn)了公共計(jì)算機(jī)管理系統(tǒng)的客戶端和登錄框之后，系統(tǒng)的用戶數(shù)據(jù)、設(shè)備數(shù)據(jù)、計(jì)費(fèi)、管理、報(bào)表等功能都集中在服務(wù)器端數(shù)據(jù)庫中實(shí)現(xiàn)，各個(gè)學(xué)?？梢愿鶕?jù)自身需求設(shè)計(jì)和開發(fā)數(shù)據(jù)庫，而系統(tǒng)的管理界面完全采用通過HTTPS協(xié)議Web方式訪問和操作服務(wù)器端的數(shù)據(jù)庫來實(shí)現(xiàn)。如在一個(gè)基本的公共計(jì)算機(jī)管理系統(tǒng)數(shù)據(jù)庫中至少應(yīng)該包括以下一些數(shù)據(jù)表：

1）機(jī)房，包含所有機(jī)房的位置、設(shè)備數(shù)量、編號(hào)等字段；

2）設(shè)備，包含所有計(jì)算機(jī)的編號(hào)、IP地址、MAC地址、所在機(jī)房等字段；

3）用戶，包含用戶姓名、卡號(hào)、余額等字段，在采用智能一卡通刷卡的環(huán)境中，可以在用戶通過POS機(jī)刷卡時(shí)直接讀取一卡通中信息并插入用戶表；

4）賬單，包含記錄用戶每次使用的刷卡上機(jī)時(shí)間、刷卡下機(jī)時(shí)間、使用時(shí)長、登錄設(shè)備、計(jì)費(fèi)金額等字段；

5）命令，定義服務(wù)器端向每個(gè)客戶端發(fā)送的系統(tǒng)指令和執(zhí)行狀態(tài)，從而實(shí)現(xiàn)控制計(jì)算機(jī)關(guān)機(jī)、重啟和執(zhí)行系統(tǒng)命令等遠(yuǎn)程操作。

4 結(jié)束語

本文分析并設(shè)計(jì)的新型公共計(jì)算機(jī)管理系統(tǒng)，滿足了在新的高校辦學(xué)環(huán)境和校園網(wǎng)絡(luò)環(huán)境下公共計(jì)算機(jī)機(jī)房的管理需求，在系統(tǒng)的核心結(jié)構(gòu)上較傳統(tǒng)的公共計(jì)算機(jī)管理系統(tǒng)更為精簡可靠，可靈活選擇多種實(shí)現(xiàn)技術(shù)，從而簡化公共計(jì)算機(jī)管理系統(tǒng)的開發(fā)過程，使系統(tǒng)開發(fā)更加關(guān)注設(shè)備管理、課程管理、上機(jī)計(jì)費(fèi)等實(shí)際應(yīng)用功能，并且保障了公共計(jì)算機(jī)機(jī)房運(yùn)行過程中的網(wǎng)絡(luò)安全和信息安全。

[1]梁根.基于RADIUS的校園網(wǎng)認(rèn)證管理系統(tǒng)的研究與實(shí)現(xiàn)[J].計(jì)算機(jī)技術(shù)與發(fā)展,2006(6):43-46.

[2]肖曦.基于HTTPS的統(tǒng)一通信系統(tǒng)安全設(shè)計(jì)[J].物聯(lián)網(wǎng)技術(shù),2011(5):67.

[3]姜毅.基于HTTP的實(shí)時(shí)信息傳輸方法[J].計(jì)算機(jī)工程與設(shè)計(jì),2008(10):2451-2453.

[4]Nginx & Comet: Low Latency Server Push[EB/OL].[2013-05-04].http://www.igvita.com/2009/10/21/nginxcomet-low-latency-server-push/.

[5]Winlogon and GINA[EB/OL].[2013-07-04].http://msdn.microsoft.com/en-us/library/aa380543%28v=vs.85%29.aspx.

[6]Windows Interactive Logon Architecture[EB/OL].[2013-07-04].http://technet.microsoft.com/en-us/library/ff404303%28v=ws.10%29.aspx.

[7]Create Custom Login Experiences With Credential Providers For Windows Vista[EB/OL].[2013-07-04].http://msdn.microsoft.com/en-us/magazine/cc163489.aspx.