BYOD解決方案的實施與部署探討

費鈺江

(杭州市中醫(yī)院,浙江杭州 310007)

BYOD解決方案的實施與部署探討

費鈺江

(杭州市中醫(yī)院,浙江杭州 310007)

由于智能手機以及平板電腦的出現成爆炸式增長,IT部門不得不重新考慮如何在企業(yè)網絡中為不斷增加的移動設備提供支持。BYOD方案的部署其實就是要通過各種場景綁定相應的策略引導終端用戶按照一定的授權接入網絡,同時在正確識別終端類型等各類信息的基礎上解決如何支持和管理它們以及如何保護它們安全的問題。BYOD的部署對IT部門的工作人員帶來了巨大的挑戰(zhàn)。尤其是BYOD的實施和部署階段,有諸多實際難題,例如如何和企業(yè)現有業(yè)務無縫結合、如何減少對現有網絡的改動、如何實現企業(yè)數據安全保護等。目前業(yè)界各廠商實現方式不盡相同。本文主要以H3C BYOD方案為例進行闡述。

BYOD方案 實例分析 部署要點 移動辦公模式

1 BYOD方案的實施步驟

部署任何一家廠商提供的BYOD方案,在部署前都需要充分調研實際業(yè)務及需求。通常主要從如下幾個方面考慮。

(1)網絡類型。包括有線、Wi-Fi、VPN等。以便IT人員規(guī)劃設計合理的認證方式和組網。

(2)網絡設備。多廠商設備之間是否存在適配,網絡設備的規(guī)格是否滿足BYOD業(yè)務需求,是否有必要進行擴容以滿足BYOD部署后的業(yè)務應用。

(3)終端類型。BYOD業(yè)務和終端密切結合,需要充分了解終端的類型和應用情況,例如用戶終端是企業(yè)派發(fā)還是私人購買,是否存在部分終端有特殊應用而無需進行BYOD注冊等。

(4)企業(yè)中的APP應用。BYOD是為了更好地讓用戶隨時隨地移動辦公,其中APP是最關鍵的業(yè)務,BYOD的實施和部署要充分考慮企業(yè)內部APP的應用情況,是否存在應用權限控制、黑白APP列表、APP數據安全等。

(5)開放融合。用戶部署B(yǎng)YOD時是否需要和已有的業(yè)務系統(tǒng)對接或者是否存在二次開發(fā)的需求。

(6)數據安全。IT部門對終端數據的安全要求,是否需要進行數據安全加密和終端權限控制等。

(7)訪客需求。用戶是否有訪客業(yè)務需求。

在充分調研用戶的實際需求后,需要規(guī)劃合理的組網方式。那么BYOD到底對組網有何要求呢？目前BYOD技術主要集中在如何解決移動終端(手機、平板、POS機等)設備網絡認證控制方案的層面上。因此,首先需要保證終端基于身份的認證得以實現,在此基礎之上再擴展BYOD的特性。比如終端的MAC認證、Portal認證、802.1x認證、VPN認證等多種認證方式都可以用來實現BYOD。目前這些身份認證方式已經發(fā)展得非常成熟,相關的技術支持也很到位。

圖1 H3C BYOD解決方案組網圖

圖2 BYOD服務器上的配置

(8)H3C的BYOD解決方案實例。以H3C的BYOD方案為例,一個典型的BYOD解決方案的組網由四個體系構成。①認證設備:啟用身份認證的設備,例如無線控制器。一般認證方式為MAC認證、Portal認證、802.1x認證、VPN認證等。②H3C iMC BYOD服務器:主要使用了H3CiMC EIP組件的功能。③認證終端:有認證接入網絡訪問資源的設備,一般是移動設備如PAD、手機,也可以是PC或POS、打印機等設備。④DHCP服務器:用于給終端設備分配IP地址,同時可以配合iMC BYOD的DHCP特征識別方式進行終端識別。DHCP服務器可以是Windows DHCP服務器,也可以是支持DHCP特性的網絡設備。此外,實際組網中可能還會存在短信網關、用戶業(yè)務系統(tǒng)等其他元素。

確定組網并實施基礎網絡建設后,實施H3C BYOD業(yè)務可根據如下幾步開展:

①根據業(yè)務規(guī)模選擇合理的服務器,在此服務器上安裝部署iMC BYOD軟件；

②在網絡設備上配置基于身份的認證方式。例如在圖1的組網中,在無線控制器上配置符合網絡需求的身份認證；

③若DHCP服務器為WindowsDHCP服務器,則在此服務器上安裝iMC DHCP Agent程序,并根據要求設置合理參數,啟用該程序；

④根據BYOD需求,在iMCBYOD服務器上設置合理的接入場景和接入策略,在iMC BYOD服務器上創(chuàng)建正式賬號或訪客使用的BYOD服務并與賬號相關聯。本步驟配置較多,主要流程如圖2所示。

從易于管理的角度上看,建議為BYOD匿名賬號、訪客、接入正常賬號均配置專用的BYOD服務,而非三類賬號都共用同一個BYOD服務。另外,部分企業(yè)用戶可能會涉及需要部署MDM/MAM系統(tǒng)。隨著移動終端大量接入網絡,IT管理者不得不將關注點從物理設備的接入管理轉移到移動用戶體驗的管理上,尤其是會話管理控制,其中包括人表現形式數據安全和性能。對于用戶體驗而言,最重要的因素在于移動性的設計。這意味著IT部門需要參與移動設備的移動應用開發(fā),用戶可以從企業(yè)應用商店直接下載這些應用。或者通過系統(tǒng)自動推送客戶業(yè)務需求的各類APP應用并完成大量復雜繁瑣的配置。此外,移動應用負責執(zhí)行本地解密和顯示操作。如果設置丟失或被盜,那么應用可以通過程序遠程擦除或自行銷毀。因此設計支持移動訪問的應用程序,通過加密實現數據安全性,并且在會話層管理網絡訪問,這些都是在部署B(yǎng)YOD需要考慮的要素。H3C BYOD解決方案中的MDM/MAM組件可以很好地協(xié)助IT管理者解決移動終端在移動辦公時面臨的終端安全問題和移動應用管理問題。

2 BYOD解決方案的部署要點

BYOD的實施和部署應盡量做到簡單易行,消除IT部門的實施投入和后續(xù)管理投入、減少對網絡的改動、保護現有投資,同時又保證終端使用者的易用體驗。總結H3C BYOD的部署,需要關注以下要點:(1)在已有網絡認證方式上設計一個契合業(yè)務需求的BYOD方案,選擇合適的認證方式。若選擇Portal方式,可根據不同終端、不同SSID推送不同的WEB認證頁面,且頁面可實現靈活定制化。(2)終端用戶帳號實現自注冊。例如可部署短信網關,訪客帳號通過短信注冊方式獲取認證指令,免去繁瑣的開戶過程。(3)對于希望實現快速認證的用戶,可部署B(yǎng)YOD智能終端無感知快速認證,讓入網更加快捷方便。(4)根據不同的接入場景下發(fā)不同的網絡權限。同時,在終端識別的基礎上,IT管理者能全盤控制終端接入,及時掌控終端類型,統(tǒng)籌IT資源規(guī)劃。(5)利用BYOD的MDM/MAM系統(tǒng),實現智能終端的數據加密或信息安全管控,為企業(yè)用戶推送所需APP應用,特別是門戶APP。

隨著VDI越來越廣泛應用,也需要結合BYOD方案來為企業(yè)打造一套便于員工辦公的智能化系統(tǒng)。不論是傳統(tǒng)的臺式機和筆記本電腦,亦或是各種豐富的智能移動終端,都有其對應的VDI客戶端用于訪問企業(yè)的虛擬化數據中心。如何發(fā)揮VDI和BYOD的各自優(yōu)勢來滿足客戶業(yè)務需求同樣成為BYOD方案部署時需要關注的對象。此外,如果部署H3C iMC的UBA組件(用戶行為審計),BYOD系統(tǒng)可以結合UBA系統(tǒng)通過行為審計功能詳細記錄終端用戶的行為,并在必要的時候和BYOD系統(tǒng)聯動對用戶做出某些強制的管控動作。

3 BYOD定制開發(fā)業(yè)務的部署

實際部署B(yǎng)YOD業(yè)務時,用戶經常會有需要將廠商的BYOD系統(tǒng)和自身業(yè)務系統(tǒng)進行對接或者其他定制開發(fā)的需求。以H3C BYOD為例,其依賴的H3CiMC系統(tǒng)以業(yè)務管理和業(yè)務流程模型為核心,通過H3CiMC能夠靈活組織功能組件,形成直接面向客戶需求的業(yè)務流解決方案,從根本上解決多業(yè)務融合管理的復雜性。因此,H3C BYOD解決方案不是一個封閉固化的系統(tǒng),它可以根據用戶需求進行靈活的定制開發(fā)。基于iMC的技術框架、二次開發(fā)接口等技術,用戶的開發(fā)團隊或H3C公司的定制開發(fā)團隊可以為客戶提供基于客戶特定業(yè)務的定制開發(fā)。常見的可定制開發(fā)的項目包括:(1)和企業(yè)AD服務器的對接,以方便企業(yè)正式員工的開戶。(2)和第三方短信平臺實現對接,以方便訪客的短信開戶功能。(3)和客戶自身系統(tǒng)對接,諸如銀行排隊機等以滿足公共場所訪客的快速開戶。(4)系統(tǒng)web頁面定制,網頁鏈接、廣告推送等,以滿足企業(yè)個性化需求。(5)和企業(yè)其他業(yè)務系統(tǒng)數據庫對接,方便企業(yè)IT管理者隨時調用系統(tǒng)數據庫以滿足自身業(yè)務需求。

通過定制開發(fā)業(yè)務的部署,用戶可以實現個性化需求,極大增強了使用BYOD的體驗感,使得企業(yè)IT管理者能靈活地將各類系統(tǒng)完美結合,打造屬于企業(yè)自身的智能化移動化辦公系統(tǒng)。

4 結語

BYOD解決方案是開放、多樣、靈活的,其實施和部署最關鍵是以充分了解用戶實際需求為前提,結合用戶網絡資源和BYOD解決方案的優(yōu)勢,設計出符合用戶需求的部署方案。依賴H3CiMC系統(tǒng),IT管理者可以充分利用其靈活多維度的動態(tài)授權策略,在終端識別的基礎上對各類移動終端進行智能管控和權限管理。利用iMC開放的開發(fā)接口,和用戶自身系統(tǒng)完美對接,同時通過部署MDM/MAM,協(xié)助IT管理者解決移動終端在移動辦公時面臨的終端安全問題和移動應用管理的問題。真正實現BYOD Anytime、Anywhere、Anyone、Anydevice的移動辦公模式。