一種安全虛擬桌面的設(shè)計與實現(xiàn)

李戰(zhàn)強++董濤++段淼++車曉萍++孫友凱

摘要：隨著云計算技術(shù)的快速發(fā)展，虛擬桌面作為云計算的一種重要應(yīng)用獲得了空前的發(fā)展。許多單位為了安全，員工的電腦不能直接上網(wǎng)，給上網(wǎng)查詢資料、下載文件帶來了很大不便。該文介紹了一種在某單位部署實施的安全虛擬桌面的設(shè)計與實現(xiàn)。

關(guān)鍵詞：云計算；虛擬桌面；云安全

中圖分類號：TP311 文獻標識碼：A 文章編號：1009-3044（2017）04-0024-04

1 背景

隨著互聯(lián)網(wǎng)的快速發(fā)展，使用電腦通過Internet查詢資料變得越來越普遍。有些單位和部門，為了安全，員工的電腦不能直接上網(wǎng)。單位內(nèi)部建立了大局域網(wǎng)，部署了各種網(wǎng)站、文件服務(wù)器等，查詢資料等可以通過內(nèi)部局域網(wǎng)來獲取。如果還不能獲取想要的資料，可以申請到專門可以上網(wǎng)的電腦上去查詢資料。但這種查詢資料方式，總是不大方便。

隨著云計算技術(shù)的快速發(fā)展，虛擬桌面作為云計算的一種重要應(yīng)用獲得了空前的發(fā)展。桌面虛擬化通過虛擬化技術(shù)和云計算技術(shù)的結(jié)合，采用集中管理，集中控制，定制顯示的核心思想，將用戶的桌面環(huán)境和用戶的計算環(huán)境進行分離。從用戶角度來看，用戶可以通過虛擬桌面客戶端遠程連接使用個性化定制的虛擬桌面環(huán)境。從企業(yè)角度來看，通過數(shù)據(jù)中心把用戶的虛擬資源進行集中化的管理，可以大大減少管理成本和人力成本。

有安全需求的單位，將安全辦公電腦和虛擬桌面想結(jié)合，設(shè)計一種安全虛擬桌面，既能滿足安全辦公的要求，又能通過網(wǎng)絡(luò)查詢資料。數(shù)據(jù)文件只能從虛擬桌面?zhèn)鬏數(shù)睫k公電腦，辦公電腦上的數(shù)據(jù)不能傳輸?shù)教摂M桌面，有效保證數(shù)據(jù)文件的安全性和隱私性。本文主要介紹在某單位部署實施的安全虛擬桌面的設(shè)計與實現(xiàn)。

2 安全虛擬桌面平臺設(shè)計

安全虛擬桌面平臺軟件的系統(tǒng)設(shè)計主要包括：網(wǎng)管系統(tǒng)CLOUD-NMS（CLOUD–Network Management System）、服務(wù)器端程序CLOUD-SERVER、客戶端程序CLOUD-CLIENT、虛擬機代理程序CLOUD-AGENT。這幾個系統(tǒng)/模塊之間的用戶認證、數(shù)據(jù)傳輸、屏幕傳輸?shù)年P(guān)系及架構(gòu)如下圖所示：

1）網(wǎng)管系統(tǒng)統(tǒng)一管理用戶帳戶、集中控制虛擬機

管理員通過網(wǎng)管系統(tǒng)為每個用戶創(chuàng)建一個云賬戶，一個或多個虛擬機。管理員或登錄用戶可以查詢、設(shè)置用戶帳戶信息，可以查詢、控制虛擬機操作。對虛擬機的控制指令將發(fā)送到服務(wù)器端程序，由后者完成具體的操作。

2）服務(wù)器端程序完成具體的虛擬機的創(chuàng)建、運行、控制等

服務(wù)器端接收網(wǎng)管系統(tǒng)或客戶端程序發(fā)來的對虛擬機操作指令，解析指令后，完成具體的操作，包括虛擬機的創(chuàng)建、虛擬機的運行、虛擬機的控制等。

3）客戶端程序連接登錄運行于服務(wù)器上的虛擬機

用戶在客戶端程序輸入用戶名和密碼，客戶端程序連接網(wǎng)管系統(tǒng)進行用戶身份認證；驗證通過后連接網(wǎng)管系統(tǒng)獲取用戶虛擬機信息；獲取虛擬機連接協(xié)議、端口、運行狀態(tài)等；最后客戶端程序連接登錄運行于服務(wù)器上的虛擬機。

4）虛擬機代理程序監(jiān)控虛擬機運行

虛擬機啟動運行后，虛擬機代理服務(wù)程序連接網(wǎng)管系統(tǒng)進行身份驗證；然后根據(jù)網(wǎng)管系統(tǒng)配置信息修改機器名、設(shè)置網(wǎng)絡(luò)、定時采集虛擬機運行狀態(tài)數(shù)據(jù)等。

3 網(wǎng)管系統(tǒng)

網(wǎng)管系統(tǒng)是安全虛擬桌面的核心和中心控制樞紐。一個企事業(yè)單位或?qū)W校，只需要一個網(wǎng)管系統(tǒng)，管理整個單位所有的服務(wù)器、客戶端電腦、云終端。也可以設(shè)置多個網(wǎng)管系統(tǒng)，形成多個私有云，組成分布式虛擬桌面平臺。

網(wǎng)管系統(tǒng)的主要特性包括：

1）網(wǎng)管系統(tǒng)包括用戶管理、虛擬機管理、模板管理、客戶端管理等。

2）管理員通過網(wǎng)管系統(tǒng)為每一個用戶創(chuàng)建一個云帳戶；可以設(shè)置、查詢用戶帳戶信息。普通用戶可以注冊云賬戶。

3）管理員通過網(wǎng)管系統(tǒng)為每個用戶創(chuàng)建一個或多個虛擬機；可以對虛擬機進行開機、關(guān)機、暫停、重啟、保存、恢復(fù)、刪除等操作；普通用戶可以申請?zhí)摂M機。

4）管理員通過網(wǎng)管系統(tǒng)創(chuàng)建任意多個虛擬機模板，安裝不同的操作系統(tǒng)和應(yīng)用軟件，包括中英文模板，滿足不同的需求。

5）管理員通過網(wǎng)管系統(tǒng)可以查詢、設(shè)置、控制所有客戶端電腦（開關(guān)機、重啟等）。

6）網(wǎng)管系統(tǒng)提供了不同身份、角色、訪問權(quán)限的用戶接口，比如管理員、部門領(lǐng)導(dǎo)、普通員工的訪問登錄頁面。

7）如果用戶虛擬機出現(xiàn)問題，在備份好必要數(shù)據(jù)后，管理員可以在幾秒鐘之內(nèi)刪除原有虛擬機，并創(chuàng)建新的虛擬機，可以立刻使用，相當(dāng)于快速地重新安裝了操作系統(tǒng)和應(yīng)用軟件。

網(wǎng)管系統(tǒng)CLOUD-NMS主要包括：一個Web網(wǎng)站、一個MySQL數(shù)據(jù)庫系統(tǒng)、一個系統(tǒng)服務(wù)程序。

網(wǎng)管系統(tǒng)CLOUD-NMS的WEB網(wǎng)站以Apache+PHP+MySQL形式提供服務(wù)，以https協(xié)議訪問，管理員打開網(wǎng)頁登錄認證后即可進行操作。網(wǎng)管系統(tǒng)的MySQL數(shù)據(jù)庫主要用來保存用戶的用戶賬戶信息、虛擬機信息、模板信息等。用戶賬戶信息包括學(xué)號、姓名、密碼、性別、班級、電話、地址、郵件等信息；虛擬機信息包括計算機名稱、CPU、內(nèi)存、虛擬磁盤、連接協(xié)議、連接端口等；模板信息包括虛擬機的操作系統(tǒng)、安裝的軟件列表等；管理員可以為每個用戶創(chuàng)建一個或多個虛擬機。網(wǎng)管系統(tǒng)的系統(tǒng)服務(wù)程序主要用來監(jiān)聽、接收消息、處理指令、轉(zhuǎn)發(fā)消息等。

管理員或相關(guān)操作人員打開IE瀏覽器輸入網(wǎng)管系統(tǒng)地址，看到登錄界面輸入用戶名和密碼，登錄成功后可以進行用戶管理、虛擬機管理、模板管理、客戶端管理。

安全虛擬桌面平臺網(wǎng)管系統(tǒng)可以和中石化統(tǒng)一身份認證相結(jié)合，只有通過中石化統(tǒng)一身份認證，才能進行下一步操作。

3.1 用戶管理

網(wǎng)管系統(tǒng)用戶管理功能包括：創(chuàng)建用戶帳戶、查詢用戶帳戶、修改用戶帳戶、修改用戶密碼、刪除用戶帳戶、批量創(chuàng)建用戶帳戶、批量刪除用戶帳戶。

管理員通過網(wǎng)管系統(tǒng)可以為每個用戶創(chuàng)建一個云帳戶，用戶賬戶信息包括用戶ID、姓名、密碼、性別、班級、宿舍、地址、郵編、電話、手機、電子郵件、備注等信息。創(chuàng)建用戶帳戶時必須指定用戶ID、用戶名、密碼等信息，其他都不是必須輸入選項。創(chuàng)建成功后，系統(tǒng)將用戶信息寫入到數(shù)據(jù)庫系統(tǒng)。

創(chuàng)建用戶帳戶時可以同時指定創(chuàng)建一個虛擬機，虛擬機要指定模板、VCUP、內(nèi)存、虛擬磁盤、連接協(xié)議、USB、運行模式等，詳見虛擬機管理一節(jié)。

3.2 模板管理

虛擬化環(huán)境中，管理員可以預(yù)先做好多個虛擬機模板，比如Win XP、Win 7、Win 2008、Linux等操作系統(tǒng)，安裝Office、AutoCAD、Photoshop等不同的應(yīng)用軟件。創(chuàng)建虛擬機時，指定虛擬機的模板，系統(tǒng)復(fù)制一個跟模板一樣的虛擬機，實際上拷貝虛擬機模板的虛擬磁盤，生成虛擬機的配置文件。

網(wǎng)管系統(tǒng)的模板管理功能包括：添加虛擬機模板、查詢虛擬機模板、刪除虛擬機模板、控制虛擬機模板等操作。

3.3 虛擬機管理

網(wǎng)管系統(tǒng)虛擬機管理功能包括：創(chuàng)建虛擬機、查詢虛擬機、刪除虛擬機、控制虛擬機等操作。

管理員通過網(wǎng)管系統(tǒng)CLOUD-NMS創(chuàng)建用戶虛擬機時，指定虛擬機的名稱、CPU、內(nèi)存、虛擬磁盤、連接協(xié)議、模板名稱等，并指定該虛擬機創(chuàng)建在哪一臺服務(wù)器上，如果不指定創(chuàng)建在哪一臺服務(wù)器上，系統(tǒng)根據(jù)負載均衡原則自動選擇一臺服務(wù)器。

系統(tǒng)處理時將用戶虛擬機配置信息寫入到數(shù)據(jù)庫中，同時將創(chuàng)建虛擬機的指令消息發(fā)送到指定服務(wù)器端程序CLOUD_SERVER的守護進程，由后者完成具體的操作，詳見服務(wù)器端程序一節(jié)。

網(wǎng)管系統(tǒng)發(fā)向服務(wù)器端程序的創(chuàng)建虛擬機的指令消息是JSON格式的字符串，如下所示：

{"method"："createVm"，"param"：{"vm_uuid"："161c51d8-9497-1d56-d5bf-7a06ba468628"，"vm_name"："user1001"，"vm_vcpu"："1"，"vm_memory"："2"，"vm_disksize"："30"，"vm_protocol"："spice"，"vm_templateuuid"："aaaaaaaa-1111-1111-1111-111111111111"}}

3.4 客戶端管理

除了運行網(wǎng)管系統(tǒng)和虛擬機的專門服務(wù)器之外，支持虛擬化的普通電腦、不支持虛擬化的普通電腦、云終端、筆記本、手機、平板等，都可以稱作客戶端。客戶端不像服務(wù)器存放在專門的中心機房里，客戶端可以存放在任何地方，包括機房、宿舍、教室、圖書館等。

客戶端在使用之前，必須先登記注冊。客戶端電腦/云終端每次啟動后，也要連接網(wǎng)管系統(tǒng)，更新本客戶端的信息，包括IP地址、開機時間等。客戶端電腦在網(wǎng)管系統(tǒng)中登記注冊之后，網(wǎng)管系統(tǒng)就可以查看、控制該客戶端了。

4 服務(wù)器端

運行、控制虛擬機的服務(wù)器端程序，可以運行在專門的云服務(wù)器上，也可以運行在CPU支持虛擬化的普通電腦上，普通電腦作為運行虛擬機的服務(wù)器端，和專門運行虛擬機的云服務(wù)器功能類似，區(qū)別在于能夠運行虛擬機的多少。

服務(wù)器端程序CLOUD_SERVER主要功能有三個：1）同步虛擬機模板；2）控制虛擬機；3）查詢虛擬機狀態(tài)。

服務(wù)器端程序CLOUD-SERVER服務(wù)控制系統(tǒng)主要包括：虛擬磁盤同步、消息接收、消息解析、命令處理、虛擬機管理、數(shù)據(jù)處理和服務(wù)糾錯等模塊。

虛擬機模板管理一節(jié)中已經(jīng)介紹了虛擬機模板保存在網(wǎng)管系統(tǒng)服務(wù)器的（/clouddesktop/template/）下，同步虛擬機模板意味著在中心機房的每一臺服務(wù)器開機運行后，服務(wù)器上的虛擬機模板目錄（/clouddesktop/template/）和網(wǎng)管系統(tǒng)CLOUD-NMS服務(wù)器上同樣的目錄保持一致。

服務(wù)器端程序CLOUD_SERVER有一個系統(tǒng)守護進程，監(jiān)聽5999端口，等待網(wǎng)管系統(tǒng)CLOUD_NMS、客戶端程序CLOUD_CLENT發(fā)來的連接請求。

服務(wù)器端程序CLOUD_SERVER守護進程一旦接收到網(wǎng)管系統(tǒng)或客戶端發(fā)送來的SOCKET連接請求時，新開一個線程處理該連接請求。接收到的消息是JSON格式的字符串。在新建線程中，解析參數(shù)，并根據(jù)其method方法完成具體的操作，包括創(chuàng)建虛擬機、啟動虛擬機、關(guān)閉虛擬機、暫停虛擬機、重啟虛擬機、保存虛擬機、恢復(fù)虛擬機等。

接收到的創(chuàng)建虛擬機的JSON格式字符串如下所示：

{"method"："createVm"，"param"：{"vm_uuid"："161c51d8-9497-1d56-d5bf-7a06ba468628"，"vm_name"："user1001"，"vm_vcpu"："1"，"vm_memory"："2"，"vm_disksize"："30"，"vm_protocol"："spice"，"vm_templateuuid"："aaaaaaaa-1111-1111-1111-11111111111"}}

在新建線程里，解析參數(shù)后獲知method=createVm，執(zhí)行創(chuàng)建虛擬機的操作，過程如下：

1）解析命令參數(shù)后獲知method=createVm；

2）進一步解析創(chuàng)建虛擬機的參數(shù)param，獲取虛擬機名稱、UUID、連接協(xié)議、VCPU、內(nèi)存、虛擬磁盤、連接協(xié)議、模板名稱等；

3）解析完參數(shù)后進行驗證，比如當(dāng)前服務(wù)器已運行了多少臺虛擬機，能否接受此請求等；如果不能接受請求，發(fā)送錯誤消息給網(wǎng)管系統(tǒng)，返回結(jié)束；

4）在目錄（/clouddesktop/vm/）下創(chuàng)建新的目錄，目錄名稱為用戶虛擬機的UUID；

5）創(chuàng)建指向指定模板目錄下虛擬磁盤vdisk1.img的連接文件；

6）拷貝指定模板目錄下的虛擬磁盤vdisk2.img文件；

7）分配MAC地址；TAP設(shè)備；

8）分配虛擬機連接端口；

9）在新建目錄下創(chuàng)建虛擬機的配置文件（vm.xml），主要包括虛擬機名稱、UUID、VCUP、內(nèi)存Memory、虛擬磁盤Virtual Disk、時鐘Clock、聲卡Sound、顯卡Video、網(wǎng)絡(luò)設(shè)備接口、MAC地址、連接協(xié)議、連接端口等；

10）通過VM_Manager程序根據(jù)虛擬機的XML配置文件啟動運行虛擬機；

11）更新該虛擬機的狀態(tài)到網(wǎng)管系統(tǒng)；

12）向CLOUD-NMS或CLOUD-CLIENT發(fā)送回復(fù)消息。

虛擬機名稱是用戶名，CPU、Memory、Disk是指定的，時鐘Clock默認是本地時間，聲卡Sound默認是AC97，顯卡Video默認是qxl，虛擬機網(wǎng)絡(luò)通過Bridge訪問外網(wǎng)，虛擬機MAC地址是后8位隨機生成的，連接協(xié)議是創(chuàng)建虛擬機時指定的，連接端口是系統(tǒng)分配的，網(wǎng)管系統(tǒng)中所有虛擬機端口是統(tǒng)一分配的，端口從10001到49999，可以支持創(chuàng)建4萬個虛擬機，虛擬機被刪除后，端口也將釋放被重新分配使用。

5 客戶端

客戶端端程序CLOUD-CLIENT主要功能有三個：1）用戶身份驗證；2）連接登錄虛擬機。

客戶端CLOUD-CLIENT連接登錄系統(tǒng)包括用戶認證模塊、消息接收模塊、消息處理模塊、連接登錄模塊等。

客戶端CLOUD-CLIENT連接登錄虛擬機的設(shè)計流程如下所示：

1）用戶在客戶端程序輸入用戶名和密碼。

2）程序向CLOUD-NMS的5998端口發(fā)起SOCKET連接請求；SOCKET連接建立后，發(fā)送用戶認證請求；發(fā)送的認證請求是一個JSON格式的字符串，如下所示：

{"method"："loginRequest"，"param"：{"user_id"："104037900920121201"，"user_name"："user1001"，"user_password"："******"， "client_ip"："10.8.224.101"，"time"："20121234 18：34：32"}}

網(wǎng)管系統(tǒng)收到該連接請求后，對用戶身份進行認證，認證通過返回SUCCESS消息；認證失敗返回FAILED消息。程序收到認證失敗的消息后，斷開和CLOUD-NMS的SOCKET連接，在主界面彈出認證失敗對話框，并給出失敗原因。

3）認證通過后，程序繼續(xù)向CLOUD-NMS發(fā)送獲取虛擬機信息的請求，發(fā)送的獲取虛擬機信息的請求是一個JSON格式的字符串，如下所示：

{"method"："getVmRquest"，"param"：{"user_id"："10403791201"，"user_name"："user1001"， client_ip"："10.8.224.101"， "time"： "20121234 18：34：32"}}

網(wǎng)管系統(tǒng)收到該請求后，到數(shù)據(jù)庫系統(tǒng)中查詢該用戶擁有的虛擬機信息，發(fā)回的虛擬機信息也是一個JSON格式的字符串，如下所示：

{"method"："getVmResponse"，"param"：{"vm_uuid"："161c51d8-9497-1d56-d5bf-7a06ba468628"，"vm_name"："user1001"，"vm_vcpu"："1"，"vm_memory"："2"，"vm_disksize"："30"，"vm_protocol"："spice"，”vm_port”：”10001”，”vm_secure_port”：”10002”， “vm_password”：”123456”， ”vm_serverip”：”10.7.0.61”， “vm_duetodate”：”20121231 00：00：00”， “vm_state”：”stop”，

"vm_templateuuid"： "aaaaaaaa-1111-1111-1111-111111111111"}}

4）客戶端CLOUD-CLIENT收到CLOUD-NMS發(fā)送來的虛擬機信息后，對參數(shù)進行解析，比如該虛擬機位于哪一臺服務(wù)器？連接協(xié)議是什么？連接端口是多少？安全端口是多少？動態(tài)密碼是什么？虛擬機有效期？不同的協(xié)議，返回的參數(shù)不一樣，支持的協(xié)議有SPICE、RDP、ICA、PCOIP協(xié)議。

5）客戶端CLOUD-CLIENT程序向虛擬機所在的服務(wù)器或本地電腦的5999端口，發(fā)起SOCKET連接請求，SOCKET連接建立成功后，發(fā)送啟動虛擬機請求。和網(wǎng)管系統(tǒng)向服務(wù)器端發(fā)起開啟運行虛擬機類似。發(fā)送的請求方式是”startVm”，如下所示：

{"method"： "startVm"， "param"： {"vm_uuid"： "161c51d8-9497-1d56-d5bf-7a06ba468628"， "vm_path"： "/vmstorage1"， "client_ip"："10.8.224.101"，"time"："20121234 18：34：32"}}

6）虛擬機運行后，客戶端CLOUD-CLIENT根據(jù)（4）步驟中解析的連接協(xié)議，使用不同的連接程序登錄虛擬機。如果是SPICE協(xié)議，則使用spice客戶端程序直接連接服務(wù)器 + 端口+ 安全端口 + 動態(tài)密碼。如果是RDP協(xié)議，則使用freerdp客戶端程序連接服務(wù)器上的虛擬機；其他協(xié)議，類似處理。連接成功后，即可看到虛擬桌面，如同使用本地桌面系統(tǒng)一樣。如果連接失敗，則會彈出出錯對話框，并給出出錯信息。

6 網(wǎng)絡(luò)數(shù)據(jù)隔離

虛擬機的網(wǎng)絡(luò)功能由虛擬網(wǎng)卡vNIC（虛擬網(wǎng)絡(luò)適配器virtual Network Interface Card）提供，Hypervisor可以為每個虛擬機創(chuàng)建一個或多個vNIC，從虛擬機的角度出發(fā)，這些vNIC等同于物理的網(wǎng)卡，為了實現(xiàn)與傳統(tǒng)物理網(wǎng)絡(luò)一樣的網(wǎng)絡(luò)功能，與物理網(wǎng)卡一樣，交換機Switch也被虛擬成虛擬交換機（OpenvSwitch），各個vNIC連接在vSwitch的端口（br-int）上，最后這些vSwitch通過物理服務(wù)器的物理網(wǎng)卡訪問外部的物理網(wǎng)絡(luò)。

服務(wù)器一般有兩個以太網(wǎng)口（假設(shè)eth0、eth1），連接虛擬機通過eth0連接，虛擬機虛擬網(wǎng)卡通過eth1訪問外網(wǎng)。為了數(shù)據(jù)安全，安全虛擬桌面在設(shè)計時，服務(wù)器eth0和辦公電腦在同一個網(wǎng)絡(luò)，服務(wù)器eth1連接到專門拉的專線，和單位內(nèi)部局域網(wǎng)物理隔離。網(wǎng)絡(luò)eth0和eth1是物理隔離、互不相通的。

因為客戶端連接虛擬機網(wǎng)絡(luò)和虛擬機訪問外網(wǎng)是兩個物理隔離、互不相通的網(wǎng)絡(luò)，所以辦公電腦上的數(shù)據(jù)文件不能通過虛擬機的網(wǎng)絡(luò)傳輸出去，有效地保證了辦公電腦上數(shù)據(jù)文件的安全。

在實際使用過程中，用戶通過安全虛擬桌面訪問Internet，查詢并下載了資料。在服務(wù)器上劃出一個特定的存儲區(qū)域，虛擬桌面可以將下載的資料文件保存寫入到這一特定的存儲區(qū)域；辦公電腦可以從服務(wù)器這一特定存儲區(qū)域下載讀取資料文件，但不能寫入，從而有效地防止用戶辦公電腦上的數(shù)據(jù)文件通過虛擬桌面?zhèn)鬏數(shù)絀nternet。

7 結(jié)束語

本文介紹了一種安全虛擬桌面的設(shè)計與實現(xiàn)，通過安全虛擬桌面，以及網(wǎng)絡(luò)的物理隔離，用戶既能通過虛擬桌面上網(wǎng)查詢資料，下載文件到本地辦公電腦；又能有效保證辦公電腦的數(shù)據(jù)安全，用戶電腦的數(shù)據(jù)文件不能傳輸?shù)教摂M桌面。使用安全虛擬桌面系統(tǒng)后，為IT維護管理，保證個人隱私、數(shù)據(jù)安全帶來了極大的方便。

參考文獻：

[1] openstack[EB/OL].http：//www.openstack.org/.

[2] QEMU[EB/OL].http：//www.qemu.org/.

[3] libvirt [EB/OL].http：//www.libvirt.org/.

[4] spice-space [EB/OL].http：//www.spice-space.org/.