桌面云在云南工商學院實訓機房的安全設計

黃海軍

摘 要：文中從云南工商學院實訓機房的安全需求出發，提出了桌面云的安全設計方法。首先分析了當前實訓機房的安全問題，按照桌面云的虛擬基礎架構，提出了通過部署桌面虛擬化服務器和瘦終端取代傳統PC搭建實訓機房的方法，實現對學校教學以及考試資源的統一安全高效管理。根據學校具體情況，論文重點論述了桌面云的安全設計，從多個角度詳細分析了安全設計的分層防御，縱深防御的思想，涵蓋了網絡、系統以及用戶的安全，提供了采用桌面云技術實現的高校實訓機房的安全保障。

關鍵詞：桌面云；虛擬化；安全設計；實訓機房

中圖分類號：TP393 文獻標識碼：A 文章編號：2095-1302（2017）05-00-02

0 引 言

桌面云把個人電腦的桌面環境通過云計算模式從物理機器上剝離出來，使其成為一種可以對外提供桌面服務的應用，同時個人電腦的桌面環境所需的計算、存儲等資源集中在后臺服務器上，這樣就可取代客戶端的本地計算以及存儲資源，且后臺服務器的計算、資源存儲也是共享、靈活的，可以讓不同個人電腦的桌面環境資源實現按需分配，從而達到提升計算機資源利用率，降低學校整體實訓機房擁有成本的目的。

桌面云最核心的技術是桌面虛擬化（Virtual Desktop Infrastructure，VDI），即虛擬桌面基礎架構。它不僅僅是給學校每個客戶端都配置一臺運行擁有Windows或Linux操作系統的傳統PC，而是在學校的數據中心部署桌面虛擬化服務器來運行個人操作系統，無論是基于Linux還是Windows平臺，通過指定的傳輸協議把學生在終端輸入設備上（例如鍵盤、鼠標等）的操作傳輸給服務器，并且在服務器端接收指令后將運行結果回傳給瘦終端設備。

1 云南工商學院實訓機房面臨的安全問題

云南工商學院實訓機房一直使用功能相對全面的傳統PC。而且在大多數情況下，傳統PC 的性價比很高。但與此同時，在實際應用維護過程中，傳統PC也暴露出其安全方面存在的諸多弊端。

1.1 難以防止設備的非法接入

實訓機房傳統PC上的 USB口、串口、并口如果沒有做特殊設置，都可以外接設備，使用傳統的方法很難禁止非法設備的接入，使得病毒或木馬趁機入侵實訓機房的傳統PC，并迅速在校園網內部擴散，甚至導致校園網癱瘓。

1.2 學生數據安全難以保證

云南工商學院實訓機房的傳統PC平時除了供學生上機實訓練習外，期末還可以提供在線考試功能，但若出現死機或硬件故障時將導致學生無法正常考試。這些考試數據如何能在傳統PC出現故障時恢復數據是亟待解決的一個重要問題。

1.3 學生上網的會話與流量難以控制

實訓機房在非正常上課時段還為學生提供自主上網、查詢資料等服務。但有的學生常常利用BT、迅雷等P2P軟件下載電影而非學習資源，這些軟件在下載任務的同時也在上傳數據，而且是多任務、多線程，會對學校的網絡資源造成極大的浪費。此外，被木馬或病毒感染的計算機會和外網產生大量的連接會話，消耗校園網出口帶寬和并發連接會話資源，造成校園網絡出口擁堵。

1.4 學生的上網行為無法追蹤

由于實訓機房學生的流動性，使用機房時很難進行身份驗證，難以實現基于云桌面的計算基礎架構，而且如果學生使用實訓機房的計算機在網上發表違法言論也很難進行跟蹤和定位。

針對上述問題，云南工商學院將使用桌面云技術取代傳統PC機房。將采用在服務器系統上安裝桌面映像或瘦客戶端運行服務器上的桌面映像，實現基于云桌面計算基礎架構的高校實訓機房，全面提升系統安全性。

2 基于桌面云的安全設計

為保障教師教學課件及學生考試數據中心的數據安全，云桌面采用了一套完整的安全架構，自下而上避免出現安全真空，并強化了虛擬化隔離技術和網絡隔離技術。主要采用了分層和縱深防御的方法。分層防御（Layered Defense）指采用多種方法，在網絡中的多個不同區域執行不同的安全性策略，以避免發生網絡中的單點安全故障；縱深防御（Defense in Depth）指使用多重防御策略，降低管理風險，其優勢在于，當一層防御被攻破時，另一層防御將會自動生效，以防止進一步的破壞。

根據縱深防御和分層的思想，桌面云數據中心安全框架的網絡層次自下而上可分為物理、主機/虛擬化、網絡、業務和數據、管理維護等幾個層面。

2.1 桌面云終端安全設計

使用桌面云的瘦終端取代傳統PC，瘦終端系統采用固化的Linux嵌入OS，且無本地存儲。在接入桌面云時中心服務器對瘦終端進行合法性身份認證，把瘦終端/瘦終端組綁定到用戶/用戶組，開啟USB讀寫禁用，也可以采用802.1X認證防止非法終端接入等方式保證終端安全。

2.2 桌面云接入與認證管理安全設計

采用安全用戶身份認證可以使用的技術包括用戶名/密碼認證、USB KEY認證、動態口令認證、動態短信認證、指紋認證、指紋+密碼認證，這些技術可以確保接入用戶的合法性。

2.3 桌面云協議安全設計

安全協議采用華為自主研發的HDP桌面協議，可用于多通道，且兼容性好。瘦終端的USB存儲可控制禁用、只讀、讀寫功能。客戶端和服務端進行通訊時，數據認證采用Https加密傳輸；學生瘦終端通過HDP協議連接虛擬桌面時，桌面訪問采用傳輸加密（HDPover SSL）技術，保證了數據的安全；教師使用Web管理系統時，均通過Https方式實現，傳送通道統一采用SSL技術實現加密。

2.4 桌面云系統安全設計

使用虛擬化平臺從數據完整性驗證、身份認證、數據訪問控制隔離、數據加密多個方面保證學生數據的安全。系統資源釋放回收時，所有剩余數據將被清零。

Web服務的安全保障加固包括系統自動將客戶請求轉換成Https，以防止跨站點腳本攻擊，阻止SQL注入式攻擊及跨站請求偽造，同時隱藏敏感信息、上傳和下載文件也受到限制，且登錄頁面圖片驗證碼的支持、帳號密碼設置至少八位，其中包括大小寫和特殊字符。

操作系統加固也必不可少，首先關閉不必要的服務，其次控制文件和目錄的訪問權限，采用數據庫加固、安裝安全補丁、防病毒等手段保障管理組件虛擬機的系統安全。具體的加固措施為關閉不必要的通信端口、關閉不需開啟的服務進程，且用戶對系統的訪問權限、不同的賬號訪問權限也必須有所限制，開啟服務器的安全日志審計功能，以避免黑客通過漏洞攻擊系統。

2.5 桌面云管理安全設計

學生一旦接入桌面云，在桌面云的接入網關、認證系統和虛擬機上都有詳細的日志記錄，便于追查責任事故。從帳號、密碼、管理員和用戶權限、日志等日常管理方面加強安全措施。教師采用Https加密保證管理訪問安全，通過分權分域管理方法，對不同教師的權限進行制約，且所有教師的操作都有日志記錄，供事后審計。

2.6 桌面云用戶虛擬機安全設計

在學生虛擬機上部署安裝防病毒軟件，防止學生的虛擬桌面遭受病毒或木馬攻擊。虛擬機要求配置固定IP，便于審計。當虛擬機運行時，可采用TSM安全系統提供網絡訪問控制、USB讀寫加密與管控、學生行為監控、補丁管理、軟件分發等功能，確保學生虛擬機的運行安全。

3 結 語

伴隨云計算的發展，桌面云也進入了全國各大高校的實訓機房，與傳統PC機房相比，其優勢明顯，特別在安全方面有著實現簡單，使用靈活，維護方便的特點，但桌面云也不能取代所有實訓機房，例如網絡實訓機房需要運行模擬器及虛擬機等教學軟件，虛擬化服務器在這方面的硬件性能不夠強大，無法正常運行以上教學軟件，不能滿足常規教學需求，所以云南工商學院的實訓機房采用傳統PC機實訓機房與桌面云實訓機房相結合的方式，以滿足學生的各類需求。

參考文獻

[1]秦濤，李占平.高校教學機房虛擬化桌面云建設實踐探索[J].內蒙古師范大學學報（教育科學版），2015，28（9）：24-26.

[2]方巍，文學志，潘吳斌，等.云計算：概念、技術及應用研究綜述[J].南京信息工程大學學報（自然科學版），2012，4（4）：351-361.

[3]崔倩楠.基于云計算環境的虛擬化資源平臺研究與評價[D].北京：北京郵電大學，2011.

[4]林瑜華.云計算環境下高校實驗教學模式的創新與實踐[J].實驗室研究與探索， 2011（8）：284-287.

[5]李宏儒.虛擬化技術在計算機實驗教學中的應用[J].實驗技術與管理，2010，27（5）：90-92.

[6]劉鈞.互聯網時代的數據安全[J].重慶科技學院學報 （社會科學版），2009（3）：117-118.

[7]田密.基于云計算機的虛擬化技術應用研究[J].物聯網技術，2016，6（4）：83-84.

[8]陳思錦，吳韶波，高雪瑩.云計算中的虛擬化技術與虛擬化安全[J].物聯網技術，2015，5（3）：52-53.