CN113395272B - 一种基于数据安全的远程办公*** - Google Patents
一种基于数据安全的远程办公*** Download PDFInfo
- Publication number
- CN113395272B CN113395272B CN202110643953.XA CN202110643953A CN113395272B CN 113395272 B CN113395272 B CN 113395272B CN 202110643953 A CN202110643953 A CN 202110643953A CN 113395272 B CN113395272 B CN 113395272B
- Authority
- CN
- China
- Prior art keywords
- desktop
- cloud desktop
- client terminal
- cloud
- pool
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000007726 management method Methods 0.000 claims description 52
- 230000005540 biological transmission Effects 0.000 claims description 15
- 230000006870 function Effects 0.000 claims description 15
- 238000005516 engineering process Methods 0.000 claims description 12
- 230000003068 static effect Effects 0.000 claims description 12
- 238000007667 floating Methods 0.000 claims description 9
- 238000013475 authorization Methods 0.000 claims description 6
- 238000004891 communication Methods 0.000 claims description 6
- 238000013144 data compression Methods 0.000 claims description 3
- 230000008676 import Effects 0.000 claims description 2
- 230000000694 effects Effects 0.000 abstract description 5
- 238000000034 method Methods 0.000 abstract description 5
- 238000012550 audit Methods 0.000 abstract description 3
- 230000009286 beneficial effect Effects 0.000 abstract description 2
- 230000002155 anti-virotic effect Effects 0.000 description 7
- 230000006872 improvement Effects 0.000 description 7
- 238000012544 monitoring process Methods 0.000 description 7
- 238000003860 storage Methods 0.000 description 7
- 238000012423 maintenance Methods 0.000 description 5
- 230000002093 peripheral effect Effects 0.000 description 5
- 230000003044 adaptive effect Effects 0.000 description 4
- 238000010586 diagram Methods 0.000 description 4
- 230000008901 benefit Effects 0.000 description 3
- 230000015654 memory Effects 0.000 description 3
- 230000005012 migration Effects 0.000 description 3
- 238000013508 migration Methods 0.000 description 3
- 230000004048 modification Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 238000012546 transfer Methods 0.000 description 2
- 238000012384 transportation and delivery Methods 0.000 description 2
- 206010035664 Pneumonia Diseases 0.000 description 1
- 241000700605 Viruses Species 0.000 description 1
- 230000006978 adaptation Effects 0.000 description 1
- 230000002776 aggregation Effects 0.000 description 1
- 238000004220 aggregation Methods 0.000 description 1
- 238000005336 cracking Methods 0.000 description 1
- 239000013078 crystal Substances 0.000 description 1
- 230000003203 everyday effect Effects 0.000 description 1
- 230000004927 fusion Effects 0.000 description 1
- 230000036541 health Effects 0.000 description 1
- 210000001503 joint Anatomy 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000005457 optimization Methods 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0272—Virtual private networks
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0281—Proxies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45595—Network integration; Enabling network access in virtual machine instances
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Computer Hardware Design (AREA)
- Signal Processing (AREA)
- Software Systems (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Health & Medical Sciences (AREA)
- Power Engineering (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明公开一种基于数据安全的远程办公***，包括客户终端和企业数据中心，客户终端通过SSL VPN连接到企业内网，企业数据中心部署有多台服务器，每台服务器也均接入企业内网，当客户终端的SSL VPN连接建立后，客户终端上网使用本地网络连接，当涉及到企业内网应用时，客户终端使用的是本地网络和企业内网连接，并占用企业内网的带宽，每台服务器上分别虚拟出多台桌面虚拟机，客户终端上设置有云桌面连接软件，客户终端通过云桌面连接软件传输桌面图像以及将客户终端上的本地设备映射到云桌面虚拟机中，实施本发明的基于数据安全的远程办公***，具有以下有益效果：能提高数据的安全性和体验效果、提高网络的应用安全审计精细程度。
Description
技术领域
本发明涉及通信***技术领域，尤其涉及一种基于数据安全的远程办公***。
背景技术
受新冠肺炎疫情的影响，有些企业的员工被迫需要选择线上远程办公，采用远程办公首先要解决的异地客户端与企业服务器的通讯问题，常见的做法是本地电脑通过SSLVPN连接的方式远程接入到企业内网进行数据访问，并使用企业资源，从而实现加密通讯的功能，但从安全的角度来看，其中存在一些安全隐患，假如企业某个员工的VPN账户被不法分子获取，对方就有可能通过VPN接入到企业内网，从而访问所有的服务器资源。尤其是最近几年各种无授权访问企业资源的时间频繁发生，给企业带来巨大的损失。对于此类问题，黑客惯常采用暴力破解、撞库或者通过社交工程获取用户名密码，突破访问权限实现核心资源的访问。可见，传统的远程办公方式容易出现本地电脑被随意泄漏，造成数据不安全，网络的应用安全存在审计精细程度不足的问题，然而目前还没有有效的防范方法可以避免上述问题。
发明内容
针对上述问题，本发明提出一种基于数据安全的远程办公***，主要解决背景技术中的问题。
本发明提出一种基于数据安全的远程办公***，包括客户终端和企业数据中心，所述客户终端通过SSL VPN连接到企业内网，所述企业数据中心部署有多台服务器，每台所述服务器也均接入所述企业内网，当所述客户终端的SSL VPN连接建立后，所述客户终端上网使用本地网络连接，当涉及到企业内网应用时，所述客户终端使用的是本地网络和企业内网连接，并占用企业内网的带宽，每台所述服务器上分别虚拟出多台桌面虚拟机，所述客户终端上设置有云桌面连接软件，所述客户终端通过所述云桌面连接软件传输桌面图像以及将所述客户终端上的本地设备映射到云桌面虚拟机中。
进一步改进在于，所述服务器上部署有云桌面管理平台，所述云桌面虚拟机上部署有云桌面代理程序，所述云桌面代理程序为所述云桌面管理平台管理所述云桌面虚拟机时使用的代理程序，所述云桌面管理平台用于管理与云桌面业务相关的虚拟化平台、桌面池和云桌面用户。
进一步改进在于，所述服务器上部署有所述虚拟化平台，所述虚拟化平台包括云资源管理服务器及云资源计算服务器。
进一步改进在于，所述服务器上部署有域控制器，所述域控制器用于提供基于LDAP的目录服务，并为所述云桌面管理平台提供对用户的创建、管理、验证以及所述云桌面虚拟机的域管理功能。
进一步改进在于，在部署新软件或更新软件时，通过构建软件库，并将所述软件库分发给各个所述云桌面虚拟机上，所述云桌面虚拟机在接收到所述软件库后重启即可使用所述新软件或更新软件。
进一步改进在于，借助所述云桌面管理平台通过所述云桌面代理程序对本地用户、域用户和用户组进行批量授权，并基于所述桌面池进行所述云桌面虚拟机虚拟桌面的统一管理和集中控制。
进一步改进在于，所述桌面池包括静态桌面池、手工桌面池和浮动桌面池，
通过所述静态桌面池实现用户对所述云桌面虚拟机虚拟桌面的独享以及对所述云桌面虚拟机虚拟桌面的个性化设置；
通过所述手工桌面池手工进行所述云桌面虚拟机虚拟桌面的还原点设置以及手工完成还原操作；
通过所述浮动桌面池实现所述云桌面虚拟机虚拟桌面的动态授权，用户登录时，可随机从所述浮动桌面池中分配虚拟桌面，并在用户关闭虚拟桌面后自动还原到所述云桌面虚拟机的桌面初始状态。
进一步改进在于，管理员可以在所述静态桌面池中导入已有的所述云桌面虚拟机，也可以手工移除所述云桌面虚拟机，所述手工桌面池和所述浮动桌面池则支持所述云桌面虚拟机断开后超时释放。
进一步改进在于，所述SSL VPN工作在NAT模式的防火墙下面，且所述SSL VPN提供的工作模式包括Web模式和隧道模式，所述SSL VPN采用令牌双因子认证进行防火墙本地用户和LDAP/Radius远程用户的认证。
进一步改进在于，所述SSL VPN采用公匙加密的方式保障数据在传输的过程中的安全性，同时采用浏览器和服务器直接沟通的方式，通过SSL协议保证数据的安全，所述SSL协议采用SSL/TLS综合加密的方式，将SSL记录协议作为第一层，所述SSL记录协议为数据的传输提供基本的数据压缩和加密功能；SSL握手协议作为第二层，所述SSL握手协议用于检测用户的账号密码是否正确以及进行身份验证登录。
进一步改进在于，所述静态桌面池上设置有桌面锁，所述桌面锁密码为独享用户设立，当用户输入密码连续错误三次时自动断开与企业内网的连接。
进一步改进在于，所述云桌面虚拟机上还部署有云桌面监控程序，所述云桌面监控程序用于监控用户对于云桌面的使用情况，并根据使用情况确定客户终端是否安全。
进一步改进在于，当连接企业内网的客户终端为首次连接的陌生地址时，所述云桌面监控程序限制客户终端的连接，并将所述客户终端信息上传到管理员处，由管理员手动确认解除对所述客户终端的限制。
进一步改进在于，当连接企业内网的客户终端当次连接文件下载次数高于N次时，所述云桌面监控程序限制客户终端的连接，并将所述客户终端信息上传到管理员处，由管理员手动确认解除对所述客户终端的限制，系数N由管理员手动设置。
与现有技术相比，本发明的有益效果为：由于本发明设有客户终端和企业数据中心，客户终端通过SSL VPN连接到企业内网，企业数据中心中部署有多台服务器，每台服务器虚拟出多台云桌面虚拟机，客户终端上部署有云桌面连接软件，客户终端连上SSL VPN后，通过云桌面连接软件连到企业内网的云桌面虚拟机，基于SSL VPN建立与企业内网的连接，再通过本地电脑上的云桌面连接软件连接企业数据中心内的云桌面虚拟机，实现远程办公，使用云桌面虚拟机与企业数据中心的资源，这样的好处是解决传统数据办公不安全的问题，也实现了在这种模式下数据不落地，都在企业内，提高数据的安全性和体验效果，因此本发明能提高数据的安全性和体验效果、提高网络的应用安全审计精细程度。
附图说明
附图仅用于示例性说明，不能理解为对本专利的限制；为了更好说明本实施例，附图某些部件会有省略、放大或缩小，并不代表实际产品的尺寸；对于本领域技术人员来说，附图中某些公知结构及其说明可能省略是可以理解的。
图1为本发明基于数据安全的远程办公***一个实施例中的结构示意图；
图2为本发明一种实施例中基于数据安全的远程办公***的架构示意图。
具体实施方式
在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以是通过中间媒介间接连接，可以说两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明的具体含义。下面结合附图和实施例对本发明的技术方案做进一步的说明。
在本发明基于数据安全的远程办公***实施例中，该基于数据安全的远程办公***的结构示意图如图1所示。图1中，该基于数据安全的远程办公***包括客户终端1和企业数据中心2，客户终端1通过SSL VPN连接到企业内网，企业数据中心2中部署有多台服务器21，每台服务器21均接入企业内网，每台服务器21虚拟出多台云桌面虚拟机，最多可以虚拟出30台云桌面虚拟机。
客户终端1可以是终端设备、PC、瘦终端或者其他任何可以连接到网络的设备，客户终端1上部署有H3C的云桌面连接软件(即VDP软件，也可以称为H3C Cloud云桌面客户端)，客户终端1连上SSL VPN后，通过云桌面连接软件连到企业内网的云桌面虚拟机。当SSLVPN连接建立后，客户终端1上网使用本地网络连接，当涉及到企业内网应用时，客户终端1上网使用的是本地网络和企业内网连接，并占用企业内网的带宽。
H3C Cloud Desktop(H3C云桌面)是自行研发的云桌面产品，旨在为最终用户提供虚拟云桌面。桌面虚拟化即VDI(Virtual Desktop Infrastructure)是一种基于服务器的计算模型，其利用服务器虚拟化技术，并结合传统的瘦客户端技术，将桌面组件(包括应用、操作***和用户设置等)转移到企业数据中心2进行集中管理，通过桌面连接协议生成独立的桌面操作***，发送给客户终端1，供用户在客户终端1上使用。
本发明使用云桌面虚拟机与企业数据中心2的资源，这样的好处是解决传统数据办公不安全的问题，也实现了在这种模式下数据不落地，都在企业内，提高数据的安全性和体验效果，因此本发明能提高数据的安全性和体验效果、提高网络的应用安全审计精细程度。
图2为本实施例中基于数据安全的远程办公***的架构图。本实施例中，服务器21上部署有云桌面管理平台(H3C Cloud云桌面管理平台)，管理员通过云桌面管理平台管理与云桌面业务相关的虚拟化平台、桌面池和云桌面用户等。管理员可以通过虚拟桌面管理平台将所有虚拟化的桌面在企业数据中心进行托管，并进行统一管理和集中控制。用户可以在使用虚拟化桌面时获得PC机类似的使用体验，可以利用终端设备、PC、瘦终端或者其他任何可以连接到网络的设备通过应用程序或者浏览器访问驻留在服务器端的桌面操作***。
云桌面连接软件是连接云桌面的客户端程序，用户的客户终端1通过云桌面连接软件可以高效的传输桌面图像以及将客户终端1上的本地设备映射到云桌面中。
本实施例中，云桌面虚拟机上部署有云桌面代理程序(H3C Cloud云桌面代理，简称vAgent)，云桌面代理程序是云桌面管理平台管理云桌面虚拟机时使用的代理程序，可以为云桌面管理平台提供多种虚拟机管理能力。
服务器21(可以是x86服务器)上部署有虚拟化平台(H3C CAS虚拟化平台)，虚拟化平台包括云资源管理服务器CVM及云资源计算服务器CVK，可以为云桌面管理平台提供高效、安全和稳定的虚拟机资源。
服务器21上部署有域控制器(即Microsoft Active Directory域控制器)，该域控制器为可选组件，提供基于LDAP的目录服务，为云桌面管理平台提供对用户的创建、管理、验证以及云桌面虚拟机的域管理功能。
该基于数据安全的远程办公***具有管理简便、数据安全和部署高效等优势。管理简便通过如下几个方面体现：分权分域管理，集中管理资源访问权限；批量软件分发管理；自带免费的桌面备份功能；桌面远程协助运维；管理前置，用户自助备份桌面；用户自助申请开户。数据安全通过如下几个方面体现：终端/用户/外设黑白名单，U盘只读控制；桌面水印，防偷拍防泄密；录屏审计，记录违规操作；基于IP地址段和MAC的终端准入控制；互联网流量与业务网访问流量控制和隔离，vLAN、ACL和QoS策略控制。部署高效通过如下几个方面体现：模板批量派生，3分钟快速生成上百虚拟桌面；新员工入职，用户自助申请、自动开户；桌面租约，桌面到期后自动回收。
该基于数据安全的远程办公***具有高体验、强安全、简管理和智运维的特点。高体验通过如下方面体现：类PC体验(不改变用户的登陆、开机和关机习惯。云桌面连接协议VDP针对桌面图像传输进行深度优化，大幅提升桌面访问体验，可实现桌面秒级登陆。可与Ukey、指纹认证***对接)、完美的软件兼容性(完整的软件兼容性列表，兼容主流的应用和杀毒软件。政府行业软件兼容性齐备，C/S和B/S类应用兼容性好。可针对行业性应用做定制化适配。)、办公外设广泛支持(自主研发的外设重定向核心技术，保持和PC一样的总线通道，员工可以像PC一样使用打印机、扫描仪和Ukey等外设)和流畅的视频体验(视频重定向技术大幅提升用户的视频体验，并且有效降低视频解码对服务器的资源开销，支持高密度的视频并发场景)。
强安全通过如下方面体现：H3C Cloud云桌面产品支持终端准入(绑定接入终端MAC或IP地址等特性)、外设的黑白名单控制、软件黑名单控制、桌面水印、录屏审计和存储设备只读等安全特性。除此之外，H3C Cloud云桌面产品支持与亚信安全等第三方杀毒软件或安全软件融合，在虚拟化环境下提供完善的安全防护解决方案，无需在虚拟桌面内安装代理即可保护云桌面虚拟机，实现虚拟化环境下的安全保障。
简管理通过如下方面体现：
1)软件分发：在部署软件或更新软件的时候，管理员可以单独创建一个软件库，然后直接把软件库分发给云桌面虚拟机，而不再需要更新模板。软件分发功能部署软件的速度是秒级，更新软件的时候，只需要将不同的软件库分发给云桌面虚拟机，云桌面虚拟机重启后既可以使用。
2)桌面池管理：通过云桌面管理平台，管理员可以基于桌面池进行虚拟桌面的统一管理和集中控制。对于桌面池中的虚拟桌面可以进行批量部署，对本地用户、域用户和用户组进行批量授权。通过静态桌面池，可以实现用户对虚拟桌面的独享，用户可以进行虚拟桌面个性化设置。
通过手工桌面池，管理员可以根据需要手工进行桌面池还原点设置，并在需要的时候手工进行还原操作。
在浮动桌面池中，可以进行虚拟桌面动态授权，用户登录时，随机从动态池中分配虚拟桌面，在用户关闭虚拟桌面后自动还原到桌面初始化状态。
在静态桌面池中，管理员可以导入已有的云桌面虚拟机，并且可以手工从池中移除云桌面虚拟机。对于手工桌面池或者动态桌面池，支持云桌面虚拟机断开后超时释放，即虚拟桌面断开后超过一定时间，授权关系自动释放，虚桌面可以被池中授权的其他用户申请使用。
3)用户管理：管理员通过云桌面管理平台的用户管理模块，可以进行本地用户、域用户以及用户分组的维护，包括增加、修改、删除和查询等操作，并且可以查看用户及用户分组所授权的虚拟桌面信息。可以手工或周期进行LDAP域用户的同步，对在线用户信息进行监控。除此之外，还支持本地认证，用户登陆时只需要在云桌面管理平台中认证即可，登陆速度更快，管理更加便捷。
智运维通过如下方面体现：
1)运维监控：云桌面管理平台通过统一的Web管理控制台，实现了对物理及虚拟资源的集中管理和统一监控，通过DashBoard界面，可以进行云资源的概览，实现对数据中心集群、主机、存储、云桌面虚拟机及网络等资源的统一监控。目前包括主机CPU、内存等Top5监控、云桌面虚拟机CPU、内存等资源的Top5监控。
2)用户自助服务：用户可以通过自助页面申请云桌面资源，可自主选择OS类型、vCPU、内存和磁盘资源。也可以按照管理员预先定义好的虚拟桌面规格直接申请。且用户通过自助页面申请云桌面资源时，可以设置虚拟桌面使用时长，桌面超期时即回收用户使用权限，用户也可申请延期。
3)高可靠架构：H3C Cloud云桌面集群基于CAS服务器虚拟化平台，可以为用户提供HA、DRS、DPM等多重***可靠性保障，有效保证云桌面的稳定性。基于集群进行集中管理的好处在于：利用集中化管理功能，管理员能够通过统一的界面对整个IT环境进行组织、监控和配置，从而降低管理成本。
由多***立服务器主机聚合形成的一个具有共享资源池的集群不仅降低了桌面池管理的复杂度，而且具有内在的高可用性，通过监控集群下所有的主机，一旦某台主机发生故障，H3C CAS虚拟化平台就会立即响应并在集群内另一台主机上重启受影响的虚拟桌面，也可以进行手动在线虚拟桌面迁移，提供存储在线迁移功能，支持虚拟桌面跨不同存储类型以及不同厂商存储产品之间进行在线迁移，无需中断或停机即可将正在运行的虚拟桌面从一个存储位置实时迁移到另一个存储位置，为用户提供一个经济有效的云桌面高可用性解决方案。
4)协议支持自适应传输：借助自适应传输，虚拟通道可以自动响应不断变化的网络条件，实现在TCP、UDP之间自动切换，无需人工干预，可以保证用户的最佳体验。
自适应传输是云桌面的新数据传输机制，此传输速度更快，更具有扩展性，改进了应用程序的交互性，并且在具有挑战性远距离WAN和Internet连接中互动性更强。自适应传输传输维持高服务器可扩展性，并有效利用带宽。借助自适应传输，虚拟通道可以自动响应不断变化的网络条件。它们可以在协议与TCP之间智能地切换底层协议，已提供最佳性能。这提高了所有虚拟通道的数据吞吐量。相同的设置适用于LAN与WAN条件。
设置为首选时，需要首先使用局域EDT的数据传输，并回退到TCP。默认情况下，禁用自适应传输(关)，并始终用TCP。处于测试目的，可以设置诊断模式，在这种情况下，仅适用EDT，并禁用退到TCP。
5)提供应用交付容器类技术：实现应用的分层管理，通过AppLayering提供应用交付容器类技术，管理员在不修改桌面母镜像的情况下可以将应用程序、***补丁、杀毒软件和驱动程序等作为一个个应用层，组合成不同镜像发配给不同用户。管理员在不修改桌面母镜像的情况下可以将应用程序、***补丁、杀毒软件和驱动程序等作为一个个应用层，组合成不同镜像发配给不同用户。
企业的整体网络架构采用的是万兆核心与接入，桌面端采用的是千兆网络信息点，在防火墙方面，核心机房采用的是飞塔高端防火墙601E，负一楼企业数据中心也采用的飞塔500D防火墙进行安全防护，在网络流量优化方面，采用网康流量管理专家进行保护，在网络防病毒方面，采用的是业界主流的360网络版杀毒软件进行防护，这样能有效降低中病毒的概率，大大提高企业的服务器和PC的安全性，整体来说企业的网络安全防护已做的比较到位。
本发明采用飞塔防火墙的FortiToken功能(令牌双因子认证)来防护。也就是在用户名和密码基础上增加实物和一次性动态口令，即令牌双因子认证。
飞塔SSL VPN功能使用SSL和代理技术使授权用户得到安全的可靠的Web客户端，服务器端应用或者其他文件资源共享等等服务。SSL VPN只能工作在NAT模式的防火墙下面，透明模式的防火墙不支持SSL VPN功能。SSL VPN提供如下两种工作模式：1)Web模式，远程用户使用浏览器就可以通过这种模式的SSL VPN访问公司内部资源，只限于HTTP/HTTPS，FTP，SMB/CIFS，Telnet，VNC，RDP服务；2)隧道模式，防火墙会虚拟出一个“ssl.root“接口出来，所有使用SSL隧道模式的流量都相当于进出此SSL VPN接口，远程用于需要安全一个SSLVPN的客户端软件，支持所有的应用。
SSL VPN采用令牌双因子认证进行防火墙本地用户和LDAP/Radius远程用户的认证。SSL VPN支持的认证协议如下：本地认证、Radius认证、Tacacs+认证、LDAP认证、PKI证书认证和Windows AD认证。
令牌双因子认证是一种基于时间同步技术的动态令牌身份认证设备，用于为应用***提供高安全性的身份认证功能，保护用户的身份认证安全，防止攻击者通过身份盗用、身份冒用以及身份欺诈等方式实施非法操作，损害合法用户的利益。
令牌双因子认证采用时间同步方式的OTP技术，OTP全称叫One-time Password，也称动态口令，是根据专门的算法每隔60秒生成一个与时间相关的、不可预测的随机数字组合，每个口令只能使用一次，每天可以产生43200个密码。其原理是基于动态令牌和动态口令验证服务器的时间比对，基于时间同步的令牌，一般每60秒产生一个新口令，要求服务器能够十分精确的保持正确的时钟，同时对其令牌的晶振频率有严格的要求，这种技术对应的终端是硬件令牌。动态口令是一种安全便捷的帐号防盗技术，可以有效保护交易和登录的认证安全，采用动态口令就无需定期更换密码，安全省心，对企事业内部应用尤其有用。
令牌双因子认证可以实现动态口令二次认证以提高安全性，对于使用AD或Radius等外置认证***的场景，令牌双因子认证也支持绑定令牌双因子认证到外置AAA的远程用户以实现动态口令二次认证。
令牌双因子认证结合SSL VPN所需要的设备及软件如下：1)飞塔：安全防火墙；2)令牌双因子认证授权：一个或者多个FortiToken授权；3)令牌双因子认证client：IOS版本、Android版本；4)令牌双因子认证客户端：VPN连接工具，IOS版本、Android版本、MAC版本、Windows版本以及Linux版本。
令牌双因子认证支持在防火墙本地用户以及LDAP/Radius远程用户启用，通过令牌双因子认证可以提高SSL VPN、Portal等认证方式的安全性，避免静态密码泄漏造成的安全隐患。
SSL VPN是一种既简单又安全的远程隧道访问技术，使用非常简单。SSL VPN采用公匙加密的方式来保障数据在传输的过程中的安全性，它采用浏览器和服务器直接沟通的方式，既方便了用户的使用，又可以通过SSL协议来保证数据的安全。SSL协议采用SSL/TLS综合加密的方式来保障数据安全。SSL协议从其使用上来说可以分为两层：第一层是SSL记录协议，这种协议可以为数据的传输提供基本的数据压缩、加密等功能；第二层是SSL握手协议，主要用于检测用户的账号密码是否正确，进行身份验证登录。SSL VPN具有架构简单、运营成本低、处理速度快、安全性能高的特点，所以在企业用户中得到大规模的使用。
令牌双因子认证可以很大的加强企业账号管理的安全性，这一点已经在网络安全领域达成了比较一致共识，正因为如此，令牌双因子认证在企业的用户管理中越来越流行，飞塔的令牌双因子认证结合SSL VPN可以做到相对简单的部署到企业网络中，技术应用简单，减少网络管理人员的部署和排错负担。对于企业来讲，可以建立与远程LAN/设备安全连接，跨越互联网安全的传输私有数据，可以防止篡改，未授权用户不能窃听，只有已知用户才能访问私有网络。
总之，本发明使用云桌面虚拟机与企业数据中心的资源，这样的好处是解决传统数据办公不安全的问题，也实现了在这种模式下数据不落地，都在企业内，提高数据的安全性和体验效果，因此本发明能提高数据的安全性和体验效果、提高网络的应用安全审计精细程度。
作为本发明一优选实施方案，所述静态桌面池上设置有桌面锁，所述桌面锁密码为独享用户设立，当用户输入密码连续错误三次时自动断开与企业内网的连接。
作为本发明一优选实施方案，所述云桌面虚拟机上还部署有云桌面监控程序，所述云桌面监控程序用于监控用户对于云桌面的使用情况，并根据使用情况确定客户终端是否安全。
作为本发明一优选实施方案，当连接企业内网的客户终端为首次连接的陌生地址时，所述云桌面监控程序限制客户终端的连接，并将所述客户终端信息上传到管理员处，由管理员手动确认解除对所述客户终端的限制。
作为本发明一优选实施方案，当连接企业内网的客户终端当次连接文件下载次数高于N次时，所述云桌面监控程序限制客户终端的连接，并将所述客户终端信息上传到管理员处，由管理员手动确认解除对所述客户终端的限制，系数N由管理员手动设置
图中，描述位置关系仅用于示例性说明，不能理解为对本专利的限制；显然，本发明的上述实施例仅仅是为清楚地说明本发明所作的举例，而并非是对本发明的实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明权利要求的保护范围之内。
Claims (13)
1.一种基于数据安全的远程办公***，其特征在于，包括客户终端和企业数据中心，所述客户终端通过SSL VPN连接到企业内网，所述企业数据中心部署有多台服务器，每台所述服务器也均接入所述企业内网，当所述客户终端的SSL VPN连接建立后，所述客户终端上网使用本地网络连接，当涉及到企业内网应用时，所述客户终端使用的是本地网络和企业内网连接，并占用企业内网的带宽，每台所述服务器上分别虚拟出多台桌面虚拟机，所述客户终端上设置有云桌面连接软件，所述客户终端通过所述云桌面连接软件传输桌面图像以及将所述客户终端上的本地设备映射到云桌面虚拟机中；
所述SSL VPN工作在NAT模式的防火墙下面，且所述SSL VPN提供的工作模式包括Web模式和隧道模式；
所述SSL VPN采用令牌双因子认证进行防火墙本地用户和LDAP/Radius远程用户的认证，在用户名和密码基础上增加实物和一次性动态口令，基于时间同步技术的动态令牌身份认证设备，根据算法每隔一段时间生成一个与时间相关的、不可预测的随机数字组合，每个口令只能使用一次，实现动态口令二次认证。
2.根据权利要求1所述的一种基于数据安全的远程办公***，其特征在于，所述服务器上部署有云桌面管理平台，所述云桌面虚拟机上部署有云桌面代理程序，所述云桌面代理程序为所述云桌面管理平台管理所述云桌面虚拟机时使用的代理程序，所述云桌面管理平台用于管理与云桌面业务相关的虚拟化平台、桌面池和云桌面用户。
3.根据权利要求2所述的一种基于数据安全的远程办公***，其特征在于，所述服务器上部署有所述虚拟化平台，所述虚拟化平台包括云资源管理服务器及云资源计算服务器。
4.根据权利要求2所述的一种基于数据安全的远程办公***，其特征在于，所述服务器上部署有域控制器，所述域控制器用于提供基于LDAP的目录服务，并为所述云桌面管理平台提供对用户的创建、管理、验证以及所述云桌面虚拟机的域管理功能。
5.根据权利要求1所述的一种基于数据安全的远程办公***，其特征在于，在部署新软件或更新软件时，通过构建软件库，并将所述软件库分发给各个所述云桌面虚拟机上，所述云桌面虚拟机在接收到所述软件库后重启即可使用所述新软件或更新软件。
6.根据权利要求2所述的一种基于数据安全的远程办公***，其特征在于，借助所述云桌面管理平台通过所述云桌面代理程序对本地用户、域用户和用户组进行批量授权，并基于所述桌面池进行所述云桌面虚拟机虚拟桌面的统一管理和集中控制。
7.根据权利要求6所述的一种基于数据安全的远程办公***，其特征在于，所述桌面池包括静态桌面池、手工桌面池和浮动桌面池，
通过所述静态桌面池实现用户对所述云桌面虚拟机虚拟桌面的独享以及对所述云桌面虚拟机虚拟桌面的个性化设置；
通过所述手工桌面池手工进行所述云桌面虚拟机虚拟桌面的还原点设置以及手工完成还原操作；
通过所述浮动桌面池实现所述云桌面虚拟机虚拟桌面的动态授权，用户登录时，可随机从所述浮动桌面池中分配虚拟桌面，并在用户关闭虚拟桌面后自动还原到所述云桌面虚拟机的桌面初始状态。
8.根据权利要求7所述的一种基于数据安全的远程办公***，其特征在于，管理员可以在所述静态桌面池中导入已有的所述云桌面虚拟机，也可以手工移除所述云桌面虚拟机，所述手工桌面池和所述浮动桌面池则支持所述云桌面虚拟机断开后超时释放。
9.根据权利要求1所述的一种基于数据安全的远程办公***，其特征在于，所述SSLVPN采用公匙加密的方式保障数据在传输的过程中的安全性，同时采用浏览器和服务器直接沟通的方式，通过SSL协议保证数据的安全，所述SSL协议采用SSL/TLS综合加密的方式，将SSL记录协议作为第一层，所述SSL记录协议为数据的传输提供基本的数据压缩和加密功能；SSL握手协议作为第二层，所述SSL握手协议用于检测用户的账号密码是否正确以及进行身份验证登录。
10.根据权利要求7所述的一种基于数据安全的远程办公***，其特征在于，所述静态桌面池上设置有桌面锁，所述桌面锁密码为独享用户设立，当用户输入密码连续错误三次时自动断开与企业内网的连接。
11.根据权利要求2所述的一种基于数据安全的远程办公***，其特征在于，所述云桌面虚拟机上还部署有云桌面监控程序，所述云桌面监控程序用于监控用户对于云桌面的使用情况，并根据使用情况确定客户终端是否安全。
12.根据权利要求11所述的一种基于数据安全的远程办公***，其特征在于，当连接企业内网的客户终端为首次连接的陌生地址时，所述云桌面监控程序限制客户终端的连接，并将所述客户终端信息上传到管理员处，由管理员手动确认解除对所述客户终端的限制。
13.根据权利要求11所述的一种基于数据安全的远程办公***，其特征在于，当连接企业内网的客户终端当次连接文件下载次数高于N次时，所述云桌面监控程序限制客户终端的连接，并将所述客户终端信息上传到管理员处，由管理员手动确认解除对所述客户终端的限制，系数N由管理员手动设置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110643953.XA CN113395272B (zh) | 2021-06-09 | 2021-06-09 | 一种基于数据安全的远程办公*** |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110643953.XA CN113395272B (zh) | 2021-06-09 | 2021-06-09 | 一种基于数据安全的远程办公*** |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN113395272A CN113395272A (zh) | 2021-09-14 |
| CN113395272B true CN113395272B (zh) | 2023-02-28 |
Family
ID=77620030
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202110643953.XA Active CN113395272B (zh) | 2021-06-09 | 2021-06-09 | 一种基于数据安全的远程办公*** |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113395272B (zh) |
Families Citing this family (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN113965376B (zh) * | 2021-10-21 | 2023-09-19 | 合肥城市云数据中心股份有限公司 | 一种基于数据隔离平台的云主机远程数据通信方法 |
| CN114244651A (zh) * | 2021-12-09 | 2022-03-25 | 华特数字科技有限公司 | 一种基于云桌面的远程办公实现***及方法 |
| CN114253651A (zh) * | 2021-12-29 | 2022-03-29 | 南京机敏软件科技有限公司 | 一种云桌面客户端远程运维的方法、存储介质及处理器 |
| CN114422252A (zh) * | 2022-01-21 | 2022-04-29 | 中国农业银行股份有限公司 | 一种身份认证方法及装置 |
| CN114915420B (zh) * | 2022-03-03 | 2024-04-26 | 阿里巴巴（中国）有限公司 | 用于云桌面的通信方法及*** |
| CN115033297A (zh) * | 2022-05-16 | 2022-09-09 | 阿里巴巴（中国）有限公司 | 基于一次指纹触摸实现开机并登录云桌面的方法和装置 |
| CN114900428A (zh) * | 2022-06-20 | 2022-08-12 | 广州禹龙信息科技有限公司 | 一种一站式it信息化*** |
| CN115118720B (zh) * | 2022-06-23 | 2024-02-09 | 中国民航信息网络股份有限公司 | 分析辅助工具、数据处理***、辅助分析方法和相关设备 |
| CN115643109B (zh) * | 2022-12-21 | 2023-03-14 | 四川汉科计算机信息技术有限公司 | 一种基于虚拟化平台的远程控制方法、***、设备、介质 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106850809A (zh) * | 2017-02-09 | 2017-06-13 | 武汉烽火信息服务有限公司 | 基于桌面云平台用户门户使用虚拟桌面的装置 |
| CN106959854A (zh) * | 2017-03-23 | 2017-07-18 | 江苏磐数信息科技有限公司 | 云终端虚拟化*** |
| CN109889422A (zh) * | 2019-03-07 | 2019-06-14 | 江苏省人民医院 | 结合虚拟化桌面与ssl vpn实现远程放疗计划的方法 |
| CN111294373A (zh) * | 2018-12-07 | 2020-06-16 | ***通信集团山东有限公司 | 基于移动行业云桌面架构的信息管控*** |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9438662B2 (en) * | 2007-04-30 | 2016-09-06 | Microsoft Technology Licensing, Llc | Enabling secure remote assistance using a terminal services gateway |
| US8910272B2 (en) * | 2008-02-28 | 2014-12-09 | Hob Gmbh & Co. Kg | Computer communication system for communication via public networks |
| CN103840994B (zh) * | 2012-11-23 | 2017-06-06 | 华耀(中国)科技有限公司 | 一种用户端通过vpn访问内网的***及方法 |
| US10268492B2 (en) * | 2014-05-20 | 2019-04-23 | Amazon Technologies, Inc. | Low latency connections to workspaces in a cloud computing environment |
| WO2019210420A1 (en) * | 2018-05-03 | 2019-11-07 | Nuutok Entreprise Inc. | Decentralized and automated data storage, processing and sharing system and related process |
-
2021
- 2021-06-09 CN CN202110643953.XA patent/CN113395272B/zh active Active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106850809A (zh) * | 2017-02-09 | 2017-06-13 | 武汉烽火信息服务有限公司 | 基于桌面云平台用户门户使用虚拟桌面的装置 |
| CN106959854A (zh) * | 2017-03-23 | 2017-07-18 | 江苏磐数信息科技有限公司 | 云终端虚拟化*** |
| CN111294373A (zh) * | 2018-12-07 | 2020-06-16 | ***通信集团山东有限公司 | 基于移动行业云桌面架构的信息管控*** |
| CN109889422A (zh) * | 2019-03-07 | 2019-06-14 | 江苏省人民医院 | 结合虚拟化桌面与ssl vpn实现远程放疗计划的方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN113395272A (zh) | 2021-09-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN113395272B (zh) | 一种基于数据安全的远程办公*** | |
| US11695757B2 (en) | Fast smart card login | |
| US20210021605A1 (en) | Dynamic Access Control to Network Resources Using Federated Full Domain Logon | |
| US10021088B2 (en) | Fast smart card logon | |
| US10417428B2 (en) | Methods and systems for providing and controlling cryptographic secure communications terminal providing a remote desktop accessible in secured and unsecured environments | |
| US20180367528A1 (en) | Seamless Provision of Authentication Credential Data to Cloud-Based Assets on Demand | |
| US9525666B2 (en) | Methods and systems for managing concurrent unsecured and cryptographically secure communications across unsecured networks | |
| Ertaul et al. | Security Challenges in Cloud Computing. | |
| US20200329121A1 (en) | Remote provisioning and enrollment of enterprise devices with on-premises domain controllers | |
| US20200374121A1 (en) | Computing system and methods providing session access based upon authentication token with different authentication credentials | |
| US11601434B1 (en) | System and method for providing a dynamically reconfigurable integrated virtual environment | |
| Chuan et al. | An implementation method of zero-trust architecture | |
| CN114244651A (zh) | 一种基于云桌面的远程办公实现***及方法 | |
| CA3135279A1 (en) | Computing system and related methods providing connection lease exchange and mutual trust protocol | |
| CN113615144A (zh) | 用于验证虚拟会话请求的***和方法 | |
| US11316857B2 (en) | Automated creation of dynamic privileged access resources | |
| Carthern et al. | Management Plane | |
| Ambhore et al. | Carapace for Intranet Security of Linux Harding | |
| Campbell et al. | {NT} Security in an Open Academic Environment | |
| DeVoto | Security Elements of IIS 6.0 | |
| Joubert | Auditing Windows 2000: Methodologies and Issues |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| CP03 | Change of name, title or address | ||
| CP03 | Change of name, title or address |
Address after: 510290 No. 483, Nanzhou Road, Haizhu District, Guangzhou City, Guangdong Province Patentee after: Guangdong Urban and Rural Planning and Design Institute Technology Group Co.,Ltd. Country or region after: China Address before: 510290 No. 483, Nanzhou Road, Haizhu District, Guangzhou City, Guangdong Province Patentee before: Guangdong urban and rural planning and Design Institute Co.,Ltd. Country or region before: China |