目 录 1. 概 述 总 体 方 案 方 案 概 述 软 件 部 署 架 构 技 术 原 理 访 问 场 景 典 型 设 备 ipad 配 置 使 用 示 例 详 细

Transcription

1 思 杰 移 动 办 公 解 决 方 案 2012 年 9 月 思 杰 系 统 信 息 技 术 ( 北 京 ) 有 限 公 司 Citrix Systems, Inc. 0

2 目 录 1. 概 述 总 体 方 案 方 案 概 述 软 件 部 署 架 构 技 术 原 理 访 问 场 景 典 型 设 备 ipad 配 置 使 用 示 例 详 细 设 计 拓 扑 结 构 访 问 安 全 认 证 方 式 加 密 方 案 应 用 部 署 客 户 端 要 求 虚 拟 应 用 平 台 功 能 系 统 配 置 方 案 服 务 器 角 色 分 类 服 务 器 配 置 示 意 软 硬 件 配 置 列 表 附 录 思 杰 公 司 简 介 概 述 移 动 办 公 系 统 是 众 多 组 织 单 位 管 理 层 及 时 掌 握 企 业 信 息 快 速 进 行 管 理 决 策 的 必 备 系 统, 其 对 企 业 的 重 要 性 不 言 而 喻 1

3 传 统 的 移 动 办 公 系 统 ( 如 笔 记 本 电 脑 +VPN 模 式, 或 者 WAP 手 机 ) 在 使 用 中 往 往 面 临 着 如 下 问 题 : 客 户 端 差 异 化 问 题 : 办 公 系 统 往 往 是 基 于 PC 机 Windows 系 统 开 发 的, 但 是 数 量 最 大 的 移 动 终 端 往 往 是 智 能 手 机 和 平 板 电 脑, 将 办 公 系 统 移 植 到 手 机 上 既 费 时 费 力, 又 带 来 了 额 外 的 开 发 维 护 和 重 新 用 户 培 训 等 一 系 列 问 题 网 络 及 性 能 问 题 : 移 动 办 公 的 网 络 千 差 万 别, 而 传 统 的 办 公 软 件 往 往 是 基 于 局 域 网 设 计 的, 因 此 很 多 应 用 在 移 动 办 公 使 用 时 因 网 络 而 产 生 性 能 瓶 颈, 比 如 当 邮 件 有 比 较 大 的 附 件 时, 局 域 网 内 可 以 马 上 打 开, 但 是 广 域 网 上 需 要 等 很 长 时 间 才 能 下 载 后 进 行 处 理 安 全 性 问 题 : 移 动 办 公 是 将 企 业 关 键 信 息 传 递 在 公 共 网 络 上, 因 此 面 临 着 比 在 企 业 内 部 使 用 更 高 的 安 全 性 要 求, 移 动 办 公 不 仅 有 数 据 被 截 获 的 危 险, 而 且 移 动 终 端 更 加 容 易 丢 失, 如 果 上 面 有 信 息 敏 感 数 据 则 对 企 业 造 成 的 无 法 估 算 的 危 害 同 时 如 果 外 部 终 端 不 加 防 护 地 接 入 企 业 内 网, 会 对 企 业 内 部 造 成 系 统 级 的 安 全 威 胁 流 量 问 题 : 传 统 的 解 决 方 案 需 要 很 高 的 网 络 流 量, 对 于 日 常 使 用 的 移 动 办 公 系 统, 会 产 生 巨 额 3G 流 量 费 用 传 统 的 技 术 方 案 所 带 来 的 这 些 问 题, 需 要 企 业 不 断 地 投 入 人 力 物 力 进 行 解 决, 给 企 业 带 来 了 很 大 的 管 理 和 压 力 成 本, 因 此 企 业 提 出 了 技 术 创 新 的 要 求 虚 拟 化 技 术 的 出 现, 使 得 企 业 得 以 从 技 术 架 构 上 根 本 解 决 如 上 问 题 通 过 应 用 虚 拟 化 使 得 传 统 应 用 直 接 升 级 为 了 面 向 服 务 的 架 构, 因 此 企 业 的 OA 办 公 软 件 业 务 系 统 和 ERP 系 统 等 等, 均 不 需 要 移 植 和 安 装 在 手 机 和 平 板 电 脑 等 移 动 设 备 上, 而 通 过 虚 拟 服 务 就 可 以 被 手 机 和 Pad 类 设 备 访 问 和 使 用 虚 拟 化 应 用 的 特 点 是 只 要 在 后 台 服 务 器 安 装 一 次, 然 后 经 过 管 理 员 的 权 限 定 义, 就 可 以 被 用 户 通 过 任 意 终 端 设 备 和 任 意 网 络 所 使 用, 而 所 有 的 数 据 和 维 护 管 理 工 作 全 部 在 数 据 中 心 虚 拟 化 技 术 不 仅 为 企 业 带 来 了 很 大 的 资 源 节 省 和 降 低 成 本, 同 时 使 得 企 业 的 IT 响 应 能 力 大 大 提 高, 移 动 办 公 不 再 需 要 额 外 开 发, 而 真 正 成 为 了 企 业 IT 架 构 的 自 然 延 伸, 实 现 了 用 户 随 时 随 地 地 安 全 访 问 企 业 内 部 信 息 2

4 2. 总 体 方 案 使 用 Citrix XenApp 虚 拟 应 用 技 术, 分 离 应 用 的 使 用 平 台 和 运 行 平 台, 因 此 智 能 手 机 Pad 类 设 备 等 移 动 终 端 从 应 用 运 行 设 备 变 成 纯 粹 的 输 入 输 出 设 备, 通 过 无 线 网 络 远 程 访 问 在 服 务 器 上 运 行 的 Windows 或 Unix 平 台 的 各 种 应 用 和 服 务, 从 而 实 现 了 用 户 的 移 动 办 公 作 为 苹 果 的 平 板 电 脑,iPad 采 用 ios 操 作 系 统, 配 备 9.7 寸 显 示 器, 屏 幕 分 辨 率 达 1024x768, 具 备 3G 和 WiFi 通 讯 方 式, 是 目 前 市 场 上 最 适 合 用 于 企 业 移 动 办 公 的 终 端 设 备 据 媒 体 报 道,Citrix 对 其 IT 客 户 进 行 的 一 项 调 查 显 示,80% 的 企 业 计 划 采 购 ipad, 而 更 多 企 业 则 表 示, 将 支 持 员 工 使 用 ipad 调 查 主 要 结 果 如 下 : -84% 企 业 将 支 持 个 人 使 用 ipad 50% 企 业 则 表 示, 将 为 员 工 购 买 ipad -80% 企 业 表 示 将 以 公 司 名 义 购 买 并 使 用 ipad - 对 移 动 设 备 较 高 的 接 受 度 表 明, 企 业 IT 部 门 对 于 移 动 设 备 的 安 全 性 有 信 心 -ipad 将 推 动 更 多 人 在 工 作 中 使 用 个 人 电 脑 - 在 工 作 中 引 入 移 动 设 备 的 最 大 优 势 在 于 可 以 帮 助 员 工 远 程 工 作, 对 那 些 上 班 路 程 较 远 的 员 工 来 说 可 以 极 大 地 提 升 效 率 当 然 其 他 类 型 的 智 能 手 机 和 平 板 电 脑 只 要 安 装 了 Citrix Receiver, 也 可 以 无 缝 访 问 传 统 应 用, 快 速 实 现 移 动 办 公 2.1. 方 案 概 述 思 杰 移 动 办 公 的 方 案 是 在 数 据 中 心 配 置 Citrix XenApp 服 务 器 集 群 为 应 用 的 运 行 平 台, 实 现 稳 定 的 大 并 发 支 撑 能 力, 满 足 大 规 模 移 动 用 户 的 同 时 使 用 通 过 虚 拟 应 用 平 台 实 现 移 动 办 公 的 总 体 架 构 如 下 图 所 示 : 3

5 移 动 办 公 系 统 的 部 署, 对 于 目 前 业 务 系 统 的 架 构 没 有 改 变, 只 是 在 业 务 系 统 后 台 服 务 器 的 同 一 个 局 域 网 内, 放 置 一 组 虚 拟 应 用 服 务 器 集 群, 部 署 业 务 系 统 客 户 端 软 件, 供 移 动 用 户 访 问, 而 固 定 办 公 用 户 仍 直 接 使 用 传 统 方 式 访 问 服 务 器, 因 此 原 办 公 模 式 不 受 影 响 通 过 虚 拟 应 用 平 台 部 署 移 动 办 公 系 统, 一 方 面 应 用 更 加 方 便 使 用, 用 户 无 论 在 笔 记 本 上 还 是 手 机 上, 实 际 上 使 用 的 都 是 运 行 在 虚 拟 应 用 服 务 器 上 的 同 一 个 应 用, 没 有 培 训 使 用 多 种 界 面 的 要 求, 而 且 可 以 实 现 同 一 个 应 用 在 不 同 的 移 动 设 备 之 间 的 漫 游, 实 现 了 业 务 连 续 性 ; 另 一 方 面, 由 于 所 有 的 应 用 都 位 于 数 据 中 心 的 机 房, 数 据 在 终 端 设 备 上 不 会 留 下 任 何 痕 迹, 集 中 管 理 的 同 时, 也 大 大 提 高 了 办 公 数 据 的 安 全 性 而 在 移 动 设 备 和 虚 拟 应 用 服 务 器 之 间 只 需 20Kbps 左 右 的 带 宽, 因 为 其 间 传 递 的 并 非 实 际 的 业 务 数 据, 而 是 终 端 的 控 制 指 令 和 屏 幕 的 变 化 指 令 这 样 既 保 证 了 业 务 系 统 可 以 在 低 带 宽 网 络 下 使 用, 又 避 免 了 业 务 数 据 在 公 网 传 输 的 安 全 隐 患 2.2. 软 件 部 署 架 构 虚 拟 应 用 服 务 器 上 软 件 部 署 包 括 : 在 底 层 Windows Server 操 作 系 统 之 上 安 装 Citrix XenApp 虚 拟 应 用 服 务 器, 然 后 在 虚 拟 应 用 服 务 器 之 上 安 装 各 种 业 务 软 件, 如 OFFICE 软 件 4

6 邮 件 系 统 ERP 客 户 端 带 插 件 的 浏 览 器 和 阅 读 器 等 工 具 软 件 移 动 设 备 上 的 软 件 部 署 包 括 : 在 设 备 上 安 装 虚 拟 应 用 接 收 器 即 Citrix Receiver 移 动 设 备 上 不 需 要 安 装 任 何 应 用 软 件 的 客 户 端, 通 过 虚 拟 应 用 接 收 器, 可 以 使 用 所 有 虚 拟 应 用 服 务 器 上 的 应 用, 整 个 软 件 架 构 如 下 图 所 示 : 移 动 设 备 的 网 络 访 问 只 需 要 指 定 企 业 的 域 名 用 户 登 陆 的 用 户 名 和 口 令, 以 及 登 录 域 名 称 等 信 息 即 可, 用 户 打 开 虚 拟 应 用 接 收 器 就 可 以 获 取 服 务 器 上 授 权 使 用 的 应 用 图 标, 打 开 应 用 图 标 即 可 使 用 在 安 全 要 求 较 高 的 环 境 中, 也 可 以 配 合 双 因 子 身 份 验 证 手 段 例 如 动 态 令 牌 或 短 信 认 证 等 提 升 安 全 性 2.3. 技 术 原 理 虚 拟 应 用 服 务 器 和 虚 拟 应 用 接 收 器 之 间, 通 过 Citrix ICA 协 议 建 立 通 道, 使 得 客 户 端 设 备 可 以 远 程 操 作 服 务 器 上 的 应 用 ICA 协 议 连 接 了 运 行 在 服 务 器 上 的 应 用 进 程 和 客 户 端 设 备 的 输 入 输 出 设 备, 通 过 ICA 的 32 个 虚 拟 通 道 ( 分 别 传 递 各 种 输 入 输 出 数 据 如 鼠 标 键 盘 图 像 声 音 端 口 打 印 等 等 ), 运 行 在 服 务 器 上 的 应 用 进 程 的 输 入 输 出 数 据 重 新 定 向 到 远 端 客 户 端 的 输 入 输 出 设 备 上, 因 此 业 务 用 户 使 用 服 务 器 上 的 应 用 时 感 觉 就 像 在 使 用 本 地 应 用 一 样 ICA 协 议 如 下 图 所 示 : 5

7 虚 拟 化 应 用 实 现 了 应 用 软 件 运 行 在 服 务 器 上, 但 是 对 该 软 件 的 操 作 ( 输 入 输 出 ) 在 客 户 端 设 备 上, 所 有 的 输 入 如 点 击 键 盘 的 操 作 被 ICA 协 议 同 步 到 服 务 器 上 执 行, 所 有 的 输 出 如 屏 幕 的 刷 新 也 被 ICA 协 议 同 步 到 客 户 端 虚 拟 化 应 用 操 作 模 式 如 下 图 所 示 : 应 用 软 件 的 用 户 界 面 在 客 户 端 显 示 ( 可 以 支 持 非 Windows 客 户 端 ) 应 用 软 件 安 装 和 运 行 都 在 服 务 器 端 网 络 只 传 递 通 过 Citrix 的 ICA 技 术 处 理 后 的 屏 幕 刷 新 和 键 盘 敲 击 和 鼠 标 移 动 信 息 ( 带 宽 需 求 kbs, 甚 至 可 以 是 低 速 的 拨 号 连 接 ) ICA 协 议 是 一 种 高 效 率 的 数 据 交 换 协 议, 采 用 了 数 据 压 缩 加 密 和 连 接 优 化 技 术, 每 一 个 用 户 的 连 接 只 占 用 20Kbps 左 右 的 网 络 带 宽, 而 实 际 运 行 的 客 户 端 软 件 位 于 后 台 的 局 域 网 内, 因 此 终 端 用 户 相 当 于 用 拨 号 线 的 链 路 就 可 以 享 受 到 局 域 网 内 的 运 行 速 度 同 时 ICA 协 议 可 以 分 别 针 对 单 独 的 虚 拟 通 道 进 行 控 制, 这 样 为 用 户 的 访 问 和 使 用 带 来 了 细 粒 度 的 控 制 比 如 如 果 控 制 用 户 不 许 通 过 打 印 机 把 信 息 打 印 出 来, 只 需 要 中 断 ICA 连 接 中 的 打 印 机 通 道 即 可 2.4. 访 问 场 景 用 户 在 使 用 移 动 办 公 系 统 时 的 访 问 方 式 如 下 : 笔 记 本 用 户 打 开 浏 览 器, 输 入 统 一 的 访 问 网 址, 然 后 在 出 现 的 身 份 认 证 页 面 里 输 入 自 己 6

8 的 用 户 身 份, 通 过 后 就 会 看 到 所 有 被 授 权 使 用 的 应 用 图 标 点 击 任 何 应 用 图 标, 界 面 显 示 建 立 服 务 的 连 接 条, 大 约 几 十 秒 钟 后 出 现 应 用 的 界 面, 剩 下 的 操 作 就 和 传 统 访 问 一 样 ios 或 Android 设 备 用 户 可 以 预 先 设 置 好 访 问 地 址 和 用 户 名 口 令, 这 样 直 接 点 击 应 用 图 标 就 可 以 进 行 工 作 了 面 向 服 务 的 访 问 使 用 体 现 在 : 用 户 可 以 中 断 和 重 连 服 务 (session disconnect and reconnect), 当 用 户 离 开 一 段 时 间, 但 又 不 想 结 束 业 务 操 作, 可 以 选 择 断 开 服 务, 这 时 用 户 屏 幕 上 的 业 务 应 用 消 失, 等 用 户 回 来 后, 重 新 输 入 身 份 认 证, 通 过 后 刚 才 做 了 一 半 的 业 务 就 重 新 出 现 在 屏 幕 上, 可 以 继 续 工 作 客 户 端 和 网 络 故 障 不 会 影 响 业 务 操 作, 如 果 业 务 用 户 的 客 户 端 设 备 死 机 或 者 网 络 中 断, 同 上 面 一 样 只 是 服 务 断 开, 工 作 是 运 行 在 服 务 器 上, 并 没 有 受 影 响 用 户 只 需 要 更 换 任 意 客 户 端 或 网 络, 就 可 以 重 新 连 接 服 务, 继 续 刚 才 中 断 了 一 半 的 业 务 操 作 会 话 超 时 (Session timeout), 管 理 员 可 以 在 后 台 设 置 服 务 超 时, 当 一 个 用 户 打 开 业 务 操 作 后 长 时 间 不 用, 系 统 可 以 自 动 释 放 该 会 话, 业 务 界 面 暂 时 消 失 当 这 个 用 户 重 新 使 用 时, 再 做 身 份 认 证 后, 继 续 刚 才 的 业 务 操 作 会 话 监 控 (Session Shadow), 系 统 有 远 程 监 控 的 功 能 和 权 限, 如 果 某 用 户 出 现 操 作 上 的 问 题, 有 相 关 权 限 的 管 理 人 员, 可 以 监 控 该 用 户 的 操 作, 两 个 人 可 以 共 享 同 一 个 会 话 服 务, 管 理 人 员 可 以 远 程 帮 助 用 户 操 作 或 解 决 问 题 其 中 访 问 服 务 超 时 设 置 可 以 针 对 不 同 的 用 户 进 行 不 同 的 设 置, 例 如 对 于 VIP 用 户, 可 以 设 置 永 不 超 时, 这 样 VIP 用 户 即 使 不 操 作 也 会 一 直 连 接 ; 对 于 一 般 用 户, 可 以 设 置 超 时 时 间 例 如 30 分 钟, 这 样 如 果 这 个 用 户 30 分 钟 不 操 作, 该 连 接 就 会 释 放 7

9 2.5. 典 型 设 备 ipad 配 置 使 用 示 例 1. 下 载 并 自 动 安 装 Citrix Receive for ipad, 在 桌 面 生 成 名 为 Citrix 的 图 标, 点 击 后 进 入 软 件 8

10 2. 第 一 次 访 问 时 出 现 欢 迎 界 面, 点 击 左 下 角 设 置 我 的 虚 拟 工 作 区 9

11 3. 进 入 工 作 区 设 置 窗 口 10

12 4. 根 据 管 理 员 提 供 的 地 址 用 户 名 口 令 和 域 的 信 息 填 写 常 规 设 置 项, 并 点 击 存 储 按 钮 保 存 设 置 11

13 5. 此 时 可 以 看 到 已 配 置 好 的 工 作 区, 点 击 进 入 12

14 6. 已 进 入 工 作 区 13

15 7. 点 击 右 上 角 应 用 程 序 按 钮, 可 浏 览 已 发 布 的 应 用 程 序 列 表 此 示 例 中 点 击 Microsort Word 14

16 8. Microsoft Word 正 在 打 开 15

17 9. 打 开 后, 创 建 一 个 新 的 文 件, 即 可 进 行 编 辑 使 用 2. 详 细 设 计 2.1. 拓 扑 结 构 虚 拟 应 用 服 务 器 群 组 要 求 和 业 务 系 统 服 务 器 部 署 在 同 一 局 域 网 内, 可 以 放 置 在 用 户 数 据 中 心 机 房 内, 中 间 可 以 使 用 VLAN 进 行 安 全 隔 离 数 据 中 心 需 要 和 移 动 网 络 连 接, 一 般 有 两 种 连 接 方 式 : 1. 通 过 APN 专 线 连 接, 企 业 用 户 向 无 线 运 营 商 申 请 APN 专 线, 连 接 企 业 用 户 的 16

18 数 据 中 心 和 无 线 运 营 商, 这 样 用 户 的 手 机 和 ipad 访 问 可 以 直 接 进 入 数 据 中 心 ; 2. 通 过 公 网 (internet) 连 接, 企 业 用 户 需 要 开 通 数 据 中 心 和 internet 的 线 路 访 问, 用 户 通 过 手 机 和 ipad 访 问 和 来 自 互 联 网 的 访 问 一 样, 可 以 访 问 其 数 据 中 心 用 户 数 据 中 心 的 网 络 拓 扑 图 如 下 所 示 : 2.2. 访 问 安 全 认 证 方 式 为 了 提 高 系 统 访 问 的 安 全 性, 移 动 用 户 在 访 问 虚 拟 应 用 平 台 时 需 要 进 行 身 份 认 证, 以 确 定 该 用 户 是 否 可 以 使 用 移 动 办 公 应 用, 防 止 非 法 用 户 或 其 他 非 授 权 人 员 的 访 问 由 于 企 业 办 公 软 件 以 Windows 平 台 为 主, 因 此 建 议 采 用 微 软 的 活 动 目 录 AD 作 为 统 一 的 用 户 身 份 管 理 系 统 AD 域 不 仅 统 一 定 义 用 户 身 份, 还 定 义 了 用 户 访 问 服 务 器 的 权 限 和 行 为 控 制 等 组 策 略 等 17

19 移 动 办 公 系 统 会 在 公 网 上 传 递 用 户 身 份, 因 此 建 议 提 高 用 户 认 证 强 度 虚 拟 应 用 平 台 支 持 的 身 份 认 证 模 式 包 括 : 静 态 口 令 : 目 前 的 用 户 名 加 口 令, 属 于 低 强 度 身 份 认 证, 建 议 只 在 内 网 使 用 数 字 证 书 : 通 过 数 字 证 书 可 以 有 效 识 别 客 户 端 有 效 性 可 以 统 一 采 用 企 业 内 部 认 可 的 证 书 体 系, 通 过 在 虚 拟 应 用 平 台 和 用 户 手 机 客 户 端 加 载 数 字 证 书, 来 确 保 用 户 身 份 的 可 靠 性 如 果 用 户 手 机 丢 失, 则 发 证 机 构 将 该 证 书 作 废, 则 丢 失 手 机 无 法 使 用 移 动 办 公 系 统 动 态 口 令 / 双 因 素 认 证 : 虚 拟 应 用 平 台 经 集 成 了 大 量 的 高 强 度 身 份 认 证 技 术, 如 RSA 令 牌 卡 等 认 证 令 牌 可 以 硬 件 软 件 和 智 能 卡 等 多 种 形 式 向 用 户 提 供 令 牌 在 发 售 时 已 经 使 用 唯 一 的 128 位 种 子 初 始 化 ; 内 部 芯 片 每 分 钟 都 会 使 用 一 种 算 法, 组 合 该 种 子 与 当 前 时 间, 生 成 一 个 随 机 的 数 字 作 为 动 态 密 码, 从 而 提 高 用 户 的 密 码 强 度 生 物 识 别 ( 如 指 纹 ) 及 其 他 高 强 度 认 证 : 应 用 集 中 发 布 平 台 预 留 了 集 成 其 他 身 份 认 证 的 接 口, 如 RADIUS 认 证 等 等, 可 以 方 便 地 集 成 用 户 自 由 认 证 或 第 三 方 认 证 考 虑 手 机 和 ipad 设 备 的 接 口 限 制, 目 前 大 多 数 用 户 都 使 用 动 态 令 牌 或 手 机 短 信 的 手 段 加 强 认 证 方 式 加 密 方 案 从 安 全 性 角 度 考 虑, 移 动 办 公 和 手 机 访 问 需 要 对 链 路 传 输 信 息 进 行 加 密, 需 要 配 置 VPN 接 入 设 备 移 动 办 公 的 VPN 设 备 需 要 支 持 各 种 手 机 终 端,Citrix 提 供 了 支 持 智 能 手 机 的 VPN 安 全 网 关 AGEE AGEE 支 持 对 Citrix 虚 拟 服 务 器 的 单 点 登 录,SSL 加 密 智 能 手 机 的 ICA 转 发 以 及 对 客 户 端 的 智 能 访 问 (SmartAccess) 等 功 能 其 部 署 方 案 为 放 置 在 DMZ 区 域, 如 下 图 所 示 : 18

20 出 于 对 后 台 系 统 保 护 的 需 要, 管 理 者 可 以 制 定 对 后 台 系 统 更 加 严 格 的 访 问 条 件, 比 如 用 户 访 问 来 自 PC 机 还 是 来 自 手 机, 如 果 是 PC 机 是 否 安 装 了 企 业 要 求 的 防 病 毒 软 件 等 等, 需 要 使 用 AGEE SmartAccess 智 能 访 问 控 制 针 对 用 户 访 问 的 场 景 的 智 能 分 析, 包 括 : 接 入 角 色 分 析, 基 于 用 户 身 份 接 入 设 备 识 别, 用 户 使 用 的 是 什 么 机 器, 什 么 操 作 系 统 接 入 设 备 配 置, 用 户 的 设 备 中 是 否 有 防 病 毒 软 件 服 务 外 设 等 等 网 络 位 置 分 析, 用 户 来 自 于 办 公 室 楼 层 还 是 家 中 网 吧 其 他 定 制 的 安 全 扫 描 基 于 扫 描 结 果 可 以 决 定 哪 些 应 用 可 以 访 问, 控 制 范 围 包 括 集 中 应 用 发 布 平 台 上 发 布 的 所 有 应 用, 以 及 每 个 应 用 的 操 作 权 限 如 : 是 否 可 以 访 问 应 用 在 应 用 系 统 中 否 可 以 打 印 从 文 件 中 粘 贴 复 制 内 容 上 传 和 下 载 文 件, 保 存 到 本 地 或 者 文 件 服 务 器 在 线 安 全 编 辑 ( 内 存 中 进 行 ) Citrix XenApp 与 AGEE 和 RSA 口 令 卡 的 结 合 是 非 常 成 熟 的 安 全 加 强 方 案, 是 很 多 用 户 名 目 前 正 在 使 用 的 方 式 下 图 为 结 合 后 的 架 构 示 例 : 19

21 XenApp Architecture XenApp Servers Application Servers 移 动 办 公 F i r e w a l l AGEE F i r e w a l l Web Interface Database. 内 部 办 公 区 域 2.3. 应 用 部 署 移 动 办 公 系 统 的 部 署 工 作, 主 要 是 将 应 用 客 户 端 部 署 在 虚 拟 应 用 服 务 器 上 以 Lotus Notes 为 例 说 明 如 何 在 服 务 器 上 进 行 应 用 部 署 部 署 基 于 Notes 的 虚 拟 应 用 时, 对 于 原 先 部 属 的 Lotus Notes 办 公 系 统 Domino 服 务 器 数 据 库 服 务 器 等 应 用 系 统 不 变, 通 过 在 原 来 的 Domino 服 务 器 前, 增 加 了 Citrix 虚 拟 服 务 器 原 先 安 装 在 客 户 端 的 Notes 客 户 端 程 序 现 在 需 要 安 装 在 Citrix 服 务 器 上 相 应 的 客 户 端 的 配 置 文 件, 统 一 安 装 在 一 台 单 独 的 文 件 服 务 器 之 内, 在 客 户 端 访 问 的 时 候, 可 以 提 取 相 应 的 客 户 端 信 息 进 行 认 证 在 将 要 部 署 Citrix 系 统 的 服 务 器 上 先 安 装 好 Windows Server 和 Citrix 之 后, 接 着 发 布 Lotus Notes 的 客 户 端 具 体 步 骤 如 下 : 1. 首 先 创 建 一 个 域 管 理 员 账 号 来 安 装 Notes( 如,Notesadmin) 2. 所 有 登 陆 系 统 的 用 户 都 有 一 个 主 目 录, 把 此 目 录 映 射 成 一 个 盘 符, 如 W, 可 运 行 Microsoft Application Compatibility Scripts 目 录 下 的 chkroot.cmd 3. 用 新 创 建 的 Notesadmin 账 号 登 陆 系 统, 在 命 令 行 提 示 符 下 打 入 change user /install, 20

22 是 系 统 处 于 安 装 模 式, 然 后 运 行 安 装 Lotus Notes, 注 意 选 择 共 享 安 装 4. 安 装 完 毕 后, 不 要 重 启 系 统, 再 次 运 行 Lotus Notes 安 装 程 序, 此 次 不 要 选 择 共 享 安 装, 在 程 序 文 件 夹 目 录 下 选 c:\lotus\notes, 在 数 据 文 件 夹 下 选 w:\lotus\notes\data 5. 安 装 完 毕 后, 不 要 启 动 notes, 不 要 重 启 系 统 在 c:\lotus\notes 下 打 开 notes.ini 文 件, 修 改 Directory=w:\lotus\notes\data, 并 添 加 一 条 目, WinNTIconPath=w:\lotus\notes\data\w32 保 存 此 文 件 并 剪 切 到 w:\lotus\notes\data 目 录 下, 在 Citrix 里 发 布 lotus notes 应 用 程 序 时, 指 定 工 作 目 录 为 w:\lotus\notes 6. 制 定 登 陆 脚 本, 使 每 个 登 录 的 新 用 户 都 能 拷 贝 Notesadmin 的 主 目 录 到 自 己 的 w 盘 下 7. 将 每 个 用 户 登 录 Lotus 的 ID 文 件 拷 贝 到 其 相 应 中 央 共 享 目 录 中 通 过 这 样 配 置, 每 个 用 户 通 过 Citrix 来 使 用 Lotus 时, 互 相 之 间 就 不 会 产 生 影 响, 每 个 用 户 将 有 自 己 的 配 置 或 模 板 文 件, 使 用 起 来 得 心 应 手 2.4. 客 户 端 要 求 虚 拟 应 用 的 客 户 端 支 持 最 新 的 的 智 能 手 机, 以 及 其 他 客 户 端 操 作 系 统 Citrix 支 持 的 智 能 手 机 /PDA 如 下 : Apple iphone/ipod Touch/iPad Android GPhone BlackBerry Window Mobile/PocketPC EPOS/Symbian Nokia 9000 系 列 /E61/E70/ SE S60 3 RD S80 Citrix 支 持 的 其 他 客 户 端 类 型 如 下 : Windows: 21

23 32-bit: 95, 98, NT and 2000/XP/2003/Vista 16-bit: 3.1, 3.11, WFWG CE DOS: 32-bit, 16-bit Real Mode Version Macintosh: imac, 68k & PowerPC Unix: HP-UX IBM AIX Solaris Sparc Solaris x86 SunOS SGI IRIX Compaq Tru64 SCO - UnixWare, OpenServer Linux: Red Hat, Caldera, SuSE, Slackware 3. 虚 拟 应 用 平 台 功 能 移 动 办 公 应 用 集 中 发 布 平 台, 不 仅 实 现 了 应 用 的 集 中 部 署 和 远 程 使 用, 同 时 必 须 保 证 后 台 服 务 器 的 可 靠 性 可 扩 展 性 和 可 管 理 性, 具 体 功 能 如 下 集 群 能 力 无 论 是 用 户 访 问, 还 是 后 台 管 理 员 的 管 理 对 象, 都 不 是 单 台 的 服 务 器, 而 是 一 个 单 一 的 集 群 否 则 随 着 应 用 的 增 多 和 用 户 数 的 增 多, 对 服 务 器 的 资 源 调 度 和 管 理 将 成 为 瓶 颈 平 台 的 集 群 功 能 包 括 : 在 操 作 系 统 之 上 建 立 集 群 平 台 层, 管 理 员 应 用 发 布 的 设 置 和 管 理 只 需 针 对 平 台, 而 不 需 一 台 一 台 服 务 器 进 行 设 置 通 过 集 群 平 台 可 以 提 高 整 体 后 台 的 可 靠 性 和 可 扩 展 性 22

24 通 过 集 群 平 台 可 以 有 效 地 将 工 作 负 载 进 行 分 担, 其 负 载 算 法 应 根 据 服 务 器 的 CPU 内 存 磁 盘 交 换 等 多 种 逻 辑 由 管 理 员 定 义 组 合 计 算 集 群 平 台 可 以 根 据 用 户 身 份 进 行 会 话 重 连, 以 实 现 跨 客 户 端 设 备 和 网 络 的 工 作 漫 游 通 过 集 群 平 台 可 以 优 化 操 作 系 统 计 算 资 源, 如 控 制 整 体 CPU 计 算 能 力 按 照 用 户 均 分, 优 化 应 用 的 内 存 消 耗 等, 以 提 高 后 台 支 持 并 发 访 问 的 能 力 应 用 控 制 应 用 发 布 平 台 能 够 实 现 应 用 粒 度 的 控 制, 即 各 个 应 用 可 以 在 集 群 中 独 立 发 布, 用 户 可 以 针 对 单 个 应 用 独 立 访 问 例 如 集 群 中 1 至 4 号 服 务 器 发 布 应 用 OA 门 户,5 6 号 服 务 器 发 布 OFFICE 工 具,7 8 号 服 务 器 发 布 IE 等 工 具, 这 样 后 台 的 管 理 更 加 灵 活,1 至 4 号 服 务 器 可 以 专 门 针 对 OA 应 用 进 行 优 化 另 外 可 以 控 制 应 用 运 行 的 位 置, 如 果 用 户 使 用 PC 机 并 在 局 域 网 内, 可 以 允 许 OFFICE 以 应 用 流 模 式 下 载 并 运 行 在 客 户 端, 以 节 省 服 务 器 计 算 资 源 平 台 的 应 用 控 制 功 能 包 括 : 可 以 独 立 发 布 和 访 问 应 用, 而 不 依 赖 于 桌 面 可 以 实 现 应 用 只 安 装 一 次, 就 可 以 部 署 到 平 台 服 务 器 上, 无 需 在 每 台 服 务 器 上 安 装 可 以 控 制 应 用 的 运 行 位 置, 如 运 行 在 服 务 器 上 还 是 运 行 在 客 户 端 可 以 控 制 应 用 在 服 务 器 上 的 进 程 数, 以 防 止 单 个 用 户 运 行 大 量 应 用 耗 尽 后 台 资 源 可 以 控 制 应 用 对 外 设 的 访 问, 如 是 否 可 以 拷 贝 文 件 是 否 可 以 打 印 是 否 可 以 粘 贴 内 容 可 以 解 决 应 用 兼 容 性 问 题, 如 将 互 相 冲 突 的 应 用 安 装 在 同 一 台 服 务 器 上, 以 节 省 服 务 器 资 源 提 供 应 用 标 准 外 设 的 支 持 以 及 非 标 准 外 设 的 集 成 接 口 带 宽 控 制 23

25 由 于 应 用 集 中 运 行 时, 会 话 会 持 续 消 耗 网 络 带 宽, 因 此 带 宽 控 制 能 力, 是 后 台 支 持 并 发 能 力 的 一 个 重 要 指 标 平 台 的 带 宽 控 制 能 力 包 括 : 每 用 户 消 耗 带 宽 应 尽 可 能 低, 例 如 10K-20K 控 制 带 宽 的 消 耗, 如 设 定 每 用 户 消 耗 带 宽 的 最 大 值 能 够 细 粒 度 控 制 传 输 数 据 对 带 宽 的 消 耗, 如 分 别 控 制 打 印 数 据 磁 盘 文 件 拷 贝 声 音 数 据 等 对 带 宽 消 耗 的 最 大 值 提 供 网 络 硬 件 加 速 方 案, 实 现 诸 如 压 缩 缓 存 和 TCP/CIFS 等 协 议 优 化, 以 进 一 步 节 省 带 宽, 从 而 提 高 用 户 在 有 限 带 宽 下 的 应 用 体 验 终 端 访 问 控 制 由 于 用 户 的 访 问 终 端 和 环 境 各 异, 例 如 终 端 设 备 和 PC 机 共 存, 而 PC 机 的 安 全 隐 患 较 多, 因 此 需 要 针 对 用 户 的 访 问 进 行 识 别 和 权 限 控 制 平 台 的 访 问 控 制 能 力 包 括 : 能 够 识 别 用 户 访 问 的 终 端 设 备 类 型 能 够 通 过 策 略 设 置, 即 使 相 同 的 客 户 如 果 通 过 不 同 的 终 端 设 备 访 问 到 的 应 用 不 同, 例 如 某 些 应 用 只 有 图 形 终 端 能 用,PC 机 不 能 用 等 能 够 通 过 策 略 设 置, 即 使 相 同 的 应 用 如 果 通 过 不 同 的 终 端 设 备 或 网 络 环 境 访 问 时 使 用 的 外 设 不 同, 例 如 在 办 公 室 可 以 打 印, 办 公 室 外 不 许 打 印 能 够 设 别 终 端 设 备 是 否 满 足 安 全 条 件, 比 如 是 否 安 装 防 病 毒 软 件 等, 如 果 安 装 了 才 可 以 使 用 某 些 应 用, 后 者 才 可 以 使 用 某 些 外 设 等 可 视 化 监 控 对 服 务 器 和 客 户 端 用 户 的 使 用 进 行 监 控, 并 提 供 可 视 化 监 控 界 面 和 报 表, 是 集 中 应 用 发 布 平 台 的 必 备 功 能, 因 为 用 户 业 务 运 行 的 压 力 全 部 在 服 务 器 上, 用 户 的 使 用 和 后 台 服 务 器 状 态 操 作 系 统 报 错 网 络 状 况 密 切 相 关, 能 否 全 面 监 控 和 管 理, 是 所 有 用 户 正 常 使 用 的 保 证 平 台 的 访 问 控 制 能 力 包 括 : 24

26 提 供 平 台 健 康 状 况 监 控 的 可 视 化 仪 表 盘 自 动 收 集 所 有 服 务 器 的 系 统 事 件 报 警 和 错 误 并 统 一 通 知 管 理 员 提 供 相 关 的 数 据 钻 取 帮 助 管 理 员 定 位 用 户 问 题 提 供 用 户 远 程 访 问 会 话 信 息 记 录 提 供 用 户 体 验 记 录, 包 括 会 话 内 部 的 事 件 记 录 ( 如 连 接 过 程 加 载 驱 动 加 载 配 置 文 件 的 详 细 过 程 和 时 间 记 录 ) 提 供 系 统 管 理 的 统 计 报 表, 如 用 户 访 问 统 计 资 源 消 耗 情 况 网 络 延 时 统 计 系 统 出 错 统 计 等 提 供 用 户 的 远 程 工 作 监 控 和 接 管 25

27 4. 系 统 配 置 方 案 目 前 企 业 应 用 是 以 32 位 操 作 系 统 为 主, 而 32 位 操 作 系 统 的 内 存 访 问 瓶 颈 是 4G 内 核 空 间, 虽 然 操 作 系 统 可 以 扩 展 用 户 访 问 空 间, 但 是 无 法 扩 展 内 核 空 间, 因 此 只 要 4G 内 核 空 间 用 完, 配 再 多 的 内 存 都 是 无 效, 服 务 器 性 能 也 无 法 提 升 虚 拟 应 用 服 务 器 的 配 置 可 以 采 用 服 务 器 虚 拟 化 技 术, 因 为 服 务 器 虚 拟 化 可 以 有 效 解 决 32 位 系 统 的 内 存 瓶 颈 问 题, 将 一 台 物 理 服 务 器 虚 拟 成 多 台 逻 辑 服 务 器 (4G-8G), 然 后 在 每 台 逻 辑 服 务 器 中 安 装 32 位 操 作 系 统 及 软 件 4.1. 服 务 器 角 色 分 类 虚 拟 应 用 平 台 所 需 逻 辑 服 务 器 的 角 色 包 括 : XenApp 服 务 器 ( 虚 拟 应 用, 运 行 各 种 办 公 软 件 ) Windows Server 2003 或 2008 Citrix XenApp 微 软 终 端 服 务 用 户 的 办 公 软 件 WEB 服 务 器 ( 访 问 门 户 ) Windows Server 2003 或 2008 IIS 6/7 或 Tomcat 等 Citrix Web Interface 域 控 制 器 DC( 用 户 管 理 及 权 限 定 义 ) Windows Server 2003 或 2008 为 避 免 单 点 故 障, 域 控 制 器 需 要 有 备 份 数 据 库 / 文 件 服 务 器 ( 记 录 配 置 参 数 存 放 配 置 文 件 ) Windows Server 2003 或 2008 MS SQL Server 26

28 4.2. 服 务 器 配 置 示 意 针 对 100 并 发 以 内 的 移 动 办 公 的 典 型 配 置, 考 虑 到 高 可 用 性 保 护, 建 议 服 务 器 采 用 如 下 硬 件 配 置 : 资 源 类 型 配 置 要 求 备 注 CPU 2 路 6 核 64 位 并 支 持 Intel VT 或 AMD-V 技 术 内 存 32GB XenServer 消 耗 2GB 左 右, 总 共 30G 可 用 网 卡 4 块 1Gigabit/Full-Duplex 网 卡 绑 定 实 现 网 络 负 载 均 衡 硬 盘 2x 73GB 15,000 rpm SAS 硬 盘, RAID-1 双 硬 盘 配 置 成 RAID-1, 只 用 于 安 装 XenServer 存 储 HBA 或 iscsi( 可 选 ) 所 有 的 虚 拟 机 镜 像 文 件 (Virtual Disk Image) 都 保 存 在 远 程 共 享 存 储 中 以 支 持 XenMotion 和 HA 服 务 器 物 理 2 台, 每 台 分 配 若 干 虚 拟 服 务 器, 共 包 括 :DC 域 控 服 务 器 2 台 ( 互 为 热 备 ), Web Interface 服 务 器 2 台 ( 互 为 热 备 ),SQL 和 License 服 务 器 各 1 台 ( 由 于 短 时 间 离 线 不 会 影 响 系 统 正 常 运 行, 所 以 无 需 配 置 高 可 用 保 护 ),XenApp 服 务 器 若 干 台, 用 户 选 择 的 组 件 服 务 器 例 如 EdgeSight 和 SmartAuditor Server 等 服 务 器 角 色 分 配 如 下 图 所 示 : 4.3. 软 硬 件 配 置 列 表 针 对 100 个 以 内 并 发 访 问 规 模 的 软 硬 件 列 表 如 下 : 硬 件 列 表 : 服 务 器 数 量 单 价 总 价 27

29 PC 服 务 器 ( 两 路 六 核 CPU,32G 内 2 存, 硬 盘 2X73G) 共 享 存 储 ( 可 选 ) 1( 注 1) Citrix Netscaler MPX 5500 SE 2( 注 2) 软 件 清 单 软 件 及 授 权 数 量 单 价 总 价 Citrix XenApp 黄 金 版 或 白 金 版 CCU( 并 发 用 户 数 ) 根 据 实 际 数 量 确 定 Citrix XenServer Enterprise 2 Windows Server Enterprise ( 注 3) Microsoft Remote Desktop Service License 根 据 实 际 数 量 确 定 注 1: 存 储 根 据 用 户 的 实 际 情 况 选 配 注 2: 如 果 使 用 SSL VPN 及 智 能 场 景 识 别 功 能, 需 要 配 置 此 硬 件 注 3: 采 用 虚 拟 化 后, 微 软 企 业 版 服 务 器 操 作 系 统 一 套 授 权 可 以 安 装 4 套 虚 拟 机, 具 体 请 查 询 微 软 5. 附 录 思 杰 公 司 简 介 Citrix 系 统 有 限 公 司 是 全 球 领 先 的 应 用 交 付 解 决 方 案 供 应 商, 为 企 业 政 府 教 育 等 机 构 提 供 服 务 作 为 企 业 级 应 用 交 付 领 域 和 虚 拟 化 技 术 最 知 名 的 品 牌,Citrix 公 司 的 应 用 发 布 平 台 使 用 户 可 以 随 时 随 地 采 用 任 何 设 备, 轻 松 便 捷 安 全 可 靠 地 连 接 企 业 应 用 公 司 成 立 于 1989 年, 总 部 设 在 佛 罗 里 达 州 的 Fort Lauderdale, 全 球 各 地 机 构 将 近 4000 名 员 工, 产 品 行 销 六 十 多 个 国 家,2006 年 财 政 收 入 增 长 率 为 25%, 总 额 达 到 将 近 12 亿 美 元 Citrix 在 美 国 纳 斯 达 克 股 市 的 上 市 代 号 为 CTXS, 并 获 列 入 标 准 普 尔 500 指 数 Citrix 是 虚 拟 应 用 领 域 的 绝 对 领 导 者, 据 IDC 统 计 分 析 报 告 称,Citrix 在 应 用 虚 拟 化 市 场 占 据 了 将 近 80% 的 份 额 如 下 图 所 示 : Humingbird 2.2% Tarantell a 2.2% Macro 4 0.8% Gresha m 0.2% Microsoft 10.4% Others 7.4% 28 Citrix 76.8%

30 Citrix 凭 借 其 卓 越 的 技 术 方 案 和 业 务 成 就, 赢 得 了 业 界 与 用 户 的 广 泛 赞 誉 : 获 得 福 布 斯 ASAP 杂 志 评 选 的 全 美 最 具 活 力 的 软 件 公 司 称 号 获 得 Soft Letter 评 选 的 全 美 第 十 大 软 件 公 司 称 号 在 财 富 发 展 最 快 的 100 家 公 司 概 要 中 排 名 第 27 位 Citrix 被 评 为 欧 洲 财 富 500 强 企 业 首 选 的 十 大 软 件 之 一, 并 在 Gartner Midsize Enterprise Summit 中 获 卓 越 科 技 大 奖 Citrix NFuse 获 得 由 Open Systems Advisors 颁 发 的 CrossRoad A 类 大 奖 中 最 佳 企 业 网 站 入 门 产 品 连 续 4 年 名 列 Deloitte&Touche 的 Fast 500, 成 为 美 国 500 家 发 展 最 快 的 科 技 公 司 之 一 Citrix 的 技 术 和 服 务 目 前 被 全 球 约 18 万 个 机 构 中 的 6 千 万 用 户 使 用, 客 户 涵 盖 财 富 100 强 (Fortune 100) 中 的 所 有 企 业 以 及 财 富 500 强 (Fortune 500) 的 98% 国 内 外 众 多 知 名 企 业, 都 从 Citrix 解 决 方 案 中 获 得 显 著 的 效 益 Citrix 应 用 交 付 基 础 架 构 提 供 了 用 户 到 应 用 的 端 到 端 的 解 决 方 案, 可 将 任 何 应 用 交 付 给 任 何 用 户, 并 提 供 最 佳 的 性 能 最 高 的 安 全 性 最 低 的 成 本 和 最 强 的 灵 活 性 思 杰 交 付 中 心 (Citrix Delivery CenterTM), 将 数 据 中 心 转 变 成 交 付 中 心, 其 组 成 架 构 如 下 图 所 示 : 29

31 用 户 应 用 系 统 其 中 Citrix XenApp 虚 拟 应 用 : 支 持 客 户 端 和 服 务 器 端 应 用 虚 拟 化 的 端 到 端 Windows 应 用 交 付 系 统 Citrix XenDesktop 虚 拟 桌 面 : 以 更 低 成 本 更 安 全 更 可 靠 地 直 接 通 过 数 据 中 心 交 付 Windows 桌 面 Citrix XenServer 虚 拟 服 务 器 : 交 付 动 态 数 据 中 心 最 简 捷 最 有 效 的 方 式 应 用 Citrix NetScaler Web 优 化 和 安 全 保 护 : 交 付 具 有 最 高 可 用 性 安 全 性 和 性 能 的 Web Citrix Workflow Studio 用 于 动 态 交 付 中 心 的 功 能 强 大 的 协 调 工 具 30