桌面云建设方案v2.0
- 格式：docx
- 大小：2.74 MB
- 文档页数：17
桌面云建设方案**市电子政务中心2018年11月9日1一、项目背景目标(一)概述**市电子政务外网是国家、省政外网在**的延伸和拓展，覆盖市-县-乡镇（街道）三级行政事业机关单位。
**市政务外网和政务内网物理隔离，与互联网逻辑隔离，主要满足本市各级政务部门经济调节、市场监管、社会管理、公共服务等业务的需要。
根据政务外网所承载的业务和系统服务的类型不同，在逻辑上，电子政务外网接入划分为资源共享区（公用网络区）、专用网络区和公共服务区（互联网接入区）三个功能域，分别提供政务外网部门互联互通业务，部门专用VPN业务和公共服务、互联网业务。
不同的区域才用MPLS-VPN技术进行隔离，目前采用专线和VPN方式接入政务外网。
(二)现状及问题随着网络技术的发展及业务支撑能力的要求越来越高，譬如移动办公、移动执法等，政务外网需要提供更便捷的接入方式，政务专网的撤销，原有政务专网的有一定安全要求的业务也迁移到政务外网，政务外网需要提供更安全的接入方式，目前政务外网还存在以下问题：（1）网络结构问题浙江政务外网规划建设要早于全国规划制定时间，在政务外网结构存在一定的缺陷，全国规划方案，政务外网区有专用的终端电脑，该终2端不能访问互联网，用于处理政务外网型业务系统，但浙江省的终端电脑基本属于互联网区域的，由于和互联网互通，在处理政务外网业务系统时有一定的安全风险。
（2）政务外网接入问题目前政务外网主要采用专线和VPN 方式接入政务外网，专线费用较高，对部分单位（如协会等）承担每年1万元的费用，压力较大，而且类似于这些单位所有用户全接入政务外网，对政务外网的安全管理也是较大的考验。
目前该类用户可采用VPN 方式接入，但VPN 接入电脑无法做到集中管控，存在有木马、病毒情况，而且实质意义还是台互联网电脑，访问政务外网业务（特别是有一定安全要求的业务）存在一定的安全风险。
（3）移动办公接入问题目前移动办公的终端类型主要有移动终端和普通终端两种类型，目前主要采用VPN 接入方式，移动终端接入采用应用结合VPN 方式，用户无感联接，实现起来效果较好，针对普通终端目前也采用VPN 方式，在联通政务网络后，还要考虑运行环境的要求，目前都是HTTP 应用,基本实现不了在任何终端即插即用，需要专业调试，而且数据落在处理业务的终端上，有一定的安全风险。
（4）省里总体要求3省政府办公厅专门下发了《浙江省人民政府办公厅关于开展部门专网整合和加强政务外网防护工作的通知》（浙政办发〔2017〕140号），明确了相关工作要求，采用桌面云技术构建政府办公业务网，用于我办对安全要求高的政务外网业务系统使用。
(三)项目总体建设目标建设高效、稳定、冗余的政务云桌面，桌面云按部门、业务可做到有效隔离，可支撑不同区域的桌面使用需求（包括VPN1、VPN2和部门VPN3）,建设高效、安全的的用于不用终端之间数据交换的安全数据交换平台，建立统一高效的运营运维管理平台及安全保障体系。
45二、桌面云总体框架根据政务外网所承载的业务和系统服务的类型不同，在逻辑上，电子政务外网接入划分为资源共享区（公用网络区）、专用网络区和公共服务区（互联网接入区）三个功能域，分别提供政务外网部门互联互通业务，部门专用VPN 业务和公共服务、互联网业务。
不同的区域才用MPLS-VPN 技术进行隔离。
（一）政务外网逻辑框架电子政务外网逻辑区域划分图政务部门用户6（二）桌面云逻辑框架**市桌面云总体涵盖了资源共享区（公用网络区）、专用网络区和公共服务区（互联网接入区）三个功能域。
**市桌面云逻辑区域划分图1．公共资源区（公用网络区）：部署于该区域的云桌面主要用于访问办公OA 等政务外网业务系统，该区域的云桌面不能访问互联网，原则上可根据业务、根据部门细分区域。
地址使用上，采用私有地址转换成政务外网地址。
2、部门专网区（专用网络区）：部署于部门专网区，登录网络在政务外网公共资源区，该区域的云桌面不能访问互联网和政务外网。
3、公共服务区（互联网接入区）：部署于政务外网区域，地址段和公共资源区（公用网络区）加以区别，该区域的云桌面能访问政务外网和互联网。
考虑到我省政务外网的总体架构，公共服务区（互联网接入区）云桌面建议可以同时访问政务外网和互联网，有安全要求的业务系统，通过服务端控制访问地址来杜绝公共服务区（互联网接入区）云桌面访问。
（三）数据交换盘逻辑框架7**市数据交换盘逻辑图数据交换盘部署于政务云（政务外网区域），可提供移动终端和电脑终端的访问，数据的存储和读取，有控制节点和云控制构成，所有数据在存入数据交换盘之前，需通过杀毒服务器的病毒查杀，数据交换盘的登录采用统一身份认证系统，通过钉钉登录。
三、详细设计方案8总体设计思路为终端网与业务访问网完全隔离，前端网络的问题不会影响到业务访问网络，前端网络只传输桌面图像（其中互联网用户通过ssl vpn接入云桌面，对图像流量进行加密），从而从根源上解决终端的安全问题。
业务访问网通过访问控制平面进行vpn1、vpn2、vpn3的隔离。
（一）接入平面设计接入平面是指用户接入云桌面平台的终端与前端网络（1）电子政务外网用户电子政府外网用户通过瘦客户机或利旧的PC登入云桌面平台，并获取相应桌面资源的访问权限（如上图瘦客户机、PC至云桌面控制器的黄色控制流）；瘦客户机至后端云桌面服务器之间只传输图像与鼠标键盘操作等流量（如上图云桌面资源池至瘦客户机、PC的紫色图像流）。
（2）移动办公用户移动办公用户通过PC、笔记本或者手机智能终端，先通过SSL VPN从互联网拨入电子政务外网（如上图移动终端至SSL VPN灰色SSL加密（图像）流），获取相应云桌面平台登录权限，再登录云桌面平台获取相应桌面资源访问权限（如上图SSL VPN至云桌面控制器的黄色控制流）；SSL VPN至后端云桌面服务器之间只传输图像与鼠标键盘操作等流量（如上图云桌面资源池至SSL VPN的紫色图像流）。
9（二）云桌面控制管理平面设计控制管理平面是指用户身份认证、权限分配与管理员运维管理（1）云桌面身份认证云桌面登录采用统一身份认证系统（如上图云桌面控制器至统一身份认证平台黄色控制流），通过钉钉二维码扫描认证（需要云桌面厂家提供定制开发），移动办公用户认证信息通过SSL VPN加密传输，既确保用户使用的便捷性，又确保了账号安全。
（2）云桌面用户权限分配终端用户登录到桌面云平台后，云桌面控制器根据预先设置的权限分配相应的桌面资源（互联网桌面资源、电子政务网桌面资源、部门专网桌面资源）（3）运维设计市政府云桌面管理员通过管理网络（如上图棕色线），登入到云桌面管理平台进行平台运维。
主要管理运维包含：模板管理、资源派生、用户组管理、认证管理、权限控制、安全组策略管理、智能分析管理等。
（这里是否要和电信讨论增加电信的管理运维界面）（三）网络控制平面设计网络控制平面是指电子政务网VPN1、VPN2、VPN3的访问关系与设计10VPN1、VPN2、VPN3通过PE与防火墙设备进行网络访问开工至管理，如下图互联网和VPN1: 互联网单向访问VPN1；但是VPN1里面的邮件系统、WEB系统升级、打补丁需要联网的，可以VPN1访问互联网。
互联网和VPN2: 禁止互相访问VPN1和VPN2：禁止互相访问VPN2和VPN3：禁止互相访问VPN3和部门专网：由专网整合改造确定政府办公用户统一通过互联网云桌面访问互联网11（四）访问控制平面设计访问控制平面是指云桌面后端业务网匹配电子政府网VPN1、VPN2、VPN3访问要求而设计的访问权限控制与策略如上图所示，互联网云桌面资源池在VPN1，仅能访问互联网，并通过流量镜像做日志审计；电子政务网云桌面资源池在VPN2，仅能访问资源共享业务区，并通过流量镜像做日志审计；1213部门专网云桌面资源池在VPN3，仅能访问部门专网业务区，并通过流量镜像做日志审计。
（五）安全设计（1） 不同桌面的强制隔离互联网云桌面资源池、电子政务网云桌面资源池、部门专网云桌面资源池在云桌面平台内部相互隔离，不能互访；在外部网络通过不同的网卡接入到访问控制平台，并匹配电子政府网VPN1、VPN2、VPN3访问要求而设计的访问权限控制与策略（如上访问控制平台描述）。
在云桌面内部，通过分布式防火墙，进行虚拟机个人桌面的隔离，防止单个用户桌面的安全在内部扩散。
（2） 数据安全—数据交换设计综上描述，只有互联网云桌面资源池具有互联网的访问权限，并与其他桌面资源池与业务网络隔离。
原则上终端上禁用USB 存储设备。
因此本方案通过爱数云盘进行数据摆渡，流程如下（以将互联网桌面资14料摆渡至政务网桌面为例）：（3） 数据不落地如上描述，云桌面服务器至接入终端只传输图像与鼠标键盘等操作流量，无真实业务数据。
（4） 接入管控设置终端准入策略，绑定硬件特征码，防止非法终端接入网络。
（5） 外设管控本方案禁用usb 存储设备，通过爱数网盘进行数据摆渡。
（6） 应用管控针对政务办公网云桌面与部门专网云桌面，设置应用管控策略，仅允许安装合法的应用，进展非法应用的安装，确保应用安全。
（7） 网络隔离如上描述，终端网与业务访问网完全隔离，前端网络的问题不会影响到业务访问网络，前端网络只传输桌面图像（其中互联网用户通过ssl vpn 接入云桌面，对图像流量进行加密），从而从根源上解决终端的安全问题（8）桌面管控针对安全级别比较高的桌面开启桌面水印与防截屏策略，避免敏感信息外泄。
（六）审计设计如详细设计图，将互联网云桌面、政务网云桌面、专网云桌面的业务访问流都通过流量镜像的方式镜像给日志审计，做业务访问日志记录（七）云桌面拓展应用场景（1）行政服务器中心随着“最多跑一次”的开展，“一窗化受理”逐步落地，极大提升了了老百姓的满意度与政府办事效率。
“一窗化受理”要求行政服务中心的PC接入多套网络，包括电子政务网、工商、国土、住建、社保、等网络。
一方面组网成本高；另一方面，由于各部门网络隔离的限制，需要多套独立的PC，进一步降低了办事效率。
云桌面的应用很很好地解决这一问题，如下图所示。
15（2）政务网下乡随着政务下乡业务的开展，电子政务网延伸至乡镇。
在给老百姓带来便利、提升政府职能的同时也带来了安全与运维的调整。
在安全方面，政务网延伸至乡镇，政务网边界进一步扩展，乡镇电脑缺乏安全管控，及易将安全风险引入到整个政务网；在管理方面，乡镇尤其是较偏远的地带，缺乏PC运维人员，往往要长途跋涉出差去处理PC故障等问题，影响了公务人员办事效率，降低老百姓办事体验。
16云桌面的应用，在安全方面，由于云桌面终端网只传输图像的特性，从根源上规避掉，政务网延伸带来的安全隐患；在运维方面，云桌面资源池为后台统一部署、统一运维，运维人员无需在现场即可解决桌面问题，同时可在乡镇预留一些瘦客户机做冗余，瘦客户机故障直接替换即可，完全不影响办事效率。
