学校机房建设解决方案分析与设计.doc

解决方案分析与设计
方案适用范围
学校多媒体电教室、图书馆电子阅览室、政府机关培训教室。
1. 需求分析
由于病毒、硬盘损耗等原因,导致军事学院IT系统的保障和维护面临主要风险如下：
IT系统应用需求
u 终端用户操作系统和应用系统不能正常使用；
u 涉密数据的损坏、丢失和泄密；
u 信息化投入及维护成本剧增；
造成这些问题的原因大致为四类:
² 硬盘故障：系统的硬盘或其他部件损坏；
² 恶意行为：病毒，恶意软件和木马的破坏及泄密;
² 用户的误操作及无意泄密；
² 电脑或硬盘的丢失；
² 硬件产品生命周期大大缩短及维护成本大幅增加.
内网安全需求
u 移动存储设备滥用的需求.对接入的移动存储设备既要做到认证使用，又要做到移动存储设备合法使用的细粒度控制.
u 终端计算机端口缺乏统一的控制.
u 对于网络内部需要管理的重要主机信息和操作行为进行实时的审计，并且根据相应的审计信息定制科学的安全策略.
² 服务器端拥有负载均衡功能;
² 服务器端能够实现数据时时备份和HA高冗余功能;
² 客户机操作系统可以集中管理和维护；
² 客户机操作系统重启后可以自动还原；
² 软件和更新包的安装和部署更加简捷;
内网安全管理目标
在军队院校的网络中，一套安全管理系统解决方案要求达到如下的效果：
（1） 终端身份认证管理
身份认证系统以用户信息、系统权限为核心，集成各业务系统的认证信息，或者Windows自身域控的管理方式， 为客户提供一个高度集成且统一的认证平台。
（2） 数据集中管理
数据统一集中管理，设立数据访问权限，记录数据访问信息记录，防止数据人为破坏。
（3） 集中系统和数据维护平台
提供无盘工作站的应用模式，每个终端没有硬盘，系统和涉密数据全部存储在远端服务器硬盘镜像空间中,保证终端无法感染病毒、木马，通过对镜像服务器的安全防护（防毒、防攻击和负载均衡，HA等灾备系统）保证终端系统、应用和数据的可用性和稳定性。
（4） 软件可控性好
网众无盘系统的部分管理和监控功能结合使用,可以控制学院使用的软件，避免学员擅自安装游戏以及不允许的软件。更新维护也十分方便
（5） 主机外设端口管理平台
对于一切可能通过外设形成接入的行为进行控制,有效地防止了核心数据被第三方通过各种设备将机密数据盗窃，保障了核心区的数据安全;
（6） 存储设备管理平台
能够提供存储设备管理手段，保证了数据的存储介质——磁盘的科学使用，可以规定每台主机上磁盘的存储方式（正常读写、只读、保密读写)及其磁盘的数据有效范围（单机有效、域有效、第三方有效),从而可以保证了重要数据在未授权的前提下，不可能被带出网络，解决了用户身份和数据身份的访问控制问题；
根据以上实际情况,为了达到贵院网络信息系统安全管理规划的安全目标，我们认为规划、设计、实施网络信息系统的安全系统的目标是：通过安全系统工程的实施，建立完整的网络信息系统的安全防护体系，在安全法律、法规、政策的支持与指导下，通过制定个性化的安全策略，采用合适的安全技术和制度化的安全管理，从安全策略、安全域、安全系统、安全管理多个层次，多个角度，构建网络内部信息安全保障技术框架,实现：
u 系统部署维护方便，管理轻松
u 有效管理移动存储设备,防止非法(未注册）的移动存储设备的接入.
u 网络内部信息与网络资源受控合法地使用。
u 对所需保护的主机进行详细的管理和监控。
2. 应用环境现实状况
多媒体培训中心环境中,PC机应用难以管理和约束，学生无法受到有效监控,将严重影响正常的培训教学。老师做为整个网络的管理者,在保障系统正常安全的同时，更重要的是如何有效监控管理学生的操作行为，保障正常教学培训的进行。
（1）老师对PC系统恢复工作量繁重
PC机操作系统经常被学生有意或者无意删除、破坏，导致电教室老师对PC系统恢复工作量繁重。
(2）使用硬盘保护卡操作繁琐效率不高
硬盘保护卡的大数据量读写操作容易导致物理硬盘的损坏，且保护卡关闭时任何软件或配置更新所导致的系统损坏，将不能恢复。
（3）软件安装和系统更新重复耗时
经常老师需要逐台PC进行软件安装和系统设置更改,消耗大量时间又影响正常教学进度.
(4）学生可以离线操作PC，老师难以监控教学
学生可以通过拔除网线来躲避老师监控，上课时间自娱自乐.
(5）外设端口难以限制,学堂变成游戏厅
光驱、USB端口不能限制使用，学生经常拷贝游戏程序到学生机上，将课堂变成游戏机房。
（6）学生的个人数据拷贝麻烦
学生经常需要定点、定机去拷贝自己的数据，这样也导致学生上课座位安排和选择不灵活.
3. 方案选择
在多媒体培训中心项目中，针对不同数量的教室和学生机，我们分别推荐：单教室单服务器NXD解决方案、多教室多服务器NXD+E-Class解决方案.
4. 单教室单服务器NXD解决方案（学生机60台以下）
在中小学、银行机构、政府机关的多媒体培训教学中,一般只有一个多媒体电教室,学生机数量也比较少（60台以下），我们推荐使用单教室单服务器NXD解决方案.
４.1方案应用优势
(1)提供对NXD工作站系统镜像的只读保护
防止病毒、黑客攻击、学生误操作对于操作系统的影响，任何在NXD工作站上的更改，重启后自动恢复到管理员初始系统配置状态.
（2）支持NXD工作站应用系统环境批量更新
使用一台特殊权限的NXD工作站（NXD超级工作站）对NXD操作系统镜像进行更新，就实现对网络教室中所有NXD工作站使用环境的更新.
（3）给NXD工作站提供独立数据存储空间--附加网络硬盘
老师可以给不同的学生机分配一个NXD工作站附加网络硬盘（16MB～5GB)，其形态是在每个NXD工作站上出现一个独立分区的硬盘，如同本地物理硬盘一般使用.
（4)禁止学生机离线工作
学生机拔除网线后NXD工作站就无法使用(因为每个NXD工作站需要实时跟服务器联系获得所需资源，没有网络就无法继续工作-——详细介绍参见RamDisk技术），保证老师可以使用网络监控软件对学生机进行监管控制。
４.2网络拓扑结构
单教室网络结构
４.3 系统功能
根据具体学生机的数量，此方案我们推荐两款服务器作为NXD服务器:简单的服务器配置支持30台左右的学生机访问负荷。中端的服务器配置既可支持60台左右的学生机访问负荷。
（1）服务器:
——安装NXD管理服务软件和NXD—I/O服务软件
①为NXD工作站提供网络服务
自动给每台NXD工作站分配IP地址、子网掩码、网关、DNS等网络地址，也支持手动添加NXD工作站的IP地址、子网掩码、网关、DNS地址等网络地址。
②为NXD工作站提供操作系统镜像I/O服务
③为NXD工作站提供附加网络硬盘服务
老师可以为每台NXD工作站划分一块D盘来存储每台学生机上的个人数据。
5. 多教室多服务器NXD+E—Class解决方案（学生机60台以上）
在学校多媒体电教室、图书馆电子阅览室、移动电信培训中心的多媒体培训教学中，一般都有多个多媒体电教室，学生机的总量也比较多或者单个教室中学生机的数量超过60台，都需要配置两台以上的服务器，我们推荐使用多教室多服务器NXD+E-Class解决方案。
５.1方案应用优势
继承单教室单服务器NXD解决方案(60名学生以内）优势的同时，多教室多服务器NXD+E—Class解决方案（60名学生以上）在管理应用上提供更多的优势。
（1）支持NXD管理服务和I/O服务的分离
在NXD系统集成中可以部署由单个NXD管理服务器和多个NXD—I/O服务器组成的应用结构，便于统一协调NXD—I/O服务器负载,并可以集中管理所有NXD工作站的IP地址，个性化策略,数据存储配置。
（2)支持NXD多I/O负载均衡
可以使用多台服务器来均衡分担NXD镜像的I/O服务压力,同时又提供冗余机制，当多台I/O服务器中某台出现故障时，并不会影响到整体的I/O服务。
（3)支持NXD个人网络硬盘
学生通过帐号和密码可以从网络中的任意一台学生机上登陆到自己的个人数据盘。既保证个人数据的安全可靠，又解决在多台学生机之间拷贝个人数据的麻烦。
（4）支持NXD工作站应用网络硬盘
老师可以将工具软件、学习资料、教学课件等存放在NXD超级工作站的应用网络硬盘中，自动更新到所有学生机的NXD工作站应用网络硬盘中，学生只能读取并不能修改或删除应用网络硬盘的数据。
（5)支持控制和限制PC机的个人操作行为
老师可以对学生机进行屏幕监控、应用程序使用控制、外设控制、网站访问控制、组策略管理、网络端口控制等。
５。2网络拓扑结构
多个多媒体教室网络结构
５.3系统功能
针对服务器在NXD系统应用中所扮演的不同角色，我们推荐下述服务器分配方案：服务器1、服务器2、服务器3。
（1)服务器1（中心机房)
——安装NXD管理服务软件、NXD—I/O服务软件和E—Class电子教室管理软件.
①为NXD工作站提供网络地址服务
自动给每台NXD工作站分配IP地址、子网掩码、网关、DNS等网络地址，也支持手动添加NXD工作站的IP地址、子网掩码、网关、DNS地址等网络地址。
②为NXD工作站提供操作系统镜像I/O管理和服务
③负责监控和均衡NXD—I/O服务
监控整个网络中的NXD-I/O服务的负载情况,调度NXD工作站连接到负载较轻的NXD—I/O服务器。
④提供NXD工作站附加网络硬盘管理和服务
老师可以为每台NXD工作站划分一块D盘来存储每台学生机上的个人数据.
⑤提供NXD工作站应用网络硬盘管理和服务
老师可以将工具软件、学习资料、教学课件等存放在NXD超级工作站的应用网络硬盘中，自动更新到所有学生机的NXD工作站应用网络硬盘中,学生只能读取并不能修改或删除应用网络硬盘的数据。
⑥提供NXD个人网络硬盘管理和服务
统一管理每个学生的NXD个人网络硬盘的帐号信息，调配每个学生的NXD个人网络硬盘的容量，并存储每个学生的NXD个人网络硬盘数据信息。
⑦提供E—Class软件运行平台，统一管理网络设备
统一管理网络中所有服务器、NXD工作站的端口使用策略、网络访问策略、远程控制和维护管理实施等，管理功能强大,操作界面掌握容易.
（2)服务器2（中心机房)
—-安装NXD—I/O服务软件.
①为NXD工作站提供操作系统镜像I/O服务
通过多台服务器2的组合,负载NXD镜像I/O服务，可以支持更多的NXD工作站使用。
（3）服务器3（多媒体教室4)
--安装NXD—I/O服务软件。
①为NXD工作站提供操作系统镜像I/O服务
②前置NXD—I/O服务器，降低学校主干网数据传输压力
直接在多媒体教室中安放服务器3来提供NXD镜像I/O服务，NXD的网络传输压力直接由教室网络负担,大大降低学校主干网络数据传输压力。
附录一:服务器推荐配置：
服务器主要用于虚拟镜象管理系统工作站管理，并且服务器网卡和硬盘速度还会影响到整个网络的速度，为了保证系统的稳定性和速度，选择高性能服务器。品牌推荐DELL,HP。推荐配置如下:
CPU
INTEL XEON 四核处理器
主板
INTEL 5500p或以上芯片组
内存
32G以上
硬盘
1＊500G SATA盘 此为服务端Linux操作系统盘
1＊240G SSD盘 此为客户机所使用的镜像磁盘
2＊240G SSD盘 此为客户机所使用的回写盘
注:1.SATA盘用于存放服务器端的LINUX/WIN系统.
2。SSD用于存放客户机系统镜像（如有特殊需求，240G空间不够用：1.扩大SSD容量。2.使用2*1TB 企业级SATA盘。)
3。SAS用于工作站回写目录,也可采用1TB 企业级SATA硬盘或SSD。
4。推荐使用两台服务器，每台带80台客户机，保证最佳性能体验
附录二：网众无盘NXD参数列表及控标点
附录三:网众产品NxD，Eclass报价单
附录四：企业版教育版对比表