CN102857361A - 一种轻量级的远程计算机带外管理方法 - Google Patents

Abstract

本发明提供了一种轻量级的技术解决方案以实现简单易用、高度可靠、并只需要低成本的设施的远程计算机带外管理。本发明包括一个摄像头，一个键盘和鼠标模拟器，一个远程软件资源镜像器，一个辅助计算机和一个远程控制台。在本发明中，即使在受管理计算机网络无法连接、操作系统崩溃、硬盘损坏，甚至整个局域网的网络连接都瘫痪时，远程IT工程师都可以通过键盘或鼠标直接操作受管理计算机，并利用远程软件资源对受管理计算机进行诊断和修复。

Description

一种轻量级的远程计算机带外管理方法

技术领域

本发明涉及一种具有竞争力的远程计算机带外管理方法，具有易于使用、高度可靠、安全和低成本特点。

背景技术

远程计算机管理具有易用和高效的特点。但是，远程计算机管理在受控计算机处于以下情况无法使用：

-无响应状态

-由于硬件或软件故障导致的操作系统不可用或崩溃

-BIOS设置阶段

-网络配置错误、远程协助服务配置错误，或防火墙阻止

远程计算机的带外管理正可用于支持处于上述状态的计算机。目前，远程计算机的带外管理正逐渐成为主流信息技术(IT)管理技术之一。已知的具有远程计算机的带外管理的技术和产品包括：

键盘，视频和鼠标IP扩展(Keyboard，Video and mouse over IP，KVM over IP)：KVM Over IP通过互联网将本地键盘，鼠标和视频数据转发到远程管理控制台。管理员可以实现安全地远程BIOS级访问，进而实现通过互联网故障恢复系统。

然而，支持KVM over IP的交换机价格昂贵，并且难以部署。受控计算机和KVM over IP交换机之间需要建立多个物理链路，包括VGA电缆，RJ45网线和键盘和鼠标的电缆。此外，如果计算机的视频卡只有DVI接口，在VGA电缆和KVM over IP交换机之间还额外需要一个DVI至VGA转换器。对于一个缺乏IT知识的人来说，在需要的时候在受控计算机上安装一个KVM over IP交换机以实现远程维护，并不现实。事先在每台计算机上都部署好KVM over IP可以在需要的时候省略安装步骤，然而，这样会带来高昂的成本和复杂的部署，对于客户计算机来说，为了远程带外管理这样小概率的事件而在每台计算机上维护一个复杂的物理线路并不经济。所以，在现实中，KVM over IP仅仅应用于远程服务器的管理。

此外，通过KVM over IP实现远程计算机带外管理存在以下不足：1。当整个局域网的网络连接都瘫痪时，包括交换机、路由器故障，Internet服务供应商服务器当机，等，通过KVM over IP实现远程计算机带外管理一样无法进行；2。即使远程IT工程师可以操作受控计算机，如果没有工具来诊断或安装包来恢复受损的文件，远程IT工程师可能仍然无法找到问题或恢复受损文件。

综合上述问题，本发明针对远程计算机带外管理在客户端计算机，包括台式机、笔记本、移动设备，的应用，提出了一种轻量级的远程计算机带外管理技术方案，具有以下特点：

1。高可靠性

-对受控计算机没有任何的硬件、软件、网络可用性的假设，甚至当整个局域网的网络连接都已经瘫痪的情况下，远程IT工程师都可以获得受控计算机的显示屏幕输出，并通过键盘或鼠标操作受控计算机。

-对受控计算机没有任何的硬件、软件、网络可用性的假设，甚至当整个局域网的网络连接都已经瘫痪的情况下，远程IT工程师都可以利用本地软件资源来诊断、修复受控计算机。

2。易于使用和设置

-具有很少的计算机知识的本地人员可以花很短的时间、轻松的安装用于远程计算机带外管理的设施；

-远程IT工程师可以直接用鼠标和键盘操作远处受控计算机，就像操作一台面前的计算机一样。

-受控计算机无需为允许远程管理而暂时或永久地更改网络或防火墙配置；

3。低成本的设施。远程计算机带外管理设施应该只需要很低的成本。

如今，计算机硬件变得越来越便宜。因此，越来越多的人在家里或办公室都有一个以上的的计算机设备。例如，一个人可能同时有一个智能手机、一个笔记本电脑，一个办公室里用的台式机和一个家里用的媒体服务器。

本发明提出的技术方案就是在另外一台计算机的帮助下、利用摄像头作物轻量级的屏幕抓取工具作为铺垫，来实现无假设、易部署的远程计算机的带外管理。

发明内容

本发明提出一个轻量级外的远程计算机带外管理技术方案。本方案的装置包括一个摄像头，一个USB键盘和鼠标模拟器，一个USB存储镜像器，一个辅助计算机，一个运行在受控计算机上的协助进程，和一个运行在远程协助服务供应商的远程控制台。该装置包括以下步骤：

1。通过摄像头获取受控计算机显示屏幕输出

-连接在辅助计算机上的摄像头摆放在受控计算机的显示屏幕前面；

-辅助计算机控制摄像头，读取受控计算机的显示屏幕的图像并通过网络传输到远程控制台；

-远程控制台接收受控计算机的显示屏幕的图像，并将图像显示在一个图形用户界面上供远程IT工程师察看；

2。通过摄像头获取受控计算机显示屏幕输出

-在受控计算机上运行一个协助进程；

-该协助进程在受控计算机处于图像模式下、将清晰的屏幕图像抓取并写入存储镜像器，在受控计算机处于命令模式下、将Telnet转发到存储镜像器，这些数据最终被传送到远程控制台、用于远程IT工程的对受控计算机的操作、诊断及修复；

-具体转发的过程见”4。将远程控制台上的软件资源镜像到本地USB存储设备”

-远程控制台接收受控计算机的显示屏幕的图像，并将图像显示在一个图形用户界面上供远程IT工程师察看；

3。发送遥控键盘或鼠标输入到本地计算机

-远程IT工程师通过鼠标和键盘操作显示受控计算机显示屏幕图像的图形用户界面，进行诊断和恢复；

-远程IT工程师的键盘和鼠标的操作被捕获，通过辅助计算机发送到键盘和鼠标模拟器，并最终被上报至受控计算机；

4。将远程控制台上的软件资源镜像到本地USB存储设备

-远程IT工程师指定一个包含诊断工具、安装包的一个CD/DVD映像文件，或本地磁盘上的指定区域，例如，一个单独的驱动器，来作为USB存储镜像器的映射；

-USB存储镜像器接收来自USB主机，即受控计算机，的读或写命令，并将该命令通过辅助计算机转发到远程控制台；

-远程控制台在预先指定的映射区域执行该命令，将数据读取或写入，通过辅助计算机发送读出的数据或写入的结果到USB存储镜像器；

-USB存储镜像器向USB主机返回的读出的数据或写入结果，就好像数据是存在本地的一个真实的USB存储设备上；

5。一个本地工作人员在需要的时候将参与远程计算机的带外维护的会话，包括部署摄像头、鼠标和键盘模拟器、存储镜像器，运行辅助计算机上软件。

在一个本发明的典型的实现中，一个独立的USB摄像头捕捉到受控计算机的显示屏幕的图像；一个台式机，笔记本电脑或移动设备作为辅助计算机、通过其网络接口访问远程控制台；一个USB人机接口设备(Human Interface device，HID)模拟器接收远程的键盘或鼠标操作，并通过USB接口报告到受控计算机；一个USB存储镜像器映射到远程控制台的CD/DVD映像文件或磁盘、读取软件资源或写入协助进程发送的屏幕抓屏图像；一个远程控制台接收并显示捕获的受控计算机显示屏幕的图像、读取远程IT工程师的键盘和鼠标的操作并通过辅助计算机发送到USB HID模拟器，接受读请求、读取软件资源数据并通过辅助计算机发送到USB存储镜像器。

在上述实现中，辅助计算机可以通过多种方式连接远程控制台，包括利用本地网络资源，或者当受控计算机所在的局域网的网络连接不可用时，新建立一个新的网络连接，例如，3G连接。

附图说明

图1为本发明的原理框图.

具体实施方式

下述讨论是本发明的一种推荐的实施方式，但并不仅限于以下实施方式。

图.1描述了本发明的一种实现的框图，包括一台受控计算机100，一个USB HID模拟器200、作为键盘和鼠标模拟器，一个USB存储镜像器300、映射到远程软件资源，一个独立的USB摄像头410和可调节支架420，一个台式机、笔记本电脑或移动设备作为辅助计算机500和一个远程控制台600。

受控计算机100包括显示屏幕110，处理器120，内存130，USB roothub 140，USB总线150，USB端口160和170，协助进程180和本地协助人员190。当USB HID模拟器200通过USB插头210连接到USB端口160，USB roothub 140将USB HID模拟器200认作一个标准USB键盘或鼠标。同样，当USB存储镜像器300通过USB插头310连接到USB端口170，USB roothub 140将USB存储镜像器300认作一个标准的USB存储设备，即USB CD/DVD设备或USB闪存设备。

由图1可见，组件110-170是一个现代计算机设备的标准配置。因此，对于受控计算机100来说，没有任何平台的假设，甚至，除了组件110-170外，没有任何其他的硬件可用性的假设。

协助进程180保存在远程控制台600上，被USB存储镜像器300映射为本地USB驱动器上的一个进程，运行改进程后，该进程抓取受控计算机的屏幕输出，并将抓取到的图像压缩、加密后，保存在USB镜像器300上。

本地协助人员190在需要的时候参与远程带外管理，包括部署摄像头、鼠标和键盘模拟器、存储镜像器、运行协助进程等。

带外管理服务可以包括一触式模式和协助式模式。在一触式模式下，本地协助人员需要安装摄像头、鼠标和键盘模拟器、存储镜像器，运行辅助计算机上软件后就无需参与，一触式模式适合于需要多次系统重启动的计算机故障诊断的远程带外维护；协助式模式下，本地协助人员安装除了摄像头外的其他设备，手动运行协助进程，协助式模式适合于无需系统重启动的网络设备诊断等远程带外维护。

USB HID模拟器200是一个硬件USB设备。USB HID模拟器200包括一个USB插头210；一个USB控制器220；一个微处理器230；一个内存240；一个短距离无线接收器250；一个通信管理程序260，负责处理通过短距离无线接收器250和辅助计算机500通信；一个USB主机请求处理程序270；一个计算机可读存储介质280、用于存储程序260-270，例如，电可擦除、可编程、只读存储(Electrically Erasable，Programmable，Read-Only，EEPROM)，或闪存。

USB HID模拟器200是用来模拟一个真正的键盘或鼠标。键盘或鼠标事件从辅助计算机500通过短距离无线信号发送到USB HID模拟器200。USB HID模拟器200通过短距离无线接收器250接收键盘或鼠标事件，然后报告到受控计算机100。

在本发明的一种推荐的实施方式中，微处理器230采用MSC-51系列单片机，短距离无线接收器250采用蓝牙等2.4G无线通信接收器，他们都是成熟的解决方案，广泛应用于工业控制中。

在本发明的一种推荐的实施方式中，短距离无线接收器250具有唯一的设备名。

USB存储镜像器300是一个硬件USB设备，包括USB CD/DVD设备或USB闪存设备。USB存储镜像器300包括一个USB插头310；一个USB控制器320；一个硬件开关330，一个微处理器340；一个内存350；一个短距离无线收发器360，一个通信管理程序380，负责处理通过短距离无线收发器360和辅助计算机500通信；一个USB主机请求处理程序390；一个计算机可读存储介质370用于保存程序380-390，例如，EEPROM或闪存。

对于USB主机，即受控计算机100，来说，USB存储镜像器300是一种真正的USB存储设备。但是，数据的内容不在本地CD/DVD盘或闪存上，而是远程映射到一个指定的CD/DVD映像文件，或远程控制台上的指定的磁盘区域上。

硬件开关330可以通过软件设置，在硬件电路上连接或断开和USB主机的连接，以防止在系统启动阶段误启动到USB存储镜像器上。

USB存储镜像器300通过短距离无线通信收发器350与辅助计算机500通信。

USB主机请求处理程序370负责与USB主机，即受控计算机，的通信，包括枚举阶段和数据传输阶段。

在本发明的一种推荐的实施方式中，USB存储镜像器300可以被远程控制台通过软件方式配置为一个USB CD/DVD设备，或者USB闪存设备。

当USB存储镜像器300被配置作为一个USB CD/DVD设备时，在本发明的一种推荐的实施方式中，ISO映像文件被映射成一个虚拟的CD/DVD驱动器，例如，通过DAEMON工具将一个ISO文件映射成一个虚拟的CD/DVD驱动器。

在本发明的一种推荐的实施方式中，当USB存储镜像器被配置为一个USB CD/DVD设备、映射到远程的CD/DVD映像文件，可以用于和带外维护无关的一些应用中，比如，在本地无CD/DVD光驱的情况下，通过USB存储镜像器，将系统启动到远程映射的可启动Windows/Linux安装光盘并实现安装。通过这种方式，企业可以节省安装在员工计算机上的CD/DVD驱动器，集中管理CD/DVD镜像文件并降低CD/DVD光盘的需求。

在本发明的一种推荐的实施方式中，微处理器330采用ARM微处理器，短距离无线收发器360采用蓝牙3.0或WIFI等具有一定带宽的无线通信收发器。

在本发明的一种推荐的实施方式中，短距离无线收发器350具有唯一的设备名。

在本发明的一种推荐的实施方式中，USB存储镜像器300是只读USB存储设备。这意味着，无法通过对USB存储镜像器300的写操作来修改在远程控制台600上的软件资源。

在本发明的一种推荐的实施方式中，远程控制台600上的软件资源被缓存在辅助计算机500上，或USB存储镜像器上，以提高下次访问的速度。

在图1所示的示范框图中，为了清晰的描述，USB HID模拟器200和USB存储镜像器300被分为两个USB设备。在本发明的一种推荐的实施方式中，USB HID模拟器200和USB存储镜像器300可以合并成一个USB硬件设备，共享相同的微型处理器，内存和短距离无线收发器，通过USB hub、或通过分别报告两种设备类型，来实现在一个USB端口160或170上、实现两个USB设备，USB HID模拟器200和USB存储镜像器300。

辅助计算机500是一个能够访问远程控制台600的台式机、笔记本电脑或移动设备。辅助计算机500包括一个USB摄像头控制模块510，一个短距离无线收发器520，一个网络接口530，一个代理模块540和一个操作系统550。

独立USB摄像头410通过USB电缆连接到辅助计算机500上。独立USB摄像头410安装在一个可调节支架420上，来对准受控计算机的显示屏幕110。

摄像头410可以进一步集成在USB存储镜像器器，以实现更为方便的部署。

代理模块540包括压缩和加密子模块，通信管理程序子模块，服务注册子模块和服务请求子模块。

当用户进行远程带外管理服务注册时，代理模块540调用服务注册子模块实现服务注册。

当用户需要远程带外管理服务时，代理模块540调用服务请求子模块实现服务请求。

在远程带外管理服务进行中，代理模块540调用通信管理程序子模块，将USB摄像头捕获的受控计算机的显示屏幕图像传送至远程控制台600，接收远程IT工程师的键盘或鼠标操作，将这些键盘或鼠标操作通过短距离无线收发模块520转发至USB HID模拟器200。

在远程带外管理服务进行中，代理模块540调用通信管理程序子模块，将对软件资源的读请求转发至远程控制台600，从远程控制台600接收软件资源数据，然后通过短距离无线收发器将这些数据转发到USB存储镜像器300。

在远程带外管理服务进行中，代理模块540调用通信管理程序子模块，将从USB存储镜像器300上通过短距离无线收发器接收的协助进程180抓取的屏幕图像转发到远程控制台600。

在本发明的一种推荐的实施方式中，一台有内置摄像头的笔记本电脑或移动设备被用来作为辅助计算机500，以省去独立的USB摄像头。这种情况下，需要一个可调节的三角架将这个笔记本电脑或移动设备固定在受控计算机的显示屏幕前。

在本发明的一种推荐的实施方式中，辅助计算机控制摄像头以每秒一次的频率捕获受控计算机的显示屏幕输出。

在本发明的一种推荐的实施方式中，用于捕获受控计算机显示屏幕的摄像头是数码摄像头，并具有一百万像素或更高。

在本发明的一种推荐的实施方式中，短距离无线收发器520使用蓝牙3.0或WIFI等具有一定带宽的无线通信收发器。WIFI收发器内置在许多笔记本电脑和移动设备中。对于台式机，可以使用便宜的USB蓝牙适配器或USB WIFI适配器。

在本发明的一种推荐的实施方式中，被摄像头捕获的受控计算机的显示屏幕110的图像在传输前进行压缩和加密。

在本发明的一种推荐的实施方式中，用于加密被摄像头捕获的受控计算机的显示屏幕110的图像的加密密钥是由用户名，密码和变化的数据、如日期综合生成的。

在本发明的一种推荐的实施方式中，如果整个局域网的网络连接由于交换机、路由器问题或Internet服务提供商的服务器当机等原因已经瘫痪，网络接口530可以基于一个新建立的网络连接，例如，通过一个USB 3G适配器或内置的3G模块建立的3G网络连接。

在本发明的一种推荐的实施方式中，如果局域网的网络连接是正常的，网络接口530可以基于一个局域网网络连接，例如，通过RJ45网线直接连接局域网内的交换机，或者通过WIFI连接局域网内的Access Point(AP)。

如果受控计算机100在请求了远程带外管理服务后被关机或休眠，辅助计算机500可以通过发送一个wake-on-LAN或者wake-on-wireless-LAN包将受控计算机唤醒，条件是，受控计算机100和辅助计算机500连接了相同的交换机或者AP。

如果受控计算机100内置了英特尔主动管理技术(Active management technology，AMT)，或者报警标准格式(Alert Standard Format)并且被配置激活，在本发明的一种推荐的实施方式中，受控计算机100通过AMT或ASF的电源管理功能被强行重启动或唤醒，如果受控计算机100在请求了远程带外管理服务后死机、蓝屏、被关机或休眠。

当辅助计算机500无法通过现有网络资源、而需要建立额外的网络连接来访问远程控制台600时，在本发明的一种推荐的实施方式中，内置3G模块的移动设备被采用作为辅助计算机500，来节省一个单独的USB3G适配器。

在本发明的一种推荐的实施方式中，内置蓝牙模块和摄像头的笔记本电脑或移动设备被采用作为辅助计算机500。这样，就不再需要一个单独的USB蓝牙适配器和单独USB摄像头。

当移动设备作为辅助计算机500时，在本发明的一种推荐的实施方式中，移动设备采用Mac操作系统或Android操作系统。这些操作系统具有丰富的和友好的应用程序接口。

当一个具有Mac操作系统或Android操作系统的移动设备作为辅助计算机500时，在本发明的一种推荐的实施方式中，代理模块540通过苹果的AppStore，或谷歌Android应用程序商店安装在移动设备。

在本发明的一种推荐的实施方式中，辅助计算机500中的代理模块540通过80端口或443端口连接远程控制台600。

远程控制台600包括服务注册模块610，请求认证模块620，软件资源中心630，虚拟的输入设备驱动程序640，图形用户界面(graphic user interface，GUI)650，即时消息通信会话管理660，远程操作管理程序670，网络接口680和键盘和鼠标681。

远程操作管理程序670调用服务注册模块610以评估辅助计算机500发送的远程带外管理服务注册请求。

远程操作管理程序670调用服务认证模块620来验证辅助计算机500发送的远程带外管理服务请求。

在本发明的一种推荐的实施方式中，请求认证模块620使用，但不局限于，用户名和密码验证。

当身份验证通过，远程操作管理程序670接收捕获的受控计算机电脑显示屏的图像，并显示在图形用户界面650上。

输入设备钩子程序640捕获IT工程师的键盘和鼠标输入。

远程操作管理程序670获得与特定远程带外管理会话相关的键盘或鼠标事件，将键盘和鼠标事件编码，然后通过辅助计算机500发送到USB HID模拟器200。

远程操作管理程序670接收代理模块540转发的USB存储镜像器300的读请求，在软件资源中心630读取相应数据，将数据通过辅助计算机500发送回USB存储镜像器300。

远程操作管理程序670接收代理模块540转发的USB存储镜像器300的写请求，获得协助进程180发送的抓屏图像数据，将数据显示在图形用户界面650上。

远程IT工程师690是具有专业的IT系统维护知识的专家，其掌握得知识领域与远程带外管理请求中的问题描述相匹配。

远程操作管理程序670调用即时消息通信会话管理660来建立一个即时通信会话，将IT工程师的文字或语音指令发送至辅助计算机500，指示本地协助人员输入本地帐户密码，按电源按钮重启动，纠正摄像头的位置，等等。

在本发明的一种推荐的实施方式中，被捕获的受控计算机显示屏幕110的图像在被显示在图形用户界面650前，进行解压和解密。

在本发明的一种推荐的实施方式中，用于解密的密钥是由用户名，密码和变化的数据、如日期综合生成的。

在本发明的一种推荐的实施方式中，在远程控制台600和辅助计算机500之间，有一个时间校正协议以同步双方的时间、日期。

在本发明的一种推荐的实施方式中，有一个鼠标定位系统以计算受控计算机显示屏幕110和图形用户界面650的大小比例。

在本发明的一种推荐的实施方式中，有一个鼠标定位系统用于计算受控计算机被摄像头拍摄到的显示屏幕110。例如，通过用鼠标点击受控计算机显示屏幕的四角来计算大小比例。

在本发明的一种推荐的实施方式中，在远程控制台的图形用户界面650上有一个暂停按钮，用于控制辅助计算机500暂停捕获、发送受控计算机显示屏幕110的图像。例如，当受控计算机在进行反病毒扫描等长时间无需干涉的操作时，远处控制台的图形用户界面650通知辅助计算机暂停捕获及发送受控计算机显示屏幕的图像。

在本发明的一种推荐的实施方式中，由于用摄像头拍摄的显示屏幕模糊不清，一般情况下，仅仅用于在可执行环境下启动一个存储镜像器中的协助进程。该协助进程在受控计算机处于图像模式下、将清晰的屏幕图像抓取并写入存储镜像器，在受控计算机处于命令模式下、将Telnet转发到存储镜像器，这些数据最终被传送到远程控制台、用于远程IT工程的对受控计算机的操作、诊断及修复。当受控计算机处于无法运行该协助进程的阶段，比如BIOS设置、Windows登录、启动菜单选择等阶段，在远程控制台上，一个具有相同硬件或软件的计算机运行在相同的阶段，该计算机的清晰的屏幕可以用来了解摄像头拍摄的模糊的图像的内容、并帮助远程IT工程师通过摄像头拍摄的模糊图像完成配置操作。这些清晰的屏幕数据将通过VGA sniffer等工具被保存下来，用于将来协助在相同硬软件、相同阶段下的远程带外操作。

当移动设备作为辅助计算机500时，USB HID模拟器200或USB存储镜像器300可以通过软件来实现，如果该移动设备具有USB控制器并提供定制的USB固件处理程序的接口。

独立的USB摄像头410可以被一个移动电话，智能电话，个人数字助理，或笔记本电脑上的内置摄像头代替。当使用一个内置的摄像头时，那个移动电话，智能电话，个人数字助理，或笔记本电脑上需要安装一个代理程序。代理程序通过有线电缆，或通过无线通信，例如蓝牙，WIFI等，将拍摄的受控计算机显示屏幕110的图像传送到辅助计算机500。

独立的USB蓝牙适配器也可以被一个移动电话，智能电话，个人数字助理，或笔记本电脑上的内置的蓝牙模块代替。同样，当使用一个内置的蓝牙模块时，那个移动电话，智能电话，个人数字助理，或笔记本电脑上需要安装一个代理程序。代理程序通过有线电缆，或通过无线通信，例如WIFI，接收到从辅助计算机500发送来的远程的键盘、鼠标输入、或者远程的软件资源，然后再将这些数据转发到USB HID模拟器或者USB存储镜像器。

如果用户手上已经有一个遵循公开规范的无线键盘或鼠标，而且该规范明确定义了无线键盘或鼠标与接收器之间的通信，USB HID模拟器就可以被省掉。辅助计算机500可以控制短距离无线发收器520按照公开的规范发送远程IT工程师的键盘或鼠标输入到已有的无线键盘或鼠标的接收器。

类似的，如果用户手上已经有一个无线键盘或鼠标，而且该无线键盘或鼠标的制造商提供了能向接收器发送键盘或鼠标事件的私有接口，可以运行在台式机、笔记本或移动设备上，USB HID模拟器同样可以被省掉。辅助计算机500可以调用私有接口、控制短距离无线发收器520发送远程IT工程师的键盘或鼠标输入到已有的无线键盘或鼠标的接收器。

在本发明的一种推荐的实施方式中，辅助计算机500不应含有任何机密数据，或重要的实用程序；辅助计算机500应在进行远程带外管理之前和之后被重置到出厂模式或恢复到一个干净的系统，以避免在进行远程带外管理过程中辅助计算机500被病毒、木马或后门程序感染、控制，进而使受控计算机100数据受损或机密数据泄露。

Claims (10)

1.一种轻量级的、具有远程软件资源镜像的远程计算机带外管理方法包括

一、连接在辅助计算机上的摄像头摆放在受控计算机的显示屏幕前面；

二、辅助计算机控制摄像头，连续拍摄受控计算机的显示屏幕，并将拍摄的图像通过网络传输到远程控制台；

三、在远程控制台上，受控计算机显示屏幕的图像显示在的一个图形用户界面上；

四、远程IT工程师将包含诊断、修复工具的软件资源映射至存储镜像器；

五、远程IT工程师通过鼠标和键盘操作显示受控计算机显示屏幕图像的图形用户界面，运行存储镜像器中远程映射的软件资源，进行诊断和恢复；

六、远程IT工程师的键盘和鼠标的操作被捕获、发送到辅助计算机，通过辅助计算机转发到键盘和鼠标模拟器；

七、键盘和鼠标模拟器将远程键盘和鼠标的操作上报至受控计算机；

八、用摄像头拍摄的显示屏幕模糊不清，仅仅用于在可执行环境下启动一个存储镜像器中的协助进程；

九、一个本地工作人员在需要的时候将参与远程计算机的带外维护的会话，包括部署摄像头、鼠标和键盘模拟器、存储镜像器、运行协助进程等；

十、上述步骤二至步骤九重复次序进行，直到远程计算机带外管理结束。

2.在上述声明1中包括：一个远程IT工程师可以同时进行多个远程计算机带外管理会话，一个受控计算机可以由多个远程IT工程师联合诊断；在拍摄的受控计算机显示屏幕的图像被传送到远程控制台前，这些图像可以选择被压缩、加密；一个鼠标定位系统用于计算受控计算机显示屏幕分辨率和远程控制台上图形用户界面的大小比例；另一个鼠标定位系统用于计算受控计算机被摄像头拍摄到的显示屏幕和实际鼠标精度的绝对值的大小比例；远程控制台可以控制辅助计算机暂停捕获、发送受控计算机显示屏幕的图像。

3.在上述声明1中，通过辅助计算机申请远程带外管理服务的时候需要进行认证。认证方式包括用户名密码认证、证书认证、物理USB key认证等；另外，带外管理服务可以包括一触式模式和协助式模式。在一触式模式下，本地协助人员需要安装摄像头、鼠标和键盘模拟器、存储镜像器，运行辅助计算机上软件后就无需参与，一触式模式适合于需要多次系统重启动的计算机故障诊断的远程带外维护；协助式模式下，本地协助人员安装除了摄像头外的其他设备，手动运行协助进程，协助式模式适合于无需系统重启动的网络设备诊断等远程带外维护。在这两种模式中，为便于安装和使用，摄像头可以采用具有一定精度的USB数码摄像头；摄像头还可以采用笔记本电脑或移动设备上、具有一定精度的的内置摄像头；摄像头可以进一步集成在USB存储镜像器器中；摄像头或者内置摄像头所在的设备应安装在可调整支架上以对准受控的计算机的显示屏幕。

4.在上述声明1的步骤四中，存储镜像器可以是一个硬件USB存储设备。存储镜像器通过以下方式获得远程磁盘的读写、包括读取远程软件资源数据和将受控计算机上抓取屏幕图像写入远程控制台：存储镜像器接收来自USB主机，即受控计算机，的读或写命令，并将命令通过辅助计算机转发到远程控制台；远程控制台在预先指定的数据区域处执行该命令，将数据读出或写入，并通过辅助计算机发送数据及执行结果到USB存储镜像器；USB存储镜像器向USB主机返回的数据，就好像数据是存在本地的一个真实的USB存储设备上。同时，在远程控制台上，存储镜像器可以被通过软件方式配置为一个USB CD/DVD设备，或者USB闪存设备，也可以通过软件配置硬件开关，在硬件电路上连接或断开和USB主机的连接，以防止在系统启动阶段误启动到USB存储镜像器上。

5.在上述声明1的步骤四中，USB存储镜像器可以被配置为一个USB CD/DVD设备、映射到远程的CD/DVD映像文件，用于和带外维护无关的一些应用中，比如，在本地无CD/DVD光驱的情况下，通过USB存储镜像器，将系统启动到远程映射的可启动Windows/Linux安装光盘并实现安装。

6.在上述声明1的步骤七中，鼠标和键盘模拟器可以是一个USB硬件，也可以通过软件实现，包括，实现在一个具有USB控制器并提供定制的USB固件处理程序接口的移动设备上；实现在辅助计算机上，条件是，用户手上已经有一个遵循公开通信规范的无线键盘或鼠标，或者制造商提供了能向接收器发送键盘或鼠标事件的私有接口的无线键盘或鼠标。

7.在上述声明1的步骤四中的存储镜像器和步骤七中的键盘和鼠标模拟器可以实现在同一个USB硬件设备上，共享相同的微型处理器、内存和短距离无线收发器，通过USB hub，或者，通过分别报告两种不同的USB设备类型，来实现在一个USB端口上的两个USB设备。其中，微型处理器可以采用MSC-51系列单片机；短距离无线收发器可以采用蓝牙2.0等2.4G无线通信，也可以用蓝牙3.0，WIFI来提高带宽。

8.在上述声明1的步骤八中，用摄像头拍摄的显示屏幕模糊不清，一般情况下，仅仅用于在可执行环境下启动一个存储镜像器中的协助进程。该协助进程在受控计算机处于图像模式下、将清晰的屏幕图像抓取并写入存储镜像器，在受控计算机处于命令模式下、将Telnet转发到存储镜像器，这些数据最终被传送到远程控制台、用于远程IT工程的对受控计算机的操作、诊断及修复。当受控计算机处于无法运行该协助进程的阶段，比如BIOS设置、Windows登录、启动菜单选择等阶段，在远程控制台上，一个具有相同硬件或软件的计算机运行在相同的阶段，该计算机的清晰的屏幕可以用来了解摄像头拍摄的模糊的图像的内容、并帮助远程IT工程师通过摄像头拍摄的模糊图像完成配置操作。这些清晰的屏幕数据将通过VGA sniffer等工具被保存下来，用于将来协助在相同硬软件、相同阶段下的远程带外操作。

9.在上述声明1中，如果受控计算机在请求了远程带外管理服务后蓝屏、死机、被关机或休眠，辅助计算机可以通过发送一个Intel主动管理技术或报警标准格式电源管理功能将受控计算机强行重启动或唤醒；如果受控计算机在请求了远程带外管理服务后被关机或休眠，辅助计算机可以通过发送一个wake-on-LAN，或者wake-on-wireless-LAN将受控计算机强行唤醒；实现上述功能的条件是，受控计算机和辅助计算机连接了相同的交换机或者Access Point。

10.在上述声明1中，如果整个局域网的网络连接由于内部交换机、路由器问题或Internet服务提供商的服务器当机等原因已经瘫痪，辅助计算机可以建立一个新的网络连接来保证和远程控制台的通信，包括通过辅助计算机的内置模块、或者一个单独的USB网络适配器来建立GPRS，Modem，Edge，3G，4G等网络连接；另外，辅助计算机在连接远程控制台时采用80端口或443端口以防止网络防火墙策略的修改带来的安全问题。同时，辅助计算机应在进行远程带外管理之前和之后被重置到出厂模式或恢复到一个干净的系统，以避免在进行远程带外管理过程中辅助计算机被病毒、木马或后门程序感染、控制，进而使受控计算机数据受损或机密数据泄露。

Images