CN103679063A - 一种接入虚拟化桌面的多域切换系统及其多域切换方法 - Google Patents

Abstract

一种接入虚拟化桌面的多域切换系统及其多域切换方法，属于计算机技术领域。本发明多域切换系统包括依次连接的多域终端系统、多域切换开关、远程桌面身份认证和远程桌面。多域切换开关包括依次连接的多域模块、网络认证网卡接口、外设挂接控制、数据控制和登录认证控制。网络认证网卡接口包括网卡接口一、网卡接口二和网卡接口三。外设挂接控制包括外设挂接接口一、外设挂接接口二和外设挂接接口三。数据控制包括导出模块和导入模块。登录认证控制包括数量认证模块以及分别与数量认证模块连接的帐号密码认证模块、智能卡认证模块。本发明能实现高性能的内外网隔离，其在终端计算设备中不留密，方便用户在内外密网间的快速切换，并严格控制所接入设备的访问权限防止泄密。

Description

一种接入虚拟化桌面的多域切换系统及其多域切换方法

技术领域

 本发明属于计算机技术领域，特别是操作系统中接入虚拟化桌面的多域切换系统及其多域切换方法。

背景技术

现有技术中，双网隔离应用通常使用三种应用场景。其一，采用双机一屏方式隔离内外网络。既将内外网络分别接入两台物理隔离的计算机，通过KVM线和KVM接换器与计算机连接，将鼠标、键盘、显示器接入KVM，实现切换。其中U盘和光驱可接在计算机上，也可以接在KVM的USB共享接口上，实现内外网隔离。该方案存在的问题有，每增加一个网络，每个用户端需要增加1台主机和若干连线，造成成本上扬和维护不便，KVM线和网线如果被调整，不易发现，U盘等外设可以在不同网域间穿梭造成数据泄密，电磁辐射较大，在计算设备方面较大的浪费电力，终端留存数据不符合涉密要求。

其二，采用双网隔离机方式隔离内外网络。既在计算机中安装多网口网卡，实现在网卡上分离出内外密网。同时，根据网络划分的数量，在计算机中安装多套组合，每套组合包括独立的内存和硬盘以及OS，组合间共享CPU处理器，在操作系统中安装软件，实现组合切换，从而达到网络、内存、硬盘和操作系统的内外网隔离。该方案在计算设备电力方面仍然有较大的浪费，同时无法控制通过U盘在终端进行泄密，终端留存数据不符合涉密要求。

其三，采用虚拟化技术，在不同的网络建立虚拟化系统，通过终端与虚拟化系统连接。通过服务端虚拟化操作系统的桌面，让终端进行远程桌面访问，终端不留密，上传鼠标键盘I/O，下载视频流。该方案在终端上没有多网接入模块，同时无法在终端实现多网切换，只有通过插拔不同网络的网线到终端的唯一网口进行网络切换，应用较麻烦。在数据泄密方面，虽然可以通过对远程桌面的只读控制防止数据写入，通过禁止U盘、驱动器挂接实现数据防泄密。但是，无法在允许挂接U盘设备时进行读写控制，无法控制U盘数据写入方向，造成用户操作和使用的不便。

发明内容

为了克服上述现有技术中存在的问题，本发明的目的是提供一种接入虚拟化桌面的多域切换系统及其多域切换方法。它能实现高性能的内外网隔离，其在终端计算设备中不留密，方便用户在内外密网间的快速切换，并严格控制所接入设备的访问权限防止泄密。

为了达到上述发明目的，本发明的技术方案以如下方式实现：

一种接入虚拟化桌面的多域切换系统，其结构特点是，它包括依次连接的多域终端系统、多域切换开关、远程桌面身份认证和远程桌面。所述多域切换开关包括依次连接的多域模块、网络认证网卡接口、外设挂接控制、数据控制和登录认证控制。登录认证控制通过登录远程桌面身份认证访问远程桌面。多域模块通过三根网线分别连接网络认证网卡接口中的三个网卡接口网卡接口一、网卡接口二和网卡接口三。所述外设挂接控制包括外设挂接接口一、外设挂接接口二和外设挂接接口三。所述数据控制包括导出模块和导入模块。所述登录认证控制包括数量认证模块以及分别与数量认证模块连接的帐号密码认证模块、智能卡认证模块。

在上述多域切换系统中，所述多域模块根据网络认证网卡接口中网卡接口一、网卡接口二和网卡接口三处插入的网线性质即时更新网卡接口一、网卡接口二和网卡接口三所连接网络的定义，分别定义为外网、内网和密网。

在上述多域切换系统中，所述网络认证网卡接口中的网卡接口一、网卡接口二和网卡接口三通过连接网络获得网络中DHCP服务器自动分配的IP地址，或者对三个网卡接口指定固定IP地址，并将所分配到的地址记录提交给多域模块和外设挂接控制存储。

在上述多域切换系统中，所述外设挂接接口一、外设挂接接口二和外设挂接接口三中挂接根据数据从属和访问的网络判断结果表明的该网络和访问可接入的硬件设备，根据预客户环境定义的网络地址分类进行判断行成一一对应关系。外设挂接接口一、外设挂接接口二和外设挂接接口三用于不同设备和数量的挂接，实现区分不同网域可信接入设备的类型、数量和设备身份标识。

如上所述的接入虚拟化桌面的多域切换系统的多域切换方法，它包括依次连接的多域终端系统、多域切换开关、远程桌面身份认证和远程桌面。多域切换开关包括依次连接的多域模块、网络认证网卡接口、外设挂接控制、数据控制和登录认证控制，其方法步骤为：

多域终端系统发出登录远程桌面的申请；

多域切换开关接收到登录申请，并在多域切换开关内部传输流程：

接到登录申请的多域模块根据存储的路径设置判断数据流向网络认证网卡接口中的哪一个网卡接口，同时切断另两个网卡接口通道；

由选择的网卡接口将登录申请和由网络认证网卡接口提交的所属网络分类记录传递到外设挂接控制，外设挂接控制根据预先存储的相应网络分类记录所对应的设备挂接权限进行设备挂接控制；

数据控制对数据进行流向控制，判断数据是否可以导入或者导出；

登录认证控制判断登录请求信息，并转发登录请求和数据控制转发的数据到远程桌面身份认证；

远程桌面身份认证对接收到的各种信息进行认证登录，如果符合要求，则将通过登录的授权转发给远程桌面，远程桌面提供远程桌面给多域终端系统。

本发明由于采用了上述结构和方法，通过多域终端的物理切换，实现网络物理隔离。多域终端需要访问后端的虚拟化系统，为用户提供操作系统OS，保障了在终端不留密的要求，同时解决终端USB、光驱等数据泄密问题。本发明在终端只需要一台多域终端，即可满足多域网络切换的要求，大量节省了采购、维护成本，减少了终端硬件设备的故障发生。本发明能显著强化双网隔离应用的计算性能，提高终端计算设备的使用率和性价比，降低双网隔离需求带来的计算成本增加。

下面结合附图和具体实施方式对本发明做进一步说明。

附图说明

    图1为本发明的结构示意图；

    图2为本发明的方法步骤流程图。

具体实施方式

参看图1，本发明包括依次连接的多域终端系统100、多域切换开关200、远程桌面身份认证300和远程桌面400。多域切换开关200包括依次连接的多域模块201、网络认证网卡接口202、外设挂接控制203、数据控制204和登录认证控制205。登录认证控制205通过登录远程桌面身份认证300访问远程桌面400。多域模块201通过三根网线分别连接网络认证网卡接口202中的三个网卡接口网卡接口一202a、网卡接口二202b和网卡接口三202c。多域模块201根据网络认证网卡接口202中网卡接口一202a、网卡接口二202b和网卡接口三202c处插入的网线性质即时更新网卡接口一202a、网卡接口二202b和网卡接口三202c所连接网络的定义，分别定义为外网、内网和密网。网络认证网卡接口202中的网卡接口一202a、网卡接口二202b和网卡接口三202c通过连接网络获得网络中DHCP服务器自动分配的IP地址，或者对三个网卡接口指定固定IP地址，并将所分配到的地址记录提交给多域模块201和外设挂接控制203存储。外设挂接控制203包括外设挂接接口一203a、外设挂接接口二203b和外设挂接接口三203c。外设挂接接口一203a、外设挂接接口二203b和外设挂接接口三203c中挂接根据数据从属和访问的网络判断结果表明的该网络和访问可接入的硬件设备，根据预客户环境定义的网络地址分类进行判断行成一一对应关系。外设挂接接口一203a、外设挂接接口二203b和外设挂接接口三203c用于不同设备和数量的挂接，实现区分不同网域可信接入设备的类型、数量和设备身份标识。数据控制204包括导出模块204a和导入模块240b。登录认证控制205包括数量认证模块205a以及分别与数量认证模块205a连接的帐号密码认证模块205b、智能卡认证模块205c。

上述本发明方案中所设的网卡接口为三个，如果设置更多的网卡接口还可以组建更多重的网络访问定义。本发明中的根据预客户环境定义的网络地址分类进行判断行成一一对应关系，其中一一对应关系的设备及权限，需要在实施前与网络定义，按用户规划进行一一对应设置。

参看图2，本发明的多域切换方法步骤为：

多域终端系统100发出登录远程桌面400的申请。

多域切换开关200接收到登录申请，并在多域切换开关200内部传输流程：

接到登录申请的多域模块201根据存储的路径设置判断数据流向网络认证网卡接口202中的哪一个网卡接口，同时切断另两个网卡接口通道。具体为，多域模块201检查存储在其内部的转发数据路径设置，并提供一个可以由手动切换的开关，实现对转发数据路径物理接口的切换。多域模块201执行一个查询认证程序，根据存储在内的预定义的网络地址分配记录，用来判断网络认证网卡接口202中的网卡接口一202a、网卡接口二202b和网卡接口三202c所连接的网络分类认证和识别，在该处时时的更新三个网卡接口所连接网络的定义，确定其为外网、内网还是密网。例如，用户在网卡接口一202a处插入外网网线，则在多域模块201处识别网卡接口一202a对应外网，如果用户在网卡接口一202a中将网线从外网网线切换成内网网线，多域模块201会更新对网卡接口一202a的记录，并正确的更新记录为网卡接口一202a对应为内网，达到对网络进行识别。并根据在多域模块201处的判断确认在该路径上转发的数据内容分类，如外网数据不会被转发到内网网络中。数据转发以独占方式存在，既，如果设定数据转发向网卡接口一202a时，物理切断与网卡接口二202b和网卡接口三202c的所有通道，实现内外网隔离。以设置为数据转发到网卡接口一202a为例，在经以上判断和处理后，数据按设置被转向网卡接口一202a。

由选择的网卡接口将登录申请和由网络认证网卡接口202提交的所属网络分类记录传递到外设挂接控制203，外设挂接控制203根据预先存储的相应网络分类记录所对应的设备挂接权限进行设备挂接控制。其中网卡接口一202a、网卡接口二202b和网卡接口三202c拥有与各接口网络连接的接口，并通过连接网络获得网络中DHCP服务器自动分配的IP地址。并将所分配到的地址记录，提交给多域模块201和外设挂接控制203存储，以便多域模块201和外设挂接控制203识别三个网卡接口所代表的网络分类。在外设挂接控制203处，收到用户的数据和网络认证网卡接口202提交的所属网络分类记录时，根据预先存储在外设挂接控制203处对应网络分类记录所对应的设备挂接权限，进行设备挂接控制。首先必须挂接外设挂接接口一203a，外设挂接接口一203a代表任意网络必须挂接的外设设备类型，如键盘、鼠标，既，在外设挂接接口一203a对应的外设接口中，可以识别插入任意的键盘鼠标设备，但无法识别插入的U盘设备。同时在外设挂接接口一203a处，键盘、鼠标在插入的usb接口中明确定义了身份，既键盘不可以接入到鼠标usb接口，鼠标不可以接入到键盘usb接口中，实现了设备分类的定义。同时提供身份认证势必定义，如果鼠标和键盘中带有身份认证芯片，可以在外设挂接接口一203a处写入身份认证key，支持对设备的身份唯一认证。数据在外设挂接接口一203a处向外设挂接接口二203b转发。在外设挂接接口二203b处，根据数据从属和访问的网络进行判断，以判断该网络和访问可接入的usb设备，如U盘、U移动硬盘或斜口的USB密盘是否可以在当前访问中进行挂接或卸载。本发明应用时可考虑在外网环境下，全允许使用U盘和U移动硬盘，卸载斜口的USB密盘的挂接，实现介质级内外网隔离使用。此项可设置为可选项，如果没有明确定义，将不挂接任何USB设备。根据判断挂接相应设备后，将用户数据、网络分类和挂接设备内容转发到外设挂接接口三203c处。在外设挂接接口三203c处，根据数据从属和访问的网络进行判断，以判断该网络和访问可接入的sata设备，如光驱和解密芯片。在本发明应用时可考虑在外网环境下，弹出光驱光盘，以避免因切换造成的光驱数据被动泄密。如果配合加密光驱，可以在连接外网时，卸载对加密光驱中解密芯片和密钥存储的挂接，实现设备可用但无法造成数据解密。并将数据、网域分类和光驱、解密芯片的权限设置，提交给数据控制204。

数据控制204对数据进行流向控制，根据继承的设备和权限设置，判断U盘、光盘、终端硬盘数据判断是否可以导入或者导出。具体实施时，可通过设置成单向导入，即导出模块204a不工作，以防止数据导出泄密。如果为防止恶意程序感染后端操作系统，可禁止单向导入设置，即导入模块204b不工作。在设置成单向导入情况下，数据控制204会将数据和登录请求转发给登录认证控制205。如果禁止单向导入，数据控制204只会将登录请求发送给登录认证控制205。

登录认证控制205判断登录请求信息，并转发登录请求和数据控制204转发的数据到远程桌面身份认证300。在登录认证控制205处先经过数量认证模块205a，以判断登录请求的认证数量，帐号密码口令，以及是否包括token或智能卡信息。并根据判断将数据转发给帐号密码认证模块205b或智能卡认证模块205c，其中帐号密码认证模块205b处理帐号密码口令的登录认证信息的转发，智能卡认证模块205c处理token和智能卡等认证信息的转发。在识别后，登录认证控制205将认证种类的数量、认证形式、认证信息和用户数据转发给远程桌面身份认证300。

远程桌面身份认证300对接收到的各种信息进行认证登录，如果符合要求，则将通过登录的授权转发给远程桌面400，远程桌面400提供远程桌面给多域终端系统100。

本发明与双机一屏的技术方案相比，双机一屏的方式中有两台机器一直处于低功率待机状态，一台在工作使用的计算机利用率也仅不足20%。而本发明的多域切换系统，仅需要一台计算机，使用率可达90%，提高了利用率250%以上。

Claims (5)

1.一种接入虚拟化桌面的多域切换系统，其特征在于，它包括依次连接的多域终端系统（100）、多域切换开关（200）、远程桌面身份认证（300）和远程桌面（400），所述多域切换开关（200）包括依次连接的多域模块（201）、网络认证网卡接口（202）、外设挂接控制（203）、数据控制（204）和登录认证控制（205），登录认证控制（205）通过登录远程桌面身份认证（300）访问远程桌面（400），所述多域模块（201）通过三根网线分别连接网络认证网卡接口（202）中的三个网卡接口网卡接口一（202a）、网卡接口二（202b）和网卡接口三（202c）；所述外设挂接控制（203）包括外设挂接接口一（203a）、外设挂接接口二（203b）和外设挂接接口三（203c）；所述数据控制（204）包括导出模块（204a）和导入模块（240b）；所述登录认证控制（205）包括数量认证模块（205a）以及分别与数量认证模块（205a）连接的帐号密码认证模块（205b）、智能卡认证模块（205c）。

2.根据权利要求1所述的多域切换系统，其特征在于，所述多域模块（201）根据网络认证网卡接口（202）中网卡接口一（202a）、网卡接口二（202b）和网卡接口三（202c）处插入的网线性质即时更新网卡接口一（202a）、网卡接口二（202b）和网卡接口三（202c）所连接网络的定义，分别定义为外网、内网和密网。

3.根据权利要求1或2所述的多域切换系统，其特征在于，所述网络认证网卡接口（202）中的网卡接口一（202a）、网卡接口二（202b）和网卡接口三（202c）通过连接网络获得网络中DHCP服务器自动分配的IP地址，或者对三个网卡接口指定固定IP地址，并将所分配到的地址记录提交给多域模块（201）和外设挂接控制（203）存储。

4.根据权利要求3所述的多域切换系统，其特征在于，所述外设挂接接口一（203a）、外设挂接接口二（203b）和外设挂接接口三（203c）中挂接根据数据从属和访问的网络判断结果表明的该网络和访问可接入的硬件设备，根据预客户环境定义的网络地址分类进行判断行成一一对应关系，外设挂接接口一（203a）、外设挂接接口二（203b）和外设挂接接口三（203c）用于不同设备和数量的挂接，实现区分不同网域可信接入设备的类型、数量和设备身份标识。

5.如权利要求1所述的接入虚拟化桌面的多域切换系统的多域切换方法，它包括依次连接的多域终端系统（100）、多域切换开关（200）、远程桌面身份认证（300）和远程桌面（400），多域切换开关（200）包括依次连接的多域模块（201）、网络认证网卡接口（202）、外设挂接控制（203）、数据控制（204）和登录认证控制（205），其方法步骤为：

多域终端系统（100）发出登录远程桌面（400）的申请；

多域切换开关（200）接收到登录申请，并在多域切换开关（200）内部传输流程：

接到登录申请的多域模块（201）根据存储的路径设置判断数据流向网络认证网卡接口（202）中的哪一个网卡接口，同时切断另两个网卡接口通道；

由选择的网卡接口将登录申请和由网络认证网卡接口（202）提交的所属网络分类记录传递到外设挂接控制（203），外设挂接控制（203）根据预先存储的相应网络分类记录所对应的设备挂接权限进行设备挂接控制；

数据控制（204）对数据进行流向控制，判断数据是否可以导入或者导出；

登录认证控制（205）判断登录请求信息，并转发登录请求和数据控制（204）转发的数据到远程桌面身份认证（300）；

远程桌面身份认证（300）对接收到的各种信息进行认证登录，如果符合要求，则将通过登录的授权转发给远程桌面（400），远程桌面（400）提供远程桌面给多域终端系统（100）。

Images