備份中心機房遠程集中控制KVM系統(tǒng)方案設(shè)計

1、xxxxxxx機房遠程集中控制KVM系統(tǒng)方案設(shè)計根據(jù)xxxxxxx中心機房具體情況，機房內(nèi)現(xiàn)有64臺各種型號的PC服務(wù)器需在遠程監(jiān)控中心通過TCP/IP進行操作訪問。控制信號及監(jiān)控信號可引至監(jiān)控室，采用監(jiān)控室背投設(shè)備切換視頻。同時考慮管理用戶訪問的特殊性要求在機房內(nèi)留有本地控制臺方便用戶進入機房對服務(wù)器進行操作管理。所有遠程管理用戶登陸服務(wù)器訪問之前必須經(jīng)過中央集中認證，認證通過后才能訪問其權(quán)限內(nèi)的服務(wù)器，沒有權(quán)限的服務(wù)器無法顯示在其操作接口上。所以本方案充分考慮了機房內(nèi)所有服務(wù)器、交換機和路由器管理的集中性、用戶管理的安全性、用戶操作的規(guī)范性、系統(tǒng)的實用性以及將來機房服務(wù)器和網(wǎng)絡(luò)設(shè)備數(shù)量的擴

2、展性設(shè)計而成。1. 系統(tǒng)設(shè)計原則采用最先進的成熟產(chǎn)品，系統(tǒng)兼顧成熟性與先進性開放性和標(biāo)準(zhǔn)化可擴充性安全性與可靠性實用性，適應(yīng)用戶實際應(yīng)用環(huán)境2. 系統(tǒng)總體設(shè)計方案2.1.方案系統(tǒng)配置型號品牌產(chǎn)品描述數(shù)量DSR2035AVOCENT2IP、1本地通道(帶modem口）,支持VM功能，32接口，機架式2EV200DATCENTCATX.視頻補償(300m)支持USB,PS2計算機接口,控制端USB,PS2鍵盤鼠標(biāo)1DSAVIQ-USB2AVOCENT服務(wù)器接口線纜，VGA、USB鍵盤/鼠標(biāo)，USB2.0，支持虛擬媒體功能64DSView3-swAVOCENT集中認證軟件12.2.方案拓撲圖23.方

3、案設(shè)計說明1) 方案概述考慮到xxxxxx機房的具體情況，我們設(shè)計采用2臺支持1個本地信道、2個IP信道、32端口的DSR2035數(shù)字交換機實現(xiàn)對所有的服務(wù)器進行連接管理；本系統(tǒng)最大可以支持4個并發(fā)IP操作管理用戶通過TCP/IP同時操作訪問機房內(nèi)所有的服務(wù)器。同時DSR2035數(shù)字交換機還可以提供1個本地操作終端方便管理用戶進入機房在機架旁操作管理其所連接的被控服務(wù)器，并且通過1臺EV200將DSR2035的本地端延長至監(jiān)控室，采用監(jiān)控室背投設(shè)備切換視頻。在特殊情況下，DSR2035數(shù)字交換機還可以支持外接Modem撥號訪問。2) 方案實現(xiàn)64臺PC服務(wù)器每臺設(shè)備的USB接口和顯卡接口都直接

4、連接一根DSAVIQ-USB2服務(wù)器接口線纜攫取鍵盤、鼠標(biāo)和視頻信號；DSAVIQ-USB2服務(wù)器接口線纜再通過普通五類線連接到DSR2035數(shù)字交換機的32個被控主機端口；DSR2035數(shù)字交換機的本地控制端直接連接一套鍵盤、鼠標(biāo)和顯示器在機架旁操作管理其所連接的服務(wù)器；DSR2035數(shù)字交換機的網(wǎng)絡(luò)口通過普通五類線連接到網(wǎng)絡(luò)交換機，提供遠程管理用戶通過TCP/IP進行操作管理。另外，提供一臺服務(wù)器用于安裝DSView3集中認證管理軟件，其中一臺作為主認證服務(wù)器（HUB），一臺為分支認證服務(wù)器（SPOKE）。通過DSView3集中認證管理軟件管理DSR2035數(shù)字交換機以及下面所連接的所有服

5、務(wù)器設(shè)備。遠程IP操作管理用戶只需要在其計算機的Web瀏覽器內(nèi)輸入DSView3認證服務(wù)器的IP地址經(jīng)過權(quán)限認證后即可對機房內(nèi)的所有的服務(wù)器進行集中統(tǒng)一管理。不同的IP用戶只需要通過簡單的用戶分組和權(quán)限設(shè)置后就可以對機房內(nèi)所有的DSR2035數(shù)字交換機下面連接的被控服務(wù)器進行操作訪問，實現(xiàn)最小化訪問權(quán)限控制。實現(xiàn)從單點技術(shù)管理、普通系統(tǒng)管理、區(qū)域本地管理過渡到全面集中管理、安全系統(tǒng)管理和遠程控制管理。3) 方案功能控制用戶：本系統(tǒng)最大可以提供4個遠程IP操作管理用戶同時進行登陸訪問，每1個遠程IP操作管理用戶通過TCP/IP可以對所有的服務(wù)器進行集中統(tǒng)一管理，還可以根據(jù)不同的使用權(quán)限控制不同的

6、被控設(shè)備。另外，DSR2035數(shù)字交換機還提供了1個本地控制臺方便管理用戶進入機房內(nèi)對服務(wù)器進行操作訪問；切換方式：遠程IP用戶只需要在本機的WEB瀏覽器內(nèi)輸入DSView3認證服務(wù)器的IP地址通過權(quán)限認證后就可以對所有的被控服務(wù)器進行集中統(tǒng)一管理，所有用戶的操作管理都可以由鼠標(biāo)、鍵盤來完成，不但支持自動掃描功能，還具有分屏顯示功能，能支持1屏顯示多達幾十臺服務(wù)器畫面，監(jiān)視不同系統(tǒng)的運行狀態(tài)；實用性：DSR2035數(shù)字交換機采用1U、19標(biāo)準(zhǔn)可上機架式設(shè)計，支持包括PS/2、SUN、USB服務(wù)器、各種終端服務(wù)器和網(wǎng)絡(luò)設(shè)備，支持服務(wù)器的最大分辨率本地端可達1600x1280 75Hz，遠程IP端

7、最大可達1280x1024 75Hz。畫面色彩支持16位真彩顯示，而且用戶在連接的不同分辨率服務(wù)器之間切換時，畫面能夠自動調(diào)節(jié)視頻大小，無需人工手動調(diào)節(jié)。而且畫面支持全屏幕顯示功能和自動縮放功能，用戶可以根據(jù)需要任意縮放屏幕大??；連接線纜：本方案全部采用普通五類線連接，而且支持CAT5、CAT5e和CAT6類線，且網(wǎng)線品牌不限，可以支持對機房內(nèi)原有網(wǎng)線、配線架的充分合理利用，不浪費原有資源。遠程IP用戶通過TCP/IP操作訪問沒有時間、距離和空間的限制；自動視頻信號補償：DSRIQ服務(wù)器接口線纜帶有DDC2B視頻自動補償功能，可以補償從服務(wù)器端到DSR2035數(shù)字交換機端在雙絞線傳輸中衰減的視

8、頻信號，無需人工調(diào)節(jié)和視頻調(diào)節(jié)，自動滿屏幕顯示；可管理性：所有對DSR2035數(shù)字交換機、被控服務(wù)器和不同IP用戶的命名、編碼、分組和權(quán)限設(shè)置都可以通過Web瀏覽器在xxx認證服務(wù)器上操作完成，所有設(shè)置的詳細信息都將存儲在xxx認證服務(wù)器上，而且所有用戶對系統(tǒng)的操作都將作為日志可以被詳細記錄下來，操作更加簡單、直觀；系統(tǒng)安全性：本系統(tǒng)最大可以支持1個xxx HUB主認證服務(wù)器和多達15個Spoke分支認證服務(wù)器同步工作，可以做到數(shù)據(jù)同步、負載均衡，減少了網(wǎng)絡(luò)阻塞率，降低單臺認證服務(wù)器的故障而造成整個系統(tǒng)的安全隱患；DSView HUB主認證服務(wù)器和Spoke分支認證服務(wù)器內(nèi)存儲所有登錄用戶身份

9、的權(quán)限、拓樸結(jié)構(gòu)和每個設(shè)備的關(guān)聯(lián)信息，而且所有系統(tǒng)的詳細信息都可以通過任務(wù)定制，還可以MAIL的形式定期的轉(zhuǎn)發(fā)給管理員以備故障審核；可靠性：具備斷電保護功能，所有對被控服務(wù)器編輯的信息都存儲在xxx上，而不是存儲在xxx數(shù)字交換機的每一個埠上，所以在xxx數(shù)字交換機故障時仍能保證所連接的被控設(shè)備正常工作，只需要換上相應(yīng)的備件、連接好網(wǎng)線就可以正常工作，不需要對服務(wù)器進行任何操作，而且原有的設(shè)置都沒有改變，系統(tǒng)能夠自動識別和添加新設(shè)備；系統(tǒng)還支持通過任務(wù)的形式定期備份數(shù)據(jù)，大大提高了系統(tǒng)的可靠性；支持虛擬媒體功能：遠程IP操作用戶可以在其操作的計算機上將其主機上的光驅(qū)、移動硬盤、IOS文件甚至其

10、它媒體設(shè)備虛擬到機房內(nèi)的被控服務(wù)器上，進行數(shù)據(jù)移植、拷貝，甚至還可以支持DOS下的遠程光盤啟動，為服務(wù)器遠程安裝操作系統(tǒng)。其完全獨立于網(wǎng)絡(luò)接口的數(shù)據(jù)傳輸，不影響被控設(shè)備網(wǎng)絡(luò)接口的使用，不占用接口帶寬；支持域功能：系統(tǒng)可以支持管理員按照公司分布架構(gòu)和不同的部門劃分不同的用戶和對應(yīng)設(shè)備的管理功能，清晰的定義公司的管理和分布架構(gòu)；擴展性：可滿足將來服務(wù)器的擴展性，xxx換機相互之間獨立工作，不存在任何干擾。當(dāng)被控服務(wù)器數(shù)量超過64臺即可以通過增加一臺xxx換機實現(xiàn)擴容，而且所有數(shù)字設(shè)備均使用“即插即用”技術(shù)系統(tǒng)能夠自動識別設(shè)備的增加和變化，管理員可以為新增加的設(shè)備、服務(wù)器命名和定義權(quán)限，而且通過xx

11、x認證服務(wù)器可以把新增加的數(shù)字交換機管理設(shè)備添加到原有的系統(tǒng)中，實現(xiàn)新老系統(tǒng)的完美結(jié)合，配置簡單，配置好后即可投入正常應(yīng)用；升級能力：本系統(tǒng)中所有數(shù)字交換機以及集中控制管理軟件都可以升級其版本，并且系統(tǒng)還可以通過訂制任務(wù)，讓其周期性的對數(shù)字交換機做版本升級，而且支持本地和遠程升級。3. 方案產(chǎn)品簡介3.1 集中控管系統(tǒng)a)支持多平臺服務(wù)器系統(tǒng)認證，如：Microsoft Windows NT Server、Microsoft Windows 2000 Server / Advanced Server（最新服務(wù)包）、Microsoft Windows XP Prof / Home（Server

12、Pack2 或更高）、Microsoft Windows Server 2003 Standard /Enterprise和 Web版、Red Hat Enterprise Linux，第 3 或第 4 版（AS、ES 和 WS 產(chǎn)品）、 Sun Solaris SPARC 9 和 10、Novell SUSE Linux (x86) Enterprise 8 和9；b)采用分布式集中認證管理系統(tǒng)構(gòu)架，支持1個HUB主認證服務(wù)器和多達15個SPOKE分支認證服務(wù)器同時工作，實現(xiàn)數(shù)據(jù)同步、負載均衡，減輕網(wǎng)絡(luò)和單臺認證服務(wù)器的負擔(dān)；Hub/Spoke結(jié)構(gòu)圖c)支持DES、3DES、128 位SSL

13、和AES四種加密算法，并且用戶可以根據(jù)使用環(huán)境的不同選擇對鍵盤、鼠標(biāo)和視頻信號中的一種或全部進行加密，確保用戶數(shù)據(jù)安全傳輸，同時提高網(wǎng)絡(luò)的訪問速度；d)系統(tǒng)能夠自動識別新添加的被控設(shè)備，并且可以在屏顯示出所連接的設(shè)備名稱、對應(yīng)的端口號，無須人工手動添加，支持本地和遠程服務(wù)器名稱同步、抽取和推送，支持網(wǎng)絡(luò)拓撲自動更新，還可以顯示連接的服務(wù)器狀態(tài)（在線、離線、正在使用、無法使用），允許多個用戶實時且互不干擾地訪問不同的連接設(shè)備；e)支持IP用戶各種模式的接入操作，如：視頻共享模式、獨占模式、隱身模式；f)系統(tǒng)可以支持對DSR數(shù)字交換機、被控設(shè)備和訪問用戶進行分組、分類管理，而且系統(tǒng)不但能夠單獨建立

14、用戶賬號、口令和權(quán)限設(shè)置，還可以支持與Active Directory 、LDAP、Radius、RSA SexureID、TACACS+ and Windows NT Domain等多種外部用戶安全驗證方式一起結(jié)合使用；外部認證設(shè)置g)系統(tǒng)可以支持定義“退出宏”功能，確保操作人員在關(guān)閉KVM連接窗口時，可以安全地退出主機系統(tǒng)，用戶再次連接時必須再次進行驗證、登錄，防止用戶操作疏忽留下系統(tǒng)訪問漏洞，加強用戶訪問的安全性；xxx“退出宏”設(shè)置h)系統(tǒng)可以支持IP地址限制功能，可以屏蔽部分非法IP地址列表的訪問，加強網(wǎng)絡(luò)訪問的安全性；IP地址限制功能i)支持“PROXY”代理功能，避免外網(wǎng)用戶訪問

15、內(nèi)網(wǎng)系統(tǒng)時在防火墻上開設(shè)大量的端口映射，節(jié)省公網(wǎng)IP地址，同時減少各種外部攻擊；j)支持擴展瀏覽器，如：Firefox 1.0版本及更高 、Mozilla 1.7.3版本及更高、Netscape 7.2版本及更高等； k)支持第三方Telnet瀏覽，如：Putty、SSH Secure SSL、Secure CRT等；l)支持SSH公共密鑰和私有密鑰； m)支持各種嵌入式設(shè)備，如：IBM ASM RSA II、DELL DRAC 4、Compaq iLO1和NEC IPF等結(jié)合使用；n)系統(tǒng)具有詳細的日志記錄和管理功能，可以把所有用戶登錄、操作記錄、系統(tǒng)設(shè)備升級記錄、詳細任務(wù)記錄等全部記錄下來

16、，以文件的格式導(dǎo)出，還可以以郵件的方式定期發(fā)送給管理員以備故障核查；xxx日志管理o)支持多種不同訪問用戶組的設(shè)定，如：DSView管理員組、設(shè)備管理員組、用戶管理員組、日志記錄員組以及普通用戶組，同一用戶組還可以設(shè)定1、2、3、4四種不同的用戶訪問等級，細化用戶管理權(quán)限；p)支持監(jiān)控窗口全屏幕顯示功能；q)支持監(jiān)控窗口自適應(yīng)功能，用戶可以根據(jù)需要自動縮放視頻窗口，無需人工手動調(diào)節(jié)；r)支持分屏幕顯示功能，用戶可以在一個屏幕上顯示多達幾臺、甚至幾十臺被控設(shè)備畫面；分屏幕顯示功能s)支持計劃任務(wù)自定義功能，如：備份DSView數(shù)據(jù)庫和系統(tǒng)文件、控制目標(biāo)設(shè)備的電源、遷移設(shè)備、為選定的裝直升級固件等

17、，可以設(shè)定任務(wù)讓其在一個特定時間內(nèi)周期性運行，無須人為干預(yù)，減少管理人員的工作量；t)支持SNMP協(xié)議，還可以和網(wǎng)管軟件，如：HP OPENVIEW一起結(jié)合使用；u)支持IPMI功能，可對服務(wù)器硬件如CPU溫度、風(fēng)扇轉(zhuǎn)速、主板電流電壓等參數(shù)進行實時監(jiān)測。v)系統(tǒng)采用人性化設(shè)計，可以定義九種不同用戶界面風(fēng)格。4. 推薦方案推薦方案概述根據(jù)系統(tǒng)的總體規(guī)劃，我方推薦采用DSA集中審計系統(tǒng)和動態(tài)雙因數(shù)認證系統(tǒng)，提高本系統(tǒng)的高安全、高可靠性，為機房主機系統(tǒng)的維護提供便捷，為機房主機的遠程訪問安全保駕護航。推薦方案設(shè)計采用1臺DSA1000集中審計系統(tǒng)和1套安盟動態(tài)雙因數(shù)認證系統(tǒng)。DSA集中操作審計系統(tǒng)可

18、全程記錄KVM遠程客戶端在對被控設(shè)備遠程操作時的操作畫面，用以規(guī)范操作人員的行為。不但可及時發(fā)現(xiàn)常見的、無意的誤操作，可進行事后分析與糾正，更可以對操作人員的惡意操作行為進行追溯，提供出惡意操作的第一手證據(jù)。安盟動態(tài)雙因數(shù)認證系統(tǒng)可與DSView集中認證系統(tǒng)完美結(jié)合，用戶需要輸入用戶名及由安盟身份認證設(shè)備生成的用來代替密碼的令牌代碼和外一個PIN號碼，由代理軟件傳輸給安盟身份認證服務(wù)器，如果信息有效，安盟身份認證服務(wù)器將允許用戶訪問。用戶將被授予與其通行證等級相對應(yīng)的訪問權(quán)限，這一權(quán)限被安盟身份認證服務(wù)器記錄在日志文件中。DSA集中審計系統(tǒng)和安盟動態(tài)雙因數(shù)認證系統(tǒng)，為本系統(tǒng)提供了高安全、高可靠

19、性。推薦方案設(shè)備清單產(chǎn)品產(chǎn)品描述數(shù)量備注Xxx集中審計系統(tǒng)，5個錄制并發(fā)數(shù)、2個并發(fā)回放數(shù)、300G硬盤1Xxx雙因數(shù)認證系統(tǒng)，25個硬件令牌（含身份認證服務(wù)器軟件包）1推薦方案實現(xiàn)本推薦方案與KVM集中控管系統(tǒng)可完美的無縫整合，xxx集中審計系統(tǒng)和安盟動態(tài)雙因數(shù)認證系統(tǒng)的工作狀態(tài)與否不會影響KVM集中控管系統(tǒng)的正常運行。本推薦方案中采用1臺xxx集中審計系統(tǒng)和1套xxx雙因數(shù)認證系統(tǒng)，兩套系統(tǒng)只需對其進行相關(guān)的網(wǎng)絡(luò)配置后將其網(wǎng)絡(luò)端口通過雙絞線連接到交換網(wǎng)中即可。集中審計系統(tǒng)特點集中審計系統(tǒng)1、 部署簡單：不用改變原有數(shù)據(jù)中心集中控管解決方案網(wǎng)絡(luò)架構(gòu)，可與DSR數(shù)據(jù)中心集中控管系統(tǒng)實現(xiàn)無縫結(jié)合

20、。2、 支持多窗口錄像：DSA數(shù)據(jù)中心集中控管審計系統(tǒng)可以實現(xiàn)對多個窗口對象同時進行錄像數(shù)據(jù)的采集，保證每個窗口錄像數(shù)據(jù)的完整性。3、 篩選錄像：可以根據(jù)用戶需要，選擇操作用戶和被控服務(wù)器進行監(jiān)管，在全面監(jiān)管的基礎(chǔ)上又能實現(xiàn)定制監(jiān)管。4、 畫面品質(zhì)：錄制畫面清晰流暢，支持8-25幀/秒，最大分辨率支持12801024畫面。5、 播放簡單：支持網(wǎng)頁直接播放，并支持多路并發(fā)遠程播放與托拽。6、 Web式管理：采用Web界面設(shè)置和管理，無需安裝其他軟件。7、 查詢與檢索：檢索和查看錄制數(shù)據(jù)可根據(jù)用戶名、時間、被控服務(wù)器名等要素進行，支持組合查詢與關(guān)鍵字段排序。8、 循環(huán)錄制：支持循環(huán)錄制，按20路錄

21、像機算，160G硬盤可至少保留7天數(shù)據(jù)，320G硬盤可至少保留15天數(shù)據(jù)。9、 存儲擴展性：除了DSA主機自身存儲硬盤外，可根據(jù)實際需求外接擴展存儲設(shè)備。支持SCSI存儲、eSATA存儲、iSCSI網(wǎng)絡(luò)存儲等多種存儲方式。10、 系統(tǒng)安全性高：系統(tǒng)采用專門設(shè)計的嵌入式硬件平臺，安全可靠，無病毒侵擾之憂。雙因數(shù)認證系統(tǒng)特點Xxxxxxxxxxxxxxxxxx認證系統(tǒng)身份認證：多種應(yīng)用統(tǒng)一認證平臺在企業(yè)信息網(wǎng)的所有重要的服務(wù)器、網(wǎng)絡(luò)設(shè)備、OA、公文交換、信息庫訪問、WEB應(yīng)用上使用雙因素動態(tài)口令認證系統(tǒng)，其認證服務(wù)器可以安裝在Windows 2000/2003、HP-UX、AIX、Solaris等

22、平臺。認證服務(wù)器支持負載均衡以應(yīng)付大量身份認證請求。在部分應(yīng)用中，由應(yīng)用軟件開發(fā)商進行二次開發(fā)，加入對雙因素動態(tài)口令認證系統(tǒng)的支持，實現(xiàn)多種應(yīng)用統(tǒng)一認證平臺.雙因素身份認證系統(tǒng)組件身份認證系統(tǒng)由安盟身份認證服務(wù)器、身份認證代理、認證設(shè)備以及認證應(yīng)用編程接口（API）組成。Xxxx認證服務(wù)器在身份認證解決方案中，身份認證服務(wù)器軟件是網(wǎng)絡(luò)中的認證引擎，由安全管理員或網(wǎng)絡(luò)管理員進行維護，可以實現(xiàn)以下功能：企業(yè)認證：身份認證服務(wù)器只允許能夠提供無法猜測和復(fù)制的令牌代碼以及靜態(tài)PIN碼的用戶接入系統(tǒng)，這將在極大程度上保證登錄的用戶確實為授權(quán)的個體，大大降低了攻擊和非法訪問的風(fēng)險。即使是擁有上萬用戶和多個辦公室的企業(yè)網(wǎng)絡(luò)，仍能受到安盟身份認證服務(wù)器的保護，該軟件的跨區(qū)域功能還支持對旅行到本區(qū)域以外的員工進行認證。訪問控制：身份認證服務(wù)器允許用戶定義合適的安全策略，可以有效保護對專用網(wǎng)絡(luò)系統(tǒng)、文件及應(yīng)用的訪問，其中包括可以根據(jù)每天的時間、周幾或根據(jù)小組或用戶定義的權(quán)限來確定訪問權(quán)限。規(guī)避攻擊：黑客會使用各種無法預(yù)料的方法來接入網(wǎng)絡(luò)。身份認證服務(wù)器可以識別威脅情況，然后報告給UNIX系統(tǒng)日志或Windows NT事件日志。例如，當(dāng)有人多次試圖接入遠程訪問端口、數(shù)據(jù)文件或防火墻時，身份認證服務(wù)器會向系統(tǒng)管理員發(fā)出報警，幫助發(fā)現(xiàn)并在導(dǎo)