一種虛擬機遠程桌面安全訪問系統及方法
2023-09-12 00:12:05 1
一種虛擬機遠程桌面安全訪問系統及方法
【專利摘要】一種虛擬機遠程桌面安全訪問系統及方法，所述系統包括：用戶遠程桌面請求處理模塊，用於用戶遠程桌面連接的請求處理；遠程桌面代理虛擬機池管理模塊，用於遠程桌面代理虛擬機的分配與管理；遠程桌面代理虛擬機代理轉發模塊，用於用戶遠程桌面請求的轉發，屏蔽底層真實物理機IP與埠；遠程桌面代理虛擬機代理埠分配與回收模塊，用於遠程桌面代理虛擬機轉發埠的分配與回收；伺服器模塊，用於實現虛擬機遠程桌面訪問。本發明通過每次給用戶分配代理伺服器地址和隨機埠，使用代理轉發技術實現遠程虛擬機桌面的訪問，達到對用戶隱藏實際物理機地址與埠信息，用戶使用的地址與埠隨機生成與變化，保證雲平臺與雲用戶虛擬機的安全。
【專利說明】一種虛擬機遠程桌面安全訪問系統及方法
【技術領域】
[0001]本發明涉及虛擬機遠程桌面安全訪問技術，特別是涉及一種虛擬機遠程桌面安全訪問系統及方法。
【背景技術】
[0002]在當今的雲計算應用中，桌面虛擬化作為用戶與虛擬機桌面的紐帶，在應用中起著舉足輕重的作用。桌面虛擬化主要體現為基於虛擬機的遠程桌面技術，常見的遠程桌面技術有VNC (英文Virtual Network Computing的縮寫，中文是虛擬網絡計算機的縮寫)遠程桌面、Spice 遠程桌面等。SPICE (Simple Protocol for Independent ComputingEnvironment)是Red Hat收購Qumranet後獲得虛擬技術。SPICE能用於在伺服器和遠程計算機如桌面和瘦客戶端設備上部署虛擬桌面。基於虛擬機的遠程桌面實現通常基於虛擬機宿主物理機搭建桌面伺服器，雲用戶使用客戶端基於特定協議連接伺服器，實現虛擬機遠程桌面的訪問。在此過程中，雲用戶直接使用到虛擬機所在宿主物理機的IP位址、埠等信息，宿主物理機地址信息的暴露，給雲平臺系統造成很大的安全隱患，給雲平臺其他虛擬機用戶帶來安全威脅。宿主物理機地址與埠的固定也給當前用戶造成安全隱患，遠程地址與埠固定，一旦洩漏，有可能被他人非法使用。
[0003]如何在保證遠程桌面訪問質量的前提下提高訪問的安全性、確保用戶訪問安全成為桌面虛擬化的重要內容。
【發明內容】
[0004]本發明的目的在於克服現有技術的不足，提供一種虛擬機遠程桌面安全訪問系統及方法，保證雲平臺與雲用戶虛擬機的安全。
[0005]為了達到上述目的，本發明採用的技術方案是:
一種虛擬機遠程桌面安全訪問系統，所述系統基於雲平臺管理伺服器、遠程桌面代理虛擬機管理伺服器及雲平臺計算節點物理機，所述系統包括:
用戶遠程桌面請求處理模塊，設置於雲平臺管理伺服器上，用於用戶遠程桌面連接的請求處理；
遠程桌面代理虛擬機池管理模塊，設置於雲平臺管理伺服器上，用於遠程桌面代理虛擬機的分配與管理；
遠程桌面代理虛擬機代理轉發模塊，設置於遠程桌面代理虛擬機管理伺服器上，用於用戶遠程桌面請求的轉發，屏蔽底層真實物理機IP與埠 ；
遠程桌面代理虛擬機代理埠分配與回收模塊，設置於遠程桌面代理虛擬機管理伺服器上，用於遠程桌面代理虛擬機轉發埠的分配與回收；
伺服器模塊，設置於雲平臺計算節點物理機，用於實現虛擬機遠程桌面訪問。
[0006]進一步的，所述用戶遠程桌面請求處理模塊包括:
權限驗證單元，用於對用戶使用權限的驗證； 請求處理單元，用於發起通過權限驗證的用戶的遠程桌面連接的請求。
[0007]所述遠程桌面代理虛擬機池管理模塊包括:
分配單元，用於根據系統(指遠程桌面代理虛擬機池管理系統，也就是遠程桌面代理虛擬機池管理模塊)配置分配預設初始數量的遠程桌面代理虛擬機備用，處理用戶遠程桌面連接請求，每個遠程桌面代理虛擬機配置處理預定數量的遠程桌面請求；
管理單元，用於當遠程桌面連接數大於設定值時，使用新的遠程桌面代理虛擬機，當預設的初始遠程桌面代理虛擬機數量不夠時，分配新的遠程桌面代理虛擬機。
[0008]所述遠程桌面代理虛擬機代理轉發模塊包括:
轉發單元，用於用戶遠程桌面請求的轉發；
屏蔽單元，用於屏蔽底層真實物理機IP (地址)與埠。
[0009]所述遠程桌面代理虛擬機代理埠分配與回收模塊包括:
分配單元，用於當有遠程桌面連接時，隨機分配埠供轉發模塊使用並連接到虛擬機遠程桌面；
回收單元，用於當用戶中斷遠程桌面連接時，回收代理埠，定時監聽用戶遠程桌面連接，捕捉非正常關閉遠程桌面客戶端。
[0010]所述的非正常關閉遠程桌面客戶端包括直接關機、主機斷電或網絡中斷。
[0011]所述遠伺服器模塊為Spice伺服器模塊，用於實現基於Spice協議的虛擬機遠程桌面訪問。
[0012]所述Spice伺服器模塊為每個虛擬機開放一個埠用於遠程訪問，且Spice伺服器配置為TLS (英文Transport Layer Security的縮寫,安全傳輸層協議)安全模式。
[0013]一種基於所述的虛擬機遠程桌面安全訪問系統的方法，包括如下步驟:
步驟1.用戶通過身份驗證後登陸雲服務平臺的雲平臺管理節點，用戶從雲平臺發起虛擬機遠程桌面請求；
步驟2.雲平臺管理節點處理用戶的虛擬機遠程桌面請求，根據統一配置分配遠程桌面代理虛擬機或使用現有的遠程桌面代理虛擬機，由遠程桌面代理虛擬機代理遠程桌面請求；
步驟3.在遠程桌面代理虛擬機上動態分配埠，供用戶遠程桌面訪問，並代理轉發遠程桌面請求的要訪問的虛擬機所在的計算節點物理機開放的埠；
步驟4.從訪問的虛擬機所在的計算節點物理機返回用戶需要的遠程桌面連接到遠程桌面代理虛擬機；
步驟5.遠程桌面信息從遠程桌面代理虛擬機返回到用戶的遠程桌面客戶端，客戶端訪問動態分配的虛擬機；
步驟6.用戶通過客戶端觀察到虛擬機遠程桌面，並進行桌面操作。
[0014]與現有技術相比，本發明的有益效果是:通過每次給用戶分配代理伺服器地址和隨機埠，使用代理轉發技術實現遠程虛擬機桌面的訪問，達到對用戶隱藏實際物理機地址與埠信息，用戶使用的地址與埠隨機生成與變化，保證雲平臺與雲用戶虛擬機的安全。
【專利附圖】
【附圖說明】[0015]圖1為本發明的系統方框圖；
圖2為本發明的方法流程圖；
圖3為本發明的具體實施例流程圖。
【具體實施方式】
[0016]本發明的主旨在於提供一種虛擬機遠程桌面安全訪問系統及方法，通過Spice協議訪問雲平臺虛擬機，並通過配置Spice的TLS模式實現傳輸內容的保密傳輸，通過動態分配遠程桌面代理虛擬機(簡稱RPVM,英文Remote Proxy Virtual Machine的縮寫)，即用於遠程桌面連接安全控制的虛擬機，實現遠程桌面連接的代理轉發。「遠程桌面代理虛擬機池」管理模塊，用於實現「遠程桌面代理虛擬機」的池化管理，組織系統中的「遠程桌面代理虛擬機」為虛擬機池，當用戶需要虛擬機時，從池中取的虛擬機，用戶使用完畢後，虛擬機歸還給池。實現遠程桌面的代理訪問，對用戶動態開放程桌面代理虛擬機(RPVM)的地址與埠，從而達到對用戶隱藏系統計算節點物理機地址、Spice埠的目的，實現遠程桌面訪問的鏈路地址安全控制。
[0017]下面結合實施例參照附圖進行詳細說明，以便對本發明的技術特徵及優點進行更深入的詮釋。
[0018]本發明的系統方框圖如圖1所示，一種虛擬機遠程桌面安全訪問系統，所述系統基於雲平臺管理伺服器、遠程桌面代理虛擬機管理伺服器及雲平臺計算節點物理機。雲平臺管理伺服器:雲平臺管理伺服器是雲計算作業系統平臺的管理伺服器，主要用於整個雲平臺資源的管理和用戶請求的處理，例如本技術中提到的RPVM (Remote Proxy VirtualMachine)池管理與用戶遠程桌面請求的管理。遠程桌面代理虛擬機管理伺服器:雲作業系統平臺中用來實現與管理RPVM池、遠程桌面請求代理轉發功能的伺服器。雲平臺計算節點物理機:雲作業系統平臺中用來創建虛擬機的物理機，為雲平臺提供物理資源。
[0019]所述系統包括:
用戶遠程桌面請求處理模塊，設置於雲平臺管理伺服器上，用於用戶遠程桌面連接的請求處理。所述用戶遠程桌面請求處理模塊包括:權限驗證單元，用於對用戶使用權限的驗證，權限驗證單元是為了進一步保證用戶的安全，確保是用戶自己操作該請求；請求處理單元，用於發起通過權限驗證的用戶的遠程桌面連接的請求。一般在雲平臺管理伺服器上設置雲平臺管理節點，當有用戶登陸時，需要身份驗證，例如設置權限，權限密碼，用戶驗證成功後才可登陸雲平臺管理節點，然後從雲平臺管理節點發起虛擬機遠程桌面請求。用戶首先需要通過雲平臺管理伺服器的權限驗證才能發起遠程桌面連接請求，保證遠程桌面的安全性。
[0020]遠程桌面代理虛擬機池管理模塊，設置於雲平臺管理伺服器上，用於遠程桌面代理虛擬機的分配與管理。所述遠程桌面代理虛擬機池管理模塊包括:分配單元，用於根據系統(此處的系統，即遠程桌面代理虛擬機池管理系統，也就是遠程桌面代理虛擬機池管理模塊。)配置分配預設初始數量的遠程桌面代理虛擬機備用，處理用戶遠程桌面連接請求，每個遠程桌面代理虛擬機配置處理預定數量的遠程桌面請求；管理單元，用於當遠程桌面連接數大於設定值時，使用新的遠程桌面代理虛擬機，當預設的初始遠程桌面代理虛擬機數量不夠時，分配新的遠程桌面代理虛擬機。[0021]雲平臺管理節點處理用戶的虛擬機遠程桌面請求，但是並非直接連接虛擬機，而是根據統一配置分配遠程桌面代理虛擬機(RPVM)或使用現有的遠程桌面代理虛擬機(RPVM)，由遠程桌面代理虛擬機(RPVM)代理遠程桌面請求；遠程桌面代理虛擬機(RPVM)的IP位址每次都是動態分配的，用戶遠程桌面請求地址為遠程桌面代理虛擬機(RPVM)的地址，從而達到隱藏要訪問的虛擬機所在的物理機的IP位址的目的。
[0022]在遠程桌面代理虛擬機(RPVM)上動態分配埠，供用戶遠程桌面訪問，並代理轉發遠程桌面請求的要訪問的虛擬機所在的物理機開放的埠，從而達到隱藏真實物理機埠的目的。
[0023]遠程桌面代理虛擬機代理轉發模塊，設置於遠程桌面代理虛擬機管理伺服器上，用於用戶遠程桌面請求的轉發，屏蔽底層真實物理機IP與埠。所述遠程桌面代理虛擬機代理轉發模塊包括:轉發單元，用於用戶遠程桌面請求的轉發；屏蔽單元，用於屏蔽底層真實物理機IP與埠。針對用戶提高RPVM的IP位址和埠，達到遠程桌面鏈路地址安全的目的。
[0024]遠程桌面代理虛擬機代理埠分配與回收模塊，設置於遠程桌面代理虛擬機管理伺服器上，用於遠程桌面代理虛擬機轉發埠的分配與回收。所述遠程桌面代理虛擬機代理埠分配與回收模塊包括:分配單元，用於當有遠程桌面連接時，隨機分配埠供轉發模塊使用並連接到虛擬機遠程桌面；回收單元，用於當用戶中斷遠程桌面連接時，回收代理埠，定時監聽用戶遠程桌面連接，捕捉非正常關閉遠程桌面客戶端。所述的非正常關閉遠程桌面客戶端包括直接關機、主機斷電或網絡中斷。
[0025]伺服器模塊，設置於雲平臺計算節點物理機，用於實現虛擬機遠程桌面訪問。所述遠伺服器模塊為Spice伺服器模塊，用於實現基於Spice協議的虛擬機遠程桌面訪問。所述Spice伺服器模塊為每個虛擬機開放一個埠用於遠程訪問，且Spice伺服器配置為TLS安全模式。為了防止對外暴露物理機真實地址與埠，需要使用代理轉發技術。雲平臺計算節點物理機包括多個虛擬機。
[0026]本發明的方法流程圖如圖2、3所示，一種基於所述的虛擬機遠程桌面安全訪問系統的方法，包括如下步驟:
001.用戶雲服務平臺，即通過身份驗證後登錄雲平臺管理節點；用戶從雲平臺發起虛擬機遠程桌面請求；此時需要用到權限驗證單元進行驗證，驗證成功後通過請求處理單元發起請求；
002.雲平臺管理節點處理用戶的虛擬機遠程桌面請求，但是並非直接連接虛擬機，而是由分配單元根據統一配置分配遠程桌面代理虛擬機(RPVM)或使用現有的遠程桌面代理虛擬機(RPVM)，由遠程桌面代理虛擬機(RPVM)代理遠程桌面請求；遠程桌面代理虛擬機(RPVM)的IP位址每次都是動態分配的，用戶遠程桌面請求地址為遠程桌面代理虛擬機(RPVM)的地址，從而達到隱藏要訪問的虛擬機所在的物理機的IP位址的目的；
003.在遠程桌面代理虛擬機(RPVM)上動態分配埠，供用戶遠程桌面訪問，由轉發單元代理轉發遠程桌面請求的要訪問的虛擬機所在的物理機開放的埠，由屏蔽單元屏蔽底層真實物理機ip與埠，從而達到隱藏真實物理機埠的目的；
004.從訪問的虛擬機所在的物理機返回用戶需要的遠程桌面連接到遠程桌面代理虛擬機(RPVM)； 005.遠程桌面信息從遠程桌面代理虛擬機(RPVM)返回到用戶的遠程桌面客戶端(CS客戶端或者BS客戶端)，客戶端並發直接訪問真實物理機而是訪問動態分配的虛擬機，達到隱藏物理機的目的；
006.用戶通過客戶端觀察到虛擬機遠程桌面，並進行桌面操作。
[0027]通過以上實施例中的技術方案對本發明進行清楚、完整的描述，顯然所描述的實施例為本發明一部分的實施例，而不是全部的實施例。基於本發明中的實施例，本領域普通技術人員在沒有做出創造性勞動前提下所獲得的所有其他實施例，都屬於本發明保護的範圍。
【權利要求】
1.一種虛擬機遠程桌面安全訪問系統，所述系統基於雲平臺管理伺服器、遠程桌面代理虛擬機管理伺服器及雲平臺計算節點物理機，其特徵在於，所述系統包括: 用戶遠程桌面請求處理模塊，設置於雲平臺管理伺服器上，用於用戶遠程桌面連接的請求處理； 遠程桌面代理虛擬機池管理模塊，設置於雲平臺管理伺服器上，用於遠程桌面代理虛擬機的分配與管理； 遠程桌面代理虛擬機代理轉發模塊，設置於遠程桌面代理虛擬機管理伺服器上，用於用戶遠程桌面請求的轉發，屏蔽底層真實物理機IP與埠 ； 遠程桌面代理虛擬機代理埠分配與回收模塊，設置於遠程桌面代理虛擬機管理伺服器上，用於遠程桌面代理虛擬機轉發埠的分配與回收； 伺服器模塊，設置於雲平臺計算節點物理機，用於實現虛擬機遠程桌面訪問。
2.根據權利要求1所述的虛擬機遠程桌面安全訪問系統，其特徵在於，所述用戶遠程桌面請求處理模塊包括: 權限驗證單元，用於對用戶使用權限的驗證； 請求處理單元，用於發起通過權限驗證的用戶的遠程桌面連接的請求。
3.根據權利要求2所述的虛擬機遠程桌面安全訪問系統，其特徵在於，所述遠程桌面代理虛擬機池管理模塊包括: 分配單元，用 於根據系統配置分配預設初始數量的遠程桌面代理虛擬機備用，處理用戶遠程桌面連接請求，每個遠程桌面代理虛擬機配置處理預定數量的遠程桌面請求； 管理單元，用於當遠程桌面連接數大於設定值時，使用新的遠程桌面代理虛擬機，當預設的初始遠程桌面代理虛擬機數量不夠時，分配新的遠程桌面代理虛擬機。
4.根據權利要求3所述的虛擬機遠程桌面安全訪問系統，其特徵在於，所述遠程桌面代理虛擬機代理轉發模塊包括: 轉發單元，用於用戶遠程桌面請求的轉發； 屏蔽單元，用於屏蔽底層真實物理機IP與埠。
5.根據權利要求4所述的虛擬機遠程桌面安全訪問系統，其特徵在於，所述遠程桌面代理虛擬機代理埠分配與回收模塊包括: 分配單元，用於當有遠程桌面連接時，隨機分配埠供轉發模塊使用並連接到虛擬機遠程桌面； 回收單元，用於當用戶中斷遠程桌面連接時，回收代理埠，定時監聽用戶遠程桌面連接，捕捉非正常關閉遠程桌面客戶端。
6.根據權利要求5所述的虛擬機遠程桌面安全訪問系統，其特徵在於:所述的非正常關閉遠程桌面客戶端包括直接關機、主機斷電或網絡中斷。
7.根據權利要求6所述的虛擬機遠程桌面安全訪問系統，其特徵在於:所述遠伺服器模塊為Spice伺服器模塊，用於實現基於Spice協議的虛擬機遠程桌面訪問。
8.根據權利要求7所述的虛擬機遠程桌面安全訪問系統，其特徵在於:所述Spice伺服器模塊為每個虛擬機開放一個埠用於遠程訪問，且Spice伺服器配置為TLS安全模式。
9.一種基於權利要求1-8中任一項所述的虛擬機遠程桌面安全訪問系統的方法，其特徵在於，包括如下步驟:步驟1.用戶通過身份驗證後登陸雲服務平臺的雲平臺管理節點，用戶從雲平臺發起虛擬機遠程桌面請求； 步驟2.雲平臺管理節點處理用戶的虛擬機遠程桌面請求，根據統一配置分配遠程桌面代理虛擬機或使用現有的遠程桌面代理虛擬機，由遠程桌面代理虛擬機代理遠程桌面請求； 步驟3.在遠程桌面代理虛擬機上動態分配埠，供用戶遠程桌面訪問，並代理轉發遠程桌面請求的要訪問的虛擬機所在的計算節點物理機開放的埠； 步驟4.從訪問的虛擬機所在的計算節點物理機返回用戶需要的遠程桌面連接到遠程桌面代理虛擬機； 步驟5.遠程桌面信息從遠程桌面代理虛擬機返回到用戶的遠程桌面客戶端，客戶端訪問動態分配的虛擬機； 步驟6.用戶通過 客戶端觀察到虛擬機遠程桌面，並進行桌面操作。
【文檔編號】H04L29/06GK103618752SQ201310694056
【公開日】2014年3月5日 申請日期:2013年12月18日 優先權日:2013年12月18日
【發明者】黃井優, 蕭暢成, 範海生, 任伏虎, 王晉年, 向紹緒, 凌厚文 申請人:廣東中科遙感技術有限公司