1、移动警务云应用服务平台方案doc公安移动警务系统云应用服务平台建设方案广州尚融网络科技有限公司广州上云信息技术有限公司2013年1月1 概述1.1 需求分析随着公安系统各级部门信息化建设的深入，职能部门的办公、办案越来越多的依赖于信息系统，公安系统流程也日益规范化。然而当工作流程中某个处理人员不在办公室时，流程就会因此搁置。为了有效提高公安系统职能部门的工作效率，移动办公需求也更加突出。公安系统作为政府关键的职能部门，结构庞大，办公人员众多，组织机构比较复杂，其内部信息化系统尤其是应用系统非常地复杂。从省到地市、到县甚至到基层都有下属分支机构，其办公终端的标准化程度也不可避免地有着相当的差异。
2、正是因为这样，我们在实施移动办公系统的时候就要做诸多细致的考虑。首先，我们做分析，看一看到底是哪些人员对移动办公最迫切。可以大概分为两类：第一类是领导管理层。领导主要是进行审批需求，而且公司领导出差和开会的频次非常高。第二类是一线办案、基层警员。一线办案、基层警员主要是使用应用系统和专业系统，一线办案、基层警员在给群众提供服务和外出办案的时候需要使用各种系统查询数据。通常在办公室使用，他们的移动性较差。但这些警员办公自动化的标准非常低。尤其是到了县级以下的机构，终端的情况是非常糟糕的。在这个基础上警员的办公环境非常复杂。没有统一的标准，而且办公环境从终端到展现，一直到浏览器、系统等四个方面来说
3、都是非常复杂的。信息化部门来实施移动项目的时候，我们会遇到终端的问题、标准化问题、应用接入防护需求的问题，网络环境等问题。警务综合系统、情报分析、各类情报查询系统作为公安办案的工具和利器，其重要性毋庸置疑。随着网络信息的不断发展以及案件侦破工具和手段的不断进步，警务系统的网络建设也正面临着业务需求从静态到动态、从低速到高效的转变。然而在网络安全威胁日益严重的今天，系统的使用和数据安全却是一个不容忽视的重要问题，只有为数据及操作提供一个极为安全的解决方案，警务系统的灵活高效应用才能成为可能。如何有效地实现对现有系统整合，在提高系统信息的安全的同时，又能顺应信息发展的趋势，使原来只能在固定办公室专
4、人专用的系统能够安全、快速地部署在任何需要的地方，能够在各种不同终端上安全、便捷地使用，使有限的警力资源能够得到更合理、充分地使用和分配，采用和引进新的技术手段势在必行。 新方案对于现有的应用系统建设需要做到：1. 保障现有各种系统的正常运行，维护系统对业务的及时响应和执行。 2.需要更加灵活、方便且快速的移动工作。 3.需要在各分局及相关机构部署现有系统。 4.加强系统在日常使用中的安全管理，保障信息的安全使用。 5.减少系统部署的软件费用、简化日常管理工作和降低维护人员成本。除此之外我们还要考虑两个重要的因素：1. 安全性：移动，意味着离开了自己的办公室室，需要在网络环境的不确定性依然保证
5、文件及数据的安全。2. 稳定性： 保证原有办公系统正常运行，实施过程也不能影响正常办公。1.2 传统解决方案的问题移动办公有多种实现方式 ，传统方式通过VPN接入内网，这种方式多用于使用笔记本电脑作为移动终端。但笔读本电脑体积和重量太大，不容易随身携带。最适合作为移动办公的终端是智能手机或平板电脑，而这些终端绝大多数非WINDOWS操作系统，使用移动办公业务，就需要为客户端进行适配的开发。并带来以下问题：1.2.1 终端的安全性一项面向329家企业进行的调查显示，配发给员工的笔记本电脑中，平均每年有2.3%丢失，使用寿命内的平均丢失率为7.12%。在一年时间内，所有参与调查的企业共有86455
6、台笔记本丢失或被盗，平均每家企业263台。Penemon Institute在2009年进行的一项调查显示，超过41%的IT人认为在随后的12-24个月内笔记本电脑遗失或被盗的风险将加大。另一方面，因为笔记本使用随意性，在企业外部使用时，无法收到企业内部网络安全设备的保护，也会面临更多的风险。手机、平板电脑的丢失率更是惊人，2011年7月15日，美国移动互联网安全公司Lookout Mobile Security公布的一项调查结果显示，美国手机丢失率最高的城市，52%的人经历过手机、平板电脑丢失或被盗事件。而排名较后的城市，也有30%以上的丢失率。中国虽然没有做过类似的调查，但手机、平板电脑丢
7、失率高的情况是有目共睹的。使用移动便携终端进行移动办公，传统VPN模式和客户端适配模式都将用户数据保存在移动终端上，政府部门，企业的数据（如word，Excel文档）分散在远离办公环境的手机和电脑中，当手机和电脑丢失后数据随之泄露。办公资料的丢失，是最严重的安全隐患。1.2.2 数据通讯安全性移动办公将关键信息传递在公共网络上，因此需要有更高的安全性要求。移动办公有数据被截获的危险；同时外部终端接入内网，会同样对内网造成安全威胁。虽然VPN使用加密通道建立了安全通道，但是提供的访问范围通常过于广泛，用户（以及系统中可能存在的任何恶意软件）通常可以访问整个内部网络资源。1.2.3 开发和维护成本
8、巨大传统模式需要对业务逻辑进行分析，开发独立的客户端或者中间件平台，涉及到原业务系统厂商的配置和支持，需要投入很高的人力成本和时间成本进行研发工作，同时在系统完成后，每当原业务系统需要升级或者变更，移动办公系统随之要升级和重写，成本巨大，用户需要持续的投入才能保证系统运行。另外，客户端差异化的问题也是导致开发维护成本大的主要原因。现有办公系统往往是基于PC机Windows操作系统开发的。但是数量最大的移动终端大都不是使用Windows操作系统，移动终端类型繁多，需要针对每种客户端，每种硬件屏幕规格独立开发，例如有5种应用，5种客户端类型，就需要开发25种不同的客户端软件。1.2.4 业务不完整
9、部分在PC上的操作需要调用ActiveX控件，Flash控件，Word控件，这些控件在移动终端上都无法完整使用，造成客户端适配+VPN的方式所实现的移动办公系统无法支持完整的全量业务，只能实现部分业务，用户满意度不高。另外，用户所需要使用的业务，不仅限于OA系统。1.2.5 网络及性能问题移动办公的网络环境具有不确定性，带宽不能保证。而办公系统往往是基于高速的局域网设计的，不会考虑流量的问题。移动办公时可能会因出现峰值流量而产生网络性能瓶颈，比如当邮件有比较大的附件时，局域网内可以马上打开，但是广域网上需要等很长时间甚至被迫中断。1.3 基于云计算的移动工作云计算，虚拟化的出现得以从技术架构上
10、根本解决了上面的问题。据Gartner调查显示，2010年CIO们最关注的前两项技术就是虚拟化和云计算。应用虚拟化技术使得传统应用直接升级为了面向服务、按需分配的架构。采用应用虚拟化技术，建立公安系统的“专有云”平台，是实现移动工作的最佳解决方案。在云计算的环境下，全部应用程序实时调取使用，无需客户端配置。大量的复杂的运算和分析可以在“云”上运行，使手机和平板电脑可以实现那些需要复杂运算的应用，不再受应用软件、存储数据甚至硬件的限制。让“无处不网络”变成了“无处不应用”。在这种环境下，用户所能使用的移动应用，已不仅仅是OA，而是几乎所有Windows或Linux上的应用。虚拟化技术实现了IT资
11、源的逻辑抽象和统一表示，在大规模数据中心管理和解决方案交付方面发挥着巨大作用，是支撑云计算伟大构想的最重要的技术基石。在平台层服务（PaaS)中，运行环境虚拟化是关键技术，在软件即服务（SaaS）中，应用虚拟化是关键技术。2 SunrunVAS尚云云应用服务平台SunrunVAS虚拟应用服务平台，采用了先进的虚拟技术，将用户的各类应用界面直接安全、快速地延伸至用户侧的移动终端、便携终端，而不需要做任何终端的适配研发，使用户可以在任何时间、任何地点、任何方式、任何网络下都不间断地、灵活地使用各类应用。采用SunrunVAS建立用户自己的专有云平台，可真正实现“网络可达，应用可达”。SunrunV
12、AS虚拟应用服务平台软件基于免费开源的Linux操作系统平台开发，无需要再支付额外的第三方软件许可费用。目前软件已是成熟产品并正式发布。使用SunrunVAS虚拟应用交付平台，可帮助客户快速布署企业的“专有云”，能够迅速有效地提高企业IT服务能力。2.1 技术原理虚拟化技术最基本的形式，就是从物理硬件中将逻辑计算资源分离出来。应用虚拟化即应用软件虚拟化，用户可以通过网络访问应用虚拟化服务器，获得应用软件的虚拟运行环境，无需在本地安装即可直接在虚拟运行环境中运行应用软件。SunrunVAS应用虚拟化技术将应用软件的人机交互逻辑（应用界面、键盘及鼠标的操作、音频输入输出、读卡器、打印输出等）与计算
13、逻辑隔离开来。具体而言，当用户访问一个虚拟化应用时，用户侧客户端只需将人机交互逻辑通过网络传送到服务器端，服务器运行应用软件的计算逻辑，把变化后的人机交互逻辑回送客户端，从而使用户获得如同运行本地应用软件一样的访问感受和计算结果。SunrunVAS应用虚拟化技术架构把表示层做成应用虚拟化引擎。该引擎可以放在整个计算系统的操作系统和应用层之间，隔绝重要应用，这是应用虚拟化技术的核心思想。后端服务与终端之间增加一层虚拟层，应用实际上运行在虚拟层，而将应用运行的屏幕界面推送到终端上显示，即“虚拟应用交付”。应用虚拟化，从体系结构上的根本性思路转变。确保关键业务数据始终在IT部门控制之下实现了信息看得
14、见、摸得着，却带不走这是应用虚拟化的最大价值。SunrunVAS自主研发的基于TCP/IP的专有通信协议VP（虚拟化通信协议），是虚拟化客户端与虚拟化后台之间的通信协议。VP将真实应用客户端屏幕有变化的部分，划分为多个矩形，每个矩形有左上角坐标和长宽数据，以及矩形内图像数据，形成一个数据包，这个数据包通过网络传到客户端。客户端在屏幕相应的位置，更新每一块的图像。数据包在网络传输前经过压缩加密，再客户端解密解压缩，然后再显示。用户在客户端的图形化操作（包括用户鼠标和键盘的操作等）都通过该协议传输给远程服务器进行响应，并将响应结果通过该协议返回给客户端。如果该通信协议出错或者中断，用户将退出，销毁
15、该用户所有通道。2.2 软件布署架构云平台服务器上软件部署包括：在操作系统之上安装 VAS虚拟应用服务器软件，以及各种应用软件如OFFICE软件、邮件系统以及浏览器、阅读器等工具软件。手机、PDA、笔记本电脑、平板电脑等设备上的软件部署包括：在终端设备操作系统上安装虚拟应用接收器。终端设备上不需要安装任何其它应用软件的客户端，通过虚拟应用接收器，可以使用所有虚拟应用服务器上的应用，整个软件架构如下图所示：移动终端的网络访问只需要指定虚拟应用服务器的IP地址、用户登陆的用户名和口令，以及登录域名称等信息即可，用户打开虚拟应用接收器就可以获取服务器上授权使用的应用图标，打开应用图标即可使用。Sun
16、runVAS虚拟应用平台的部署，不改变当前应用系统的架构。只在应用系统门户服务器的局域网内直接架设虚拟应用服务器，供移动用户访问。原办公用户仍可直接访问门户服务器，因此原办公模式不受影响。2.3 解决方案的技术优势：2.3.1 移动接入：工作人员无论在何地，任何时间、任何地点、使用任何网络设备（Windows ，Apple iPhone/iPad及Google Android），采用现已部署联通APN专网连接，都能够高效、快捷、安全、方便地访问已经集中部署在“尚云”云应用服务平台上的公安内网全部系统。2.3.2 快速部署：无需对现有系统做任何改变、同时在“尚云”云应用服务平台部署一套分析系统客
17、户端就可迅速发布，无需增加分析系统客户端的购买。同时“尚云”云应用服务平台支持多系统发布，可发布多种应用。2.3.3 数据高安全性：高安全性业务应用与服务器端的数据交换均发生在云应用服务平台与应用服务器之间的内网服务器群组间，实际业务数据不会流到用户终端设备上，既保证了业务数据交换的流畅 性又保证了数据安全性。另外还可提供128位SSL/TSL加密，数据在传输过程中得到充分的安全保证。2.3.4 统计分析、视频审计：可按年、月、日或自定义时间段，根据用户、终端、应用进行统计分析，并形成图形报表，以帮助管理员分析企业应用的使用情况。具备操作录像功能，可用于回放和分析用户的活动，可用于安全审计、故
18、障重现、合规性审查等多种用途。2.3.5 设备准入控制可根据用户名、客户端的唯一标识（如MAC地址、设备ID）来进行安全地准入控制。大大降低非法访问的风险。 2.3.6 系统易于维护和管理因为不涉及二次开发，虽然系统功能有所增加，却不增加额外的系统维护工作量。 且所有应用软件集中在服务器端管理，减少了日常维护的人力物力。2.4 系统架构2.4.1 网络结构图SunrunVAS平台在用户现有局域网中部署，对于现有应用系统的网络结构及运行状态无任何影响。2.4.2 系统逻辑结构2.5 硬件配置建议2.5.1 服务器功能模块说明：服务器名称操作系统可安装的功能模块作用GW：网关服务器（可选）Ubun
19、tu10.10网关模块VAS平台管理模块提供VAS服务器的负载均衡功能；管理VAS平台VAS：虚拟应用服务器（必选）Ubuntu10.10虚拟应用模块VAS平台管理模块（可选）提供Linux及Windows的应用虚拟化功能；WS服务器负载均衡功能录像服务器（可选）Ubuntu10.10录像模块对应用的使用进行录像，可回放云存储服务器（可选）Ubuntu10.10云存储模块提供云存储服务，可无限扩展WS：Windows应用代理服务器（必选）Windows 2003/2008企业版VAS管理客户端运行Windows的各种应用，包括IE、Office、OA、CRM等应用软件客户端。2.6 实施方案用
20、户总数为200并发用户，采用配置：2.6.1 服务器全冗余配置：服务器名称建议硬件配置数量IP分配VAS CPU：18核内存： 32G硬盘：1T2每台VAS一个内网IP, WS CPU：28核内存： 64G硬盘：1T2每台WS一个内网IPGWCPU：14核内存： 8G硬盘：500G22.6.2 系统安装步骤1. 安装操作系统，并打好相应的系统安全补丁；2. 配置IP；3. 安装SunrunVAS软件模块；4. 添加网关及VAS、WS服务器；5. 添加应用及用户；6. 使用各种终端测试应用的可用性；7. 完成。3 投资估算：序号名称描述数量单位单价小计1企业级SunrunVas-MP-ESunr
21、unVas平台软件；支持IOS,android，windows Mobile，winXP,win7.150个7,0001,050,0002企业级SunrunVas-MP-ESunrunVas平台软件；支持IOS,android，windows Mobile，winXP,win7.50个FREEFREE3PC应用代理服务器2*8核CPU,64G内存，1T硬盘*2，双电源，DVD光驱，预装64位Windows sever2008系统（含2个远程终端服务许可证）2台4PC尚云平台服务器8核CPU,32G内存，1T硬盘*2，双电源，DVD光驱， 2台5PC网关服务器4核CPU,8G内存，500G硬盘，
22、双电源，DVD光驱， 2台一：总共支持200并发用户。二：服务器为推荐配置如无需全冗余，只需购买2台代理、一台平台服务器就可。4 详细功能特性采用SunrunVAS的移动办公解决方案，用户无论在笔记本电脑上还是手机上，使用的都是运行在云应用平台服务器上的同一个应用，没有适应多种界面的要求。而且可以实现同一个应用在不同的移动设备之间的漫游，实现了业务连续性；另一方面，多方位的安全机制，确保应用使用安全，即使终端设备丢失，也不会造成泄密。4.1 集中管理功能 虚拟应用发布：管理员通过简单的操作就可以为成千上万的用户发布虚拟应用。 集中升级维护：客户端应用的升级维护只在服务器上操作一次，不需要在每个
23、客户端上升级。 操作记录管理：记录系统各种配置的更改，用于审计跟踪及故障原因分析。 服务器CPU、内存、磁盘运行情况实时监控。 统计分析：可按年、月、日或自定义时间段，根据用户、终端、应用进行统计分析，并形成图形报表，以帮助管理员分析企业应用的使用情况。 分权分域管理：可根据部门划分不同的管理域，并为每个管理域设置域管理员，各域管理员只能管理各自的用户和应用，互不影响。 视频审计：具备操作录像功能，可用于回放和分析用户的活动，可用于安全审计、故障重现、合规性审查等多种用途。4.2 低带宽要求正常应用状态下平均每个用户仅占用1020K左右带宽，另外，应用服务器与后台数据库通常是局域网连接，计算和
24、查询所需的大量数据都是基于LAN传输速度，因此远程用户的网络性能非常理想。4.3 安全性对于系统的安全性考虑是毋庸置疑的，也是先决条件。本方案可以提供灵活的、多层次、根本性的应用安全保障：4.3.1 无真实数据传输采用自主开发的基于TCP/IP的专有虚拟通信协议，服务器与客户端之间传输的只是客户端的键盘、鼠标动作以及显示屏幕变化的刷新部分信息，不是真正意义上的应用交互所产生的数据包。也就是说网路上传输的不是用户实际数据，从根本上保证了数据安全。4.3.2 双因子认证用户登录支持登录名/密码+数字证书的双因子认证，可采用数字证书的强身份认证模式，避免传统的“登录名+密码”登录方式所带来的各种安全
25、隐患。4.3.3 安全加密网络传输采用128位SSL加密传输，进一步保障转输通道安全。4.3.4 用户数据安全客户端不保存数据，保证移动设备丢失情况下的数据安全。用户数据和文档存储在SunrunVAS虚拟平台或专用云存储（可选）空间。每个用户在服务器上有专有的存储空间。用户可以非常方便地管理自己的存储空间。4.3.5 设备准入控制可根据用户名、客户端的唯一标识（如MAC地址、设备ID）来进行安全地准入控制。大大降低非法访问的风险。 4.3.6 外部帐户认证支持外部帐户认证，如企业自建的认证服务器Windows AD、LDAP、Radius。4.4 云存储SunrunVAS提供云存储功能，可为每
26、个用户分配云盘，用户可在任何设备上管理云盘的目录和文件，并使用虚拟应用直接打开云盘中的文件。SunrunVAS云存储采用分布式文件系统，可以在普通的硬件设备上实现高容错性和高传输性能。可随时通过增加Linux服务器来扩展存储空间，无数量限制。4.5 终端适配广泛支持终端类型丰富，包括： Windows及Mac笔记本，上网本 Android操作系统手机或平板电脑 Windows Mobile，Phone7手机 苹果iPhone、iPad应用的虚拟化屏蔽了终端设备的性能差别，低端的设备也可以使用复杂的应用。4.6 会议模式允许多客户端同时登录，观看并操作同一个应用界面，即同屏显示。此功能适合在联合
27、办公、学习文件、交流、远程协助等工作场景，实现真正地协同工作。4.7 会话管理4.7.1 状态保持移动终端不可避免会出现无线网络不稳定的情况。SunrunVAS提供状态保持功能，即使网络断开，或客户端误操作退出时，只要重新连接登录，仍可回到原来的工作状态，未存盘的数据也不会丢失。这在多服务器提供服务的情况下依然有效，更换客户端登录也同样有效。4.7.2 强会话管理支持会话隔离和并行会话，并具有增强的会话容错性，当会话因为操作系统或者业务应用软件原因出现错误时，用户可以选择对单个会话进行强制注销，而不会影响其他正在使用的会话应用。4.8 操作易用性4.8.1 触摸屏精确定位精确的触摸板虚拟鼠标。
28、对于传统鼠标的一些常用组合功能（如对象拖拽，选择文字等），也能非常方便地使用。4.8.2 应用灵活切换可以支持Windows、Linux多应用同时打开使用，并可在打开的应用之间灵活切换。4.8.3 本地输入法使用移动客户端的本地输入法，无论中、英文或手写输入都能快速切换。4.8.4 操作辅助功能提供多种方便操作的辅助按钮，以及常用指令组合键，方便快速操作。4.8.5 本地打印机支持本地打印机进行打印操作，用户使用虚拟应用过程中，可以直接往连接在终端上的打印机打印文档。（适用于Windows系列、MAC系列）4.8.6 本地文件系统可方便快速地使用本地存储，用户可以用虚拟应用快速打开本地文件。必
29、要时也可以将文档存在客户端。4.8.7 剪贴板支持云应用与用户终端本地应用之间的文字拷贝粘贴功能。4.8.8 虚拟U盾支持虚拟应用使用本地U盾证书，完成U盾证书认证。4.9 个人电脑托管用户不仅仅可以使用工作云中的虚拟应用及虚拟桌面，云存储。对于既需要移动工作，仍希望使用自己原有个人PC桌面的用户，可以通过个人电脑托管功能，在任何地点，通过移动终端来使用安放于办公室的个人PC，可完全兼顾个人的使用习惯。4.10 高可用性系统通过对各服务器进行CPU、内存、硬盘运行情况的性能监控结果，对多台服务器组成的服务集群提供负载均衡功能，同时还保证系统的高可用性。4.11 软件正版化在保证软件正版化的前提
30、下，大大降低第三方软件版权费用支出，只需要按服务器数量购买Windows终端服务License，而不需要按总用户数购买Windows 终端服务License（每用户800元）。4.12 功能列表功能列表详细描述技术平台技术平台基于linux平台开发，支持虚拟交付Windows及Linux操作系统中的应用。管理功能集中应用发布管理员通过简单的操作就可向所有用户发布所有虚拟应用。分权分域管理可根据部门划分不同的管理域，并为每个管理域设置域管理员，各域管理员只能管理各自的用户和应用，互不影响。性能监控实时监控各服务器的CPU，内存，硬盘使用情况。管理日志记录系统各种配置的更改，用于审计跟踪及故障原因
31、分析。统计分析可按年、月、日或自定义时间段，根据用户、终端、应用进行统计分析，并形成图形报表，以帮助管理员分析企业应用的使用情况。视频审计具备操作录像功能，监管人员可通过视频操作录像可以回放和分析用户活动，实现内部控制，确保合规性和成功完成各种应用的安全性审计。高可用性负载均衡系统通过对各服务器进行性能监控的结果，对多服务器提供负载均衡功能，保证系统的高可用性。软件版权降低第三方软件版权费用支出不需要按总用户数购买Windows 终端服务License。安全性通信协议采用自主开发的专有虚拟通信协议，客户端与服务器之间并无实际数据传输，仅传输键盘、鼠标的指令和返回屏幕的变化信息。安全加密传输通道还进行了128位SSL安全加密，进一步保证的通信安全。设备绑定管理员可根据用户名、MAC或
