经由网络监视和控制计算机装置和虚拟机 |
|||||||
| 申请号 | CN201380060153.9 | 申请日 | 2013-11-18 | 公开(公告)号 | CN104981784A | 公开(公告)日 | 2015-10-14 |
| 申请人 | 跨网数据管理有限公司; | 发明人 | 安东尼·莱特; | ||||
| 摘要 | 在一个方案中，提供经由网络通过管理系统监视计算机装置的方法，该方法包括：经由网络建立计算机装置和管理系统之间的连接，计算机装置位于第一 位置 ，而管理系统位于远离第一位置的第二位置；安装 控制器 并且在计算机装置上创建至少一个 虚拟机 ，该虚拟机或每个虚拟机由控制器监视；监视计算机装置和/或该虚拟机或每个虚拟机的一个或多个特征并且基于特征生成监视结果；以及经由网络将监视结果报告至管理系统。还可以提供对应系统。在一个实施方式中，计算机装置的特征包括至少一个虚拟机的状态或在至少一个虚拟机中运行的一个或多个程序的状态，而监视结果包括指示状态的状态信息。在第二方案中，提供经由网络建立计算机装置和管理系统之间的连接以及用于将虚拟机连接至网络的对应控制器的方法和系统。在第三方案中，提供配置虚拟机的方法。在第四方案中，提供控制在计算机装置上的一个或多个 外围设备 和虚拟之间的数据流的方法。 | ||||||
| 权利要求 | 1.一种经由网络通过管理系统监视计算机装置的方法，所述方法包括： |
||||||
| 说明书全文 | 经由网络监视和控制计算机装置和虚拟机技术领域背景技术[0002] 与软件有关的服务部属可以是耗费时间的并且对于包括其上部属有软件的大量设备的网络是复杂的。即使当软件传输至设备时，可能需要检查软件的稳定性。这在设备的用户不能够快速并且正确地诊断任何问题时是难以实现的。而且，随着设备的数量增长，网络上的负载有可能增长。期望能够管理设备。 发明内容[0003] 从第一方案中，本发明提供经由网络通过管理系统监视计算机装置的计算机实施方法，该方法包括： [0004] 经由网络建立计算机装置和管理系统之间的连接，所述计算机装置位于第一位置，而所述管理系统位于远离所述第一位置的第二位置； [0005] 安装控制器并且在所述计算机装置上创建至少一个虚拟机，所述虚拟机或者每个虚拟机由所述控制器监视； [0006] 监视计算机装置和/或所述虚拟机或者每个虚拟机的一个或多个特征，并且基于特征生成监视结果； [0007] 经由网络将所述监视结果报告至所述管理系统。 [0008] 本发明的实施方式可以提供资源的管理控制和监视，并且控制对资源的访问以及有助于软件产品的维护。 [0009] 计算机装置的特征可以包括至少一个虚拟机的状态或在至少一个虚拟机内运行的一个或多个程序的状态，并且监视结果包括指示状态的状态信息。 [0010] 从第二方案中，本发明提供一种系统，包括： [0011] 用于经由网络建立所述计算机装置和所述管理系统之间的连接的装置，所述计算机装置位于第一位置，而所述管理系统位于远离所述第一位置的第二位置； [0012] 计算机装置包括至少一个虚拟机和用于监视所述计算机装置和/或所述虚拟机或每个虚拟机的一个或多个特征并且用于基于特征生成监视结果的控制器；和[0013] 用于连接至所述计算机装置和接收监视结果的管理系统。 [0014] 从第三方案中，提供用于经由网络通过管理系统控制计算机装置的一个或多个计算机程序的计算机程序产品，该计算机程序产品包括计算机可读存储介质，该计算机可读存储介质包括实现在其中的计算机可读程序代码，所述计算机可读程序代码适配为执行前述的方法。 [0015] 从第四方案中，提供包括一个或多个计算机程序的计算机装置，所述计算机装置具有至少一个虚拟机，所述计算机装置能够经由网络连接至管理系统以便一个或多个计算机程序的控制，所述计算机装置还包括控制器，用于所述虚拟机或每个虚拟机的控制，并且用于监视所述计算机装置，以及用于提供表示至少一个虚拟机的状态或在至少一个虚拟机内运行的一个或多个程序的状态的监视结果并且生成指示状态的状态信息，其中，所述控制器位于一个或多个计算机程序和所述虚拟机或每个虚拟机之间。 [0016] 从第五方案中，用于经由网络建立计算机装置和管理系统之间的连接的方法和系统，所述计算机装置位于第一位置，而管理系统系统位于远离所述第一位置的第二位置，方法包括建立与所述计算机装置关联的节点和与所述管理系统关联的主节点之间的隧道，其中，连接包括建立通过隧道的计算机装置和管理系统之间的安全连接，而且使用虚拟专用网络连接在与计算机装置关联的节点和与管理系统关联的主节点之间建立安全连接，其中虚拟专用网络连接利用加密和/或认证和/或完整性保护来保护数据。 [0017] 从第六方案中，用于配置虚拟机连接至网络的方法和对应控制器包括：分析网络的现有网络特征；将网络特征发送至位于网络外的中央管理系统；从现有网络特征生成限定与网络有关的网络参数的子网络结构，所述网络参数包括由用户可选择的多个地址，接收多个地址中的一个的选择；并且利用所选择的地址和其它网络参数配置虚拟机；以及将虚拟机连接至网络的优选步骤。 [0018] 从第七方案中，用于控制一个或多个外围设备和计算装置上的虚拟机之间的数据流的方法和对应系统包括：在虚拟机上提供第一操作系统，用于计算机装置的用户的访问，提供第二操作系统与连接至计算机装置的一个或多个外围设备进行通信；以及经由位于所述计算机装置外的控制器管理第一操作系统和第二操作系统之间的数据流。附图说明 [0019] 本发明的优选实施方式将仅通过实例的方式参考以下附图来进行描述，其中： [0020] 图1表示根据本发明的实施方式的示例性网络架构； [0021] 图2为包括在至少一个图2中所显示的设备上运行的多个虚拟机的设备架构的示意性表示； [0022] 图3显示典型监视架构； [0023] 图4显示根据本发明的集成分布的监视架构； [0024] 图5显示VPN的理想网络拓扑； [0025] 图6显示用于建立VPN连接的实际架构； [0026] 图7示意性示出根据本发明的，带有VPN服务器和VPN客户端之间的隧道器的架构； [0027] 图8描绘通过相应隧道器节点连接的两个通信场地以及有助于连接的隧道器主机； [0028] 图9示意性示出带有桌面操作系统的计算机； [0029] 图10显示在根据本发明的实施方式的计算机设备上的虚拟机内运行的桌面操作系统，其中在桌面域外运行的附加软件控制对设备的桌面访问； [0030] 图11显示对于图2中显示的设备架构可替选的设备架构的示意性表示；和[0031] 图12A显示标准网络配置设置而图12B显示在本发明的实施方式中的网络配置设置。 具体实施方式[0032] 参考上文提到的图提供详细描述。 [0033] 如图1中所示出的，根据本发明的优选实施方式架构11包括可连接至网络15的管理系统12。网络15可例如为全球网络如因特网或局域网(LAN)或任意其它网络如基于分组的网络或交换电路网络或这种网络的结合。根据优选实施方式的架构11还包括至少一个数据处理设备16，和优选地，可连接至网络15的多个设备16、17、18。具体参考设备16，在这个实施方式中，其是根据来自在设备上运行的至少一个计算机程序的指令而操作的硬件设备。提供这种设备16给用户或其它客户端实体(可以是另一个程序)用于访问软件产品的目的，并且这种设备16使得管理所述软件产品或其它设备成为可能。其它设备17、18可以与设备16类似。 [0034] 参考图1，对于用户或客户端提供的每个设备16、17、18，以及管理系统12中的每个连接至网络15，使得管理系统12和设备16、17、18中每个能够通过网络15采用的各种装置而进行通信。管理系统12能够控制设备16、17、18的操作的一些或所有方案。为了管理和/或控制设备16、17、18和在设备16、17、18上运行的软件的目的，提供与管理系统12关联的至少一个接口。这种接口有益地用于对于管理系统12进行请求，那个管理系统12随后将所述请求对应的命令转发至设备16、17、18中的一个或多个。参考图1，在这个具体实施方式中，可以提供各种接口，例如被提供用于有助于设备管理的网络接口13和命令行接口14。在典型的末端用户的数据处理设备16中，网络接口13用于大多数最普及的任务，而命令行接口14可被系统管理者和具有高等级技术技能和知识的用户使用。 [0035] 图2示出设备16、17、18中的一个或多个的设备架构并且显示在设备16、17、18中的一个或多个中创建的一组虚拟机21、22、23、24。为了容易的解释，当参考这个图时，仅有设备16会涉及，但是将会理解的是可以利用与设备16相似的组件来提供每个设备17、18。通过在设备16中提供的软件来创建虚拟机21、22、23、24。软件包括用于控制设备16的硬件和设备16与管理系统12之间的通信的操作系统。为了这个描述的目的，术语“设备代理”19用于识别在设备16中采用的软件。 [0036] 设备代理19给予虚拟机21、22、23、24对各种资源的访问。还可以给予虚拟机21、22、23、24对至少一个网络连接26、27的访问和通过网络连接26、27对外部网络连接15的访问。可以给予一个被选择的虚拟机24对设备16的至少一个硬盘28、29的一个或多个部分(分区)的访问。然后，选择的虚拟机24使得在这些硬盘上的存储器经由网络可用于未直接连接到所述硬盘28、29的其它虚拟机21、22、23，使得至少一个硬盘28、29表现为经由网络文件系统如NFS，经由网络数据库如PostgreSQL而直接连接至虚拟机21、22、23，或经由在网络上的存储可用的其它协议而直接连接至虚拟机21、22、23。当然，所给出的配置并不是限制的，并且这个实施方式不排除包括连接至一个或一组虚拟机总体的多个磁盘的其它配置。根据一些实施方式，虚拟机21、22、23、24能够至少访问连接至数据处理设备16的硬件组件25。虚拟机可以访问的这种组件25包括计算机屏幕、计算机键盘、计算机鼠标或可连接至计算机类型的硬件的其它组件。 [0037] 根据本发明的一些实施方式，传输至设备16的软件产品加载在管理系统12中并且然后下载至设备16。管理系统12中的软件可以通过第三方软件开发者，以适合于在不同虚拟机上运行的格式范围中的软件装置的形式来提供。 [0038] 建立程序和初步配置 [0039] 为了将软件传输至设备16的目的，提供一种在软件的传输之前经由网络15将设备16安全连接至管理系统12的方法，并且这个方法可以是自动化的过程。尽管连接优选地是安全的，但是在管理系统12可能不能控制设备16所在网络的稳定性的意义上，连接是间歇的或不可靠的。 [0040] 在设备16和管理系统12之间的安全连接的安装之后，不同类型的信息可以经由安全连接发送至管理系统12。这信息包括设置有设备16的其它客户端实体或用户的标识、关于设备的硬件信息或关于连接至管理系统12的客户端实体的信息和关于网络15的设置的信息。客户端的标识可以为联系地址，例如电子邮件地址。根据一个方案，包括数据的电子邮件地址发送至用户或客户端实体。 [0041] 随后，通过管理系统12的这个信息的接收引起软件安装的初步配置步骤的启动。 [0042] 初步配置步骤包括将消息发送至客户端地址或用户地址。发送至客户端或用户的地址的消息可以例如为电子邮件。发送至客户端或用户的消息包括提供至配置接口的链接的数据。例如，消息可以包括网络链接，通过该网络链接将客户端或用户导向配置接口如用于配置的网络页面，通过用于配置的网络页面，客户端或用户能够提供附加信息。 [0043] 配置 [0044] 此外，提供配置装置，通过该配置装置向用户提供适合运作软件产品的提供配置设置。用于设置网络参数、网络参数(URL)的一些默认值可以由软件提供商来建议以有助于软件的配置。稍后将更详细的描述这个。 [0045] 这种附加信息使得能够在数据处理设备16上安装设备代理19、设备代理19的支持软件，设备16的安全密钥和或设备16的设置。根据一个方案，在前文提到的组件安装在设备16上之后，利用新的软件重新启动设备16的硬件。随后，设备16的硬件准备具有包括所安装的软件应用的虚拟机。在初步步骤之后，用户能够从产品列表中选出哪个软件产品要安装在设备16的相应虚拟机中或安装在多个虚拟机中。 [0046] 软件至设备的传输 [0047] 在一些或所有配置信息由客户端通过第三方软件提供商和/或管理管理系统12的一方的帮助来提供之后，合适的软件下载到设备16。下载可以在所有配置信息已提供之前开始，因为该下载可以分阶段发生，其中，初始阶段涉及与将要应用于大部分数据处理设备的产品有关的标准设置，并且最终阶段是与具体设备相关的更新配置设置。 [0048] 对于本领域的技术人员显而易见的是，可以在一系列支付模型之下为客户端或用户提供软件产品。这种模型包括在软件的传输之前支付或在客户端进行实际支付之前提供免费软件。软件具体地可应用于仅需要存储器和网络资源的服务器性软件，但是还可以与需要屏幕、键盘和其它外设的桌面软件一起使用。 [0049] 在设备上安装软件 [0050] 合适的软件传输到设备16的一个或多个虚拟机21、22、23、24上。 [0051] 在设备上运行软件 [0052] 在虚拟机21内开始软件或软件产品。有利地，每个软件产品可以运行在相应虚拟上。在虚拟机内开始软件产品之后，其可被用户的使用。因此，不同软件提供商的不同产品可以在相同物理设备16上相互独立运行。 [0053] 为了在传输的软件的使用中支持用户，提供监视设施。 [0054] 监视设施 [0055] 提供商，例如设备16、17、18的硬件提供商，可以监视软件和/或硬件的特征。例如，可以通过例如检测处理器风扇速度来监视与硬件的健康，诸如磁盘状态、独立磁盘阵列(“RFID”)的冗余阵列、中央处理器温度等有关的参数，以为了使得硬件提供商接收警告他们非正常事件的通知。例如，磁盘健康监视可以被执行，并且在问题的检测到时，通知可以发送至监视服务器。尽管单个提供商一般负责监视，但是作为监视硬件的结果，当然多个硬件提供商可以接收通知。 [0056] 可靠性 [0057] 管理系统12可以不断地监视虚拟机21、22、23、24并且因此检查虚拟机21、22、23、24是否正确运行。包括可靠性统计的监视信息被记录并且可以在警告第三方是否故障发生中重新使用。监视有利地提供可靠性。为了进一步可靠性和故障容限，提供备份系统。可以被提供硬盘驱动器28、29的一个或多个部分的设备16的数据存储区域可以制成在局部网络26、27上可用。而且，系统有助于网络内的数据库服务器或两个文件、由虚拟机24提供的设备16中的文件服务器和/或数据库服务器之间的用户数据的场外备份。系统有利地建立在两个数据处理设备之间的安全直接连接，在两个数据处理设备上运行服务器、并且然后执行在两个服务器之间的所述连接上的有规律地备份的。 [0058] 第三方的控制访问 [0059] 客户端或用户如果愿意的话能够提供第三方对于他的设备16和虚拟机21、22、23、24的访问。第三方访问可以例如使得软件开发者能够升级软件，当需要这种升级时，提供给用户设备16。先前的实例不是限制的，并且当然可以由软件提供商执行其它活动，正如本领域的技术人员所能理解的那样。 [0060] 管理系统12可以记录对于虚拟机21、22、23、24形成的所有访问。这种记录可以包括与访问所述虚拟机21、22、23、24的第三方有关的信息。之后，客户端能够从与访问它们的设备的虚拟机的第三方有关的记录获得信息。客户端将会例如能够获得各种信息，例如哪个第三方软件提供商访问它们的设备，访问的类型(例如，服务器访问重新启动，关闭)，所述访问的时间和/或这种访问的原因。 [0061] 集成、分布式监视 [0062] 监视虚拟机21、22、23、24和设备硬件的集成、分布式方法现在将会被描述。 [0063] 监视可以涉及有规律地发送状态确定请求至设备上的虚拟机以获得其状态信息的集中的服务器。然而，这种集中监视系统招致的负载随着大量的虚拟机和设备而快速增加。另外的问题发生在其中有频繁的连接问题的环境中。在这种环境中，发送至在请求的时刻不能到达的虚拟机或设备的许多状态请求保持未答复的。图3描述这种系统的实例。 [0064] 图4显示可以减轻关于图3描述的系统的缺点的架构。架构包括如图4中显示的中央监视服务器31，在该中央监视服务器中，监视活动被委派至数据处理设备16、17。数据处理设备16、17可以每个位于不同的场地或位置，并且多个数据处理设备可以提供在每个位置处。监视活动有利地委派至数据处理设备16、17，数据处理设备具有与虚拟机32、33、34、35的良好连接。根据本发明的实施方式，设备代理可以监视虚拟机的状态。数据处理设备的设备代理有规律地，例如每分钟，请求与设备代理负责的每个虚拟机的状态有关的信息，并且将相应信息并入束中。之后，设备代理发送单个分组中的汇集的信息至中央监视系统。随后，设备代理重复在规律的时间间隔，例如每分钟处的相同操作。这个架构有益地将来自中央监视服务器31的用于监视虚拟机的负载传输至数据处理设备16。当有数据处理设备和包括中央监视服务器31的中央管理系统之间的连接问题时，被阻挡的过程是在设备16上运行的过程，并且在中央监视服务器31上运行的过程保持不被网络连接问题影响。 [0065] 这个图的虚拟机32、33、35、35具有与图2中显示的虚拟机相似的功能性。与每个虚拟机的状态有关的信息形成监视结果。因此获得的监视结果存储在监视服务器31上。例如通过设备代理19，监视结果可以另外存储在数据处理设备16上。中央监视服务器31可以将所述结果与所述接收所述监视结果的时间一起存储在数据集，例如数据库中。这个存储有益地允许通过扫描一段时间期间例如2分钟并未报告它们状态的设备的数据库而检测的连接损失。 [0066] 在另一个实施方式中，设备代理19记录虚拟机的之前的状态，并且仅发送自从监视状态的最后发送以后的关于监视状态的改变的信息。这个实质上减少中央监视服务器31上的网络业务和处理负载。在这个实施方式中，当在设备16和中央监视服务器31之间的连接出故障时，设备代理保持建立事件，并且最终当恢复连接时将所有改变发送至中央监视服务器31。甚至是当与中央监视服务器31的连接被临时破坏时，这个技术有益地允许虚拟机被正确地监视。如果在监视期间内没有改变状态，那么设备代理16发送指示没有发生改变的明确通知，使得中央监视服务器31得知其仍然与设备16联系。 [0067] 在另一个实施方式中，为了监视的目的，在虚拟机上发生的改变每当发生时就被立刻发送至中央监视服务器31，以替代以规律地的时间间隔发送一批或一系列改变。这个技术有益地避免了在事件报告给中央监视服务器31之前的长的时间间隔。例如，当将改变成批并且以1分钟的间隔发送时，在最坏的情况场景中，在错误发生的时间和中央监视系统31觉察到错误的时间之间会花费2分钟。这是高度地不期望的。在这个实施方式中，如果未发送改变，那么设备16的设备代理19会尝试有规律地定期重新发送它们。而且，如果一段时间期间没有改变，那么用于指示无改变的明确通知被有规律地定期发送。在这个实施方式中，以发送频率的增加为代价减少通知时间。然而，应当注意的是，传输以及因此中央监视服务器上的负载的减少是由于通知消息或分组更小造成的。 [0068] 在另一个实施方式中，为了监视的目的，在称为“虚拟机代理”的虚拟机上代理(未示出)被引入以与设备代理19与中央监视服务器31相互作用的方法的相似方式而与设备代理19相互作用。虚拟机代理在虚拟机代理的状态的改变时立刻与设备代理19联系，以代替使得服务器的状态被设备代理19规律地请求。这样减少在设备代理19上的负载，并且还减少通知时间(典型地减少30秒至1分钟)。软件使得虚拟机代理建造在其中，并且设备代理19会察觉这个(通过中央管理系统提供的虚拟机细节)。 [0069] 正常监视服务器是单独系统。然而，在这种情况中，在设备代理负责停止和启动虚拟机，以及在虚拟机运行后监视虚拟机的状态。这种集成使得可以不仅记录且报告在虚拟机运行后的虚拟机的状态，还可以记录且报告虚拟机何时停止，被停止，开始以及通常在监视系统的范围外的状态中的其它。与虚拟机代理的集成允许在虚拟机引导过程的结束处通知设备代理，确定监视系统正确得知虚拟机何时过度到运行状态，确保虚拟机不被太早或太晚监视。这还允许中央监视系统请求监视测试为对于用户具体感兴趣的设备或虚拟机而被立刻运行，避免在监视更新上的普通一分钟延迟。 [0070] 虚拟机代理和设备监视器，可以产生两种格式的监视报告消息。当监视报告的细节存储在历史记录中时，使用第一格式的消息，并且确定监视报警的状态是否变化。第二格式的消息保持更即时的细节并且被显示给调查监视报告的用户，以给出关于报告的瞬时信息。例如，如果RAID阵列降级，但是在重建，那么第一格式的信息可能为“降级的RAID阵列，重建”，而第二格式的信息可能为“降级的RAID阵列，重建，完成33％”。这个第二消息使得实时状态消息对于监视服务器31可用或在设备16上可用，这种消息在重建时有用，但是在重建完成后不再有用。第一消极可以与第二消息独立地保持，并且这会避免阵列重建的历史日志的混乱。与监视状态有关的信息可以显示在设备16、17的控制台上。 [0071] 对于参考图4所涉及的上述实施方式中的每个而言，设备17还具有与设备16相似的功能，当时为了简洁，不再重复与其功能有关的描述。 [0072] 将设备连接至核心管理系统 [0073] 正如上文中已经指示的，在控制设备16之前，应当有设备16和中央管理系统12之间的安全连接。这优选地通过虚拟专用网络(VPN)技术的使用来完成，虚拟专用网络技术对业务进行加密并且向中央管理服务器12可靠地认证设备16。图5示意性示出第一网络架构，其中VPN服务器51经由网络59连接至一个或多个VPN客户端52。其中设备直接连接至因特网，这是一个直接的操作。然而，在许多情况中，设备并没有之间连接至因特网。图6示出这种构造，在这种构造中，VPN客户端52位于网络地址转换(NAT)路由器63或防火墙或过滤代理服务器61之后。在这种架构中，提供各种技术以建立设备16和核心管理系统12之间的可靠连接。 [0074] VPN技术适合于保护业务，但是经常制造关于VPN的两端之间的网络的属性和两端之间的连接的建立的过度简单假设。特别地，当可能并非存在简单IP网络时其可能假设存在简单IP网络。可能建立这两个点之间的连接，但是在一些情况下，VPN软件并没有足够复杂以使用可用连接。在这种情况中，VPN软件会期望端用户修改他们的防火墙、代理服务器等以允许VPN业务通过。然而，这要求端用户具有关于访问防火墙、代理服务器、NAT等的技术知识，以为了端用户作出必要改变。这种相互介入是要求时间的并且要求一组技能以实现适合的诊断并且得到正确的改变。 [0075] 已知难以从位于NAT或防火墙或过滤代理之后的专用网络中的客户端建立VPN连接。参考图7，为解决这些困难，提供新的组件组，具体地隧道器主机71和隧道器节点72，以进一步当VPN客户端没有直接连接至标准地址如全球因特网协议地址时，有助于VPN客户端52位于其中的数据处理设备和VPN服务器51位于其中的中央管理系统之间的VPN连接的建立。VPN服务器51可以在管理系统内，但是不在中央管理服务器上，但是靠近中央管理服务器。隧道器节点72位于VPN客户端52和NAT路由器63和/或防火墙62和/或过滤代理服务器61之间。隧道是用于识别一个隧道器节点72和隧道器主机71之间建立的隧道的术语。隧道坐落(建立)在VPN服务器51和一个或多个VPN客户端52中的每个之间。各种技术可以用于建立隧道连接到中央地址或与因特网直接连接的标准全球因特网地址。从节点至主机的连接可能是在一系列端口上经由用户数据报协议(UDP)、或经由传输控制协议(TCP)的直接连接。可替选地，隧道连接可以为经由代理服务器的直接TCP连接或如果必要的话，可是使用例如DNS隧道技术。隧道器优选地利用更有效的传输，例如UDP传输协议。当试图建立隧道连接时，更简单的技术，例如UDP被首先尝试，后面接着其它技术。当首次试图UDP连接而没有成功时，然后隧道器尝试使用整体可用传输之中的其它传输来建立连接，直到成功建立连接。如果不能建立连接，那么节点72保持有规律地尝试。如果建立连接，那么隧道器将标准IP地址展示给设备16，允许VPN软件使用成隧道的连接，好像其为简单因特网连接。在建立隧道之后，由隧道器主机71发出唯一的IP地址和代码给节点72，并且节点72将IP地址分配给“tun”网络接口(稍后解释)。如果连接丢失，那么节点71尝试重新建立连接，并且当成功地重新建立时，使用隧道器主机71之前发出的唯一代码再次识别自身。随着其他传输的开发，对于所述传输的支持被简单地添加至主节点(即隧道器主机71)和节点(即隧道器节点72)。设备16、VPN客户端52和隧道器节点72优选地在相同的操作系统中。利用这个设置，标准VPN软件可以在宽范围的传输的任意传输上运行。而且，随着新的传输技术变得可用，对于已经为了支持所述另外传输而部属的节点或VPN软件不在要求另外的改变。 [0076] 正如将会被本领域技术人员所理解的，隧道器网络是不安全的。但是，通过在隧道器网络上运行VPN软件，并且确保所有业务路由通过VPN，实现期望的安全等级。 [0077] 实现隧道的实施方式实例在以下中被强调： [0078] 隧道器通过将应用的形式的隧道器主机71接连接至因特网和在包括VPN软件客户端52的每个设备上的软件形式的节点72来工作。主机和节点软件都使用已知为Linux上的tun/tap接口的技术，Linux允许其创建对于设备上的网络软件呈现为一般IP网络接口的虚拟网络接口。事实上，来自和去往接口的分组通过软件应用。这允许隧道器网络来对VPN软件呈现标准IP网络。节点72和隧道器主机71然后工作以建立连接并且将接收的VPN分组相互传递。 [0079] 促进的安全分布网络 [0080] 为了以安全方式有助于软件的分布，隧道器创建的网络为星形网络，星形网络意味着通过一个中央节点和多个叶节点形成，其中所有叶节点连接至该一个中央节点。在这种创建的星形拓扑中，数据处理设备16、17、18为叶节点并且与作为管理系统12的一部分的主机节点进行通信。针对对于本领域技术人员将会显而易见的，创建的星形拓扑的设备或叶节点不能够直接相互通信。 [0081] 期望允许虚拟机(并不是实际物理数据处理设备)直接相互对话，例如，以执行场外备份或对系统管理的、但是在不同物理位置的虚拟机提供的服务的访问。 [0082] 根据实施方式，多个数据处理设备可以在不同的场地中被分类，使得给定场地的设备都连接至相同的网络，而且在给定场地中的设备的所有虚拟机在场地中被分类。在这种配置中，每个场地被管理系统分布唯一网络地址范围，并且场地中的每个设备和每个虚拟机被给定所述地址范围内的唯一地址。而且，在每个场地中选择一个设备作为网关盒子用于对来到所述场地和离开所述场地的业务进行路由。去往和源于具有落入分配至给定场地的地址组范围内的地址的节点的业务被通过那个场地和中央管理系统来发送。 [0083] 如图8中所示出的，当不同场地(场地A和场地B)处的两个虚拟机需要直接通信时，形成中央管理系统71的一部分的隧道器主机71指示在两个场地A、B中的每个处的相应网关来建立它们之间的直接连接。为此目的，管理系统指示相应隧道器节点72、73来建立直接网络连接。在每个场地处的数据处理设备位于相应隧道器节点处。这个直接网络连接的实现是通过隧道器主机71确定与因特网的设备节点的连接的属性并且如果可能则对于与NAT服务器或STUN服务器以与会话移动设施相同的方式执行助于连接。这个可以通过对于网络执行各种测试，例如探测网络连接并且然后导出基于这些测试网络如何被配置来实现。应当注意，STUN协议(在“评论请求5389”中规定)提供使端点确定由与专用IP地址和端口号对应的NAT分配的IP地址和端口号的装置。还提供使端点保持NAT绑定有效的方式。当被扩展时，可以使用STUN协议以执行两个端点之间的连接检查，或者以中继两个端点之间的分组。取决于盒子节点与因特网的连接的属性，可以自动建立直接连接，但是如果不的话，可以提供协助和诊断以帮助使用设备的用户或客户端。 [0084] 在建立隧道器连接之后，过程的剩余部分可以被自动执行。该(中央)管理系统将VPN密钥发出给网关盒子以允许VPN连接在它们之间建立，给出路由的细节以允许正确的路由添加在网关盒子上，并且给出哪些虚拟机在相互对话的细节，使得防火墙规则可以被建立以防止未被授权的虚拟机之间的业务。 [0085] 资源访问和辅助集成 [0086] 在一些情况中，虚拟机可以独自运行，但是在许多情况中，对于在虚拟机内运行的软件必要的是访问其它虚拟机管理的资源，或者与在其它虚拟机上运行的软件应用集成。管理这些资源和与两个应用的总和通常为要求相当数量的技术知识的手动过程。利用前文提到的系统，可以使集成在系统内单独虚拟机上运行的两个应用集成、加速过程、使得过程更可靠以及将其简化以允许非技术用于来执行过程的过程自动化。 [0087] 中央管理的，安全桌面计算 [0088] 在当今的工作场所中，系统管理者经常面对管理和保护大量桌面计算机的主要问题。这个问题的典型技术方案为将软件加载到计算机上以提供远程管理和安全。这种软件典型地桌面操作系统下运行，这意味着仅桌面操作系统正确运行的话这种软件才工作，并且使得可以访问在计算机上运行的软件。这意味着如果桌面操作系统崩溃或具有严重的问题，那么就不能在被远程访问，并且软件可以被在计算机上运行的其它软件应用或者意外地或者恶意地干扰。 [0089] 图9示出包括桌面操作系统91、屏幕92、键盘93、鼠标94、记忆棒95和磁盘87的数据处理设备。设备还可以通过网络连接96连接至网络。 [0090] 中央管理系统12控制在数据处理设备上运行的软件。设备可以为任意类型的计算设备，计算设备可以位于可以由中央管理系统和相互不在相同网络上的不同设备访问的网络中。如上文中已经指出的，每个设备能够创建至少一个虚拟机。该虚拟机或每个虚拟机可以运行操作系统91和/或相应应用软件。如上文所指出的，具有许多虚拟机的每个设备可能连接至管理系统12。以后，管理系统12通过例如提供软件的改变和更新控制相应软件。当在设备和管理系统12之间的监视所需要的连接被破坏时，虚拟机和设备会继续作用。 [0091] 虚拟机是功能齐全的环境，其中操作系统91和应用软件独立于相同硬件上的其他虚拟机来运行。除了图2的设备代理19可以另外提供的设备软件控制虚拟机并且提供在外围设备和虚拟机之间，并且可以选择虚拟机具有到什么外围设备的访问。设备软件还可以当数据通过外围设备和虚拟机之间时主动地处理数据，允许设备软件过滤或转换数据。 [0092] 如图10中所示出的，桌面环境运行在数据处理设备17上的虚拟机91内，并且被给予对于视频卡、键盘93、鼠标94和声卡的访问。还被给予对于虚拟网络接口104和虚拟硬盘103的访问，使得从虚拟机的视角，虚拟机具有其通常需要的对于所有资源的访问。通过具有对于视频卡和声卡的直接访问，可以完全使用这些设备，例如能够导致高质量3D图形，并且确保图形和声音被正确地同步。 [0093] 设备软件设置有加密能力。在设备软件内，当数据在物理硬盘91和虚拟硬盘103之间移动时，可以对数据进行加密，使得仅有加密数据存储在物理硬盘97上，同时将标准未加密虚拟硬盘呈现给桌面环境91。 [0094] 来自物理网络96接口的网络业务在被传递至虚拟网络接口104之前，可以通过单独虚拟机102进行路由。这是在对业务进行路由中提供更多弹性。给予这个第二虚拟机102对桌面的网络业务进行设置防火墙的责任并且可以被中央系统管理者控制。这允许中央系统管理者来限定每个桌面设置防火墙政策，使得那个政策由计算机本身来实现并且有信心政策不会被干扰。是这个设置防火墙政策可以被用于限制用于对一定服务的访问，而不是给予它们对于企业网络的宽访问。其可以用于监视以不平常业务模式去往和来自桌面的网络业务如蠕虫/病毒感染或外部一方的网络侵入。防火墙还能够用于锁闭桌面以防止来自受感染桌面的蠕虫或病毒的传播或以监视外部一方的活动。 [0095] 防火墙102内可以包括VPN系统，防火墙102允许当远离办公室时对企业网络的安全和可能访问，或允许对于企业LAN内的业务进行加密以防止窃听的能力。利用防火墙内的这种VPN系统，可以允许桌面操作系统91基于家用或其它外部网络访问企业网络，而同时同时拒绝对于那个网络的桌面访问。VPN在仅有中央系统管理者访问的防火墙虚拟机102的稳定环境内运行，使得管理更容易，更安全并且更稳定。 [0096] 可以过滤在通用总线上的设备如USB设备。系统管理者可以例如允许桌面访问USB外围设备如鼠标94、键盘93，但是拒绝对外围设备如记忆棒95、CD写入器或网络卡的访问。因此防止雇员可以从公司移除数据所通过的潜在机制，并且阻挡恶意软件可以进入网络所通过的传播媒介。 [0097] 为确保桌面环境仅由授权人员来访问，可以为USB软件狗/记忆棒形式的安全机制可以用于保持设备软件和防火墙所使用的安全密钥。如果授权软件狗插入机器中，VPN和磁盘加密密钥被激活并且使得桌面环境成为可能。当移除软件狗时，桌面环境被暂停，VPN和磁盘加密成为不可能并且移除计算机保持的密钥的任意副本。可替选地，密钥可以由用户提供密码、这些两个系统的某一结合或一些其它这种系统来保护。 [0098] 当管理可去除介质如桌面虚拟机的USB记忆棒时，更高度复杂的是可以处理介质和桌面虚拟机之间的数据业务，在数据被写入介质时对数据进行加密并且当从介质读取数据时对数据进行解密，以代替简单阻挡或允许可去除介质。这种加密可以在桌面虚拟机的范围外完成，确保桌面虚拟机的用户以及在虚拟机内运行的软件不能干涉这个加密过程。 [0099] 从桌面虚拟机的视角，可去除介质看起来被解密，但是如果介质位于未授权机中，不能访问介质上的数据。 [0100] 通过分配对于每块可去除介质唯一的加密密钥，并且具有带有组织内的控制和中央密钥存储的密钥管理系统，对于可去除介质上的数据而言可以与组织容易地分享，同时使得数据更难的多来地在可去除介质上泄露到组织外。如果必要将数据转移至外部组织，那么通过经由安全链接与外部组织分享介质密钥，它们可以访问可去除介质的内容，同时仍然针对第三方保护数据。 [0101] 可替选设备架构 [0102] 在对于图2中所显示而可替选的构造中，可以提供图11中显示的设备架构。在图2中，系统负责管理物理硬件的所有方面，并且控制在那个硬件上运行的所有虚拟机。设备代理19具有完全控制，直接构造和开始/停止虚拟机。在图11的可替选系统中，设备代理与已有虚拟机管理系统，例如 或者甚至是 网络服务器云结合。 [0103] 在图11的可替选构造中，设备116设置在与设备16相似的位置中。设备代理119为提供至设备116的软件，但是不像图2的设备代理19，设备代理119不负责物理硬件。来自其它资源的虚拟机112可以在与设置有设备代理119的虚拟机23、24相同的硬件上运行。在一系列虚拟机120已经被提供并且在设备116上运行的情况中，这个架构更适合，在设备116中提供设备代理119并且仅有一些虚拟机23、24被提供设备代理119。在将不提供与图2中的架构不同的整个物理机并且提供形式为设备16的机器的情况中这种类型的架构是适合的。 [0104] 在这个实施方式中，控制虚拟机23、24的设备代理19在其自身的控制虚拟机121内运行，并且被给予通过基于安全网络的API至第三方VM管理系统122的访问。在这个情况中，设备代理119请求VM管理系统122为其自身构造和运行虚拟机，以代替直接开始虚拟机。 [0105] 控制虚拟机121一般作为由VM管理系统控制的虚拟机而运行，但是VM管理系统可以利用与其创建的虚拟机和VM管理系统的良好网络连接而在任意点处运行。 [0106] 简化的网络配置 [0107] 如在上文“配置”部分中所提到的，网络配置的一些默认值可以由软件提供商建议。现在解释这种值的实例和如何获得它们。 [0108] 如果虚拟机如图2或11中所显示的虚拟机需要连接至局部网络，那么会需要适合于其所连接至的网络的配置设置。对于不需要固定网络地址的虚拟机而言，如果网络具有DHCP服务器的话，这些设置可以被自动确定。但是，对于需要固定网络地址(即，服务器)或没有DHCP服务器的情况而言，对于虚拟机连接至的每个网络而言，必须手动提供网络设置。对于服务器而言，通常还将DNS地址与服务器数值IP地址关联，以便用户可以使用人员可读UPL而不是数值IP地址来到达服务器。再次，从DNS地址至固定网络地址的该映射的建立通常是手动过程。 [0109] 如上文参考图1所描述的，提供控制每个虚拟机的网络设置的中央管理系统12。而且，提供连接至局部网络的设备代理19、119。这使得所有网络设置的可感测默认值可以被提供，简化设置服务器虚拟机的过程。 [0110] 通常，服务器虚拟机需要被配置以连接至正确的LAN，被提供IP地址，网络掩码、默认网关&DNS服务器，并且具有与服务器IP地址关联的其DNS地址。对于每个虚拟机上的每个网络需要提供这个配置。典型的网络配置设置显示在图12A中。 [0111] 在本发明的一些实施方式中，提供子网络结构，其具有网络地址范围、网络掩码、可选默认网关、零个或多个个DNS服务器并且与LAN关联。对于连接至子网络的每个虚拟机而言，这些设置是相同的。因此，通过识别正确的子网络，并且提供唯一的IP地址，可以提供正确的网络设置给虚拟机。作为设备16、17、18设置过程的一部分，基于网络设置架构默认LAN和默认子网络，网络设置用于在建立程序期间联系管理系统12。 [0112] 为了帮助确定合适的唯一的IP地址，设备代理19、119有规律地扫描本地网络，查找未被使用的IP地址。使得未使用IP地址的这个列表对于中央管理系统12可用，因而当用户必须提供唯一IP地址时，他们可以具有从未使用地址的列表中选取的选择权。作为虚拟机的规律地监视检查的一部分，虚拟机还可以利用它们的IP地址检查它们是否只是网络上的设备以确保它们的IP地址保持唯一。 [0113] 最终，我们允许DNS域与软件装置关联，并且为了在那个域中域名与IP地址自动关联。如果对装置进行了这种关联，那么当构造新的虚拟机时，管理系统12自动基于由用户给予虚拟机的名称和与虚拟机装置关联的域来生成域名。这个域名与被设计为虚拟机的初步IP地址的唯一IP地址关联，并且这种关联接过DNS系统自动公布。可以在本发明的实施方式中提供的典型网络配置设置显示在图12B中。 [0114] 因此，用户简单地选择正确的子网络，以代替提供网络掩码、默认网关、DNS服务器和LAN名称，并且因为通常只有一个子网络(在建立时自动创建的一个)，这在多数情况中可以自动完成。利用选择的子网络，用户需要为了那个子网络提供唯一IP地址，但是利用本实施方式的程序，用户可以从合适的地址列表中选择，而不是自身必须确定一个。如果那个地址变得不合适，虚拟机会检测到，并且作为其正常监视的一部分对其进行报告。最终，DNS地址基于虚拟机的名称和与装置关联的域而被自动生成，并且自动与虚拟机IP地址关联而且公布在域的名称服务器上。 [0115] 这意味着，在大部分情况下，仅需要用户选择服务器的名称和从有效地址列表选择I票地址，这简化了否则要求的程序。 [0116] 上文描述的所有或部分操作可以凭借包括合适代码指示的计算机程序来执行。这个程序可以被加载并且运行在数据处理设备例如独立盒子或多个这种设备的计算机装置上。 |
||||||
