深信服桌面云（aDesk）学习笔记

1.开启重启还原到快照功能后，虚拟机将关闭Agent自动升级功能。即重启还原到快照不支持Agent升级场景，要升级Agent需要先关闭此功能配置，然后等待Agent升级完成后，将虚拟机的最新状态打上快照，最后重新启用此功能
2.重启还原到快照只支持还原到最近快照，不支持还原到备份。只有异地备份，没有快照时，该功能不生效；
3.重启自动还原仅支持专用模式，且仅支持还原系统盘；
3.虚拟机没有快照时，开启了重启还原到快照功能，开机时不会有还原操作，即无快照时，走正常开机流程；
4.重启或开机时，恢复快照失败，虚拟机走正常流程开机。这种情况下虚拟机可以正常开机，只是没有进行快照恢复， VMP控制台可以查看到快照恢复失败的日志。

自助恢复快照

仅针对系统盘，系统盘与数据盘快照分离
与隐藏导航栏互斥，恢复快照依赖导航栏
不支持还原模式与池模式==【废话~还原模式自动还原系统盘】

注意

1.虚拟机开机创建快照会导致业务中断1s左右
3.快照恢复时虚拟机需要重启；另外，系统会创建一个当前系统点的快照，防止系统还原后无法恢复到当前状态
建议仅针对需要还原的系统做快照，勿将快照作为备份使用。

关机一体化

VDI5.3.0及之前，不分关机一体化与隐藏导航条。即隐藏导航条，访问独享桌面导航条不可见同时，关机一体化生效

【隐藏导航条】，升级后，自动双选【隐藏导航条】和【开关机一体化】，若老版本用户没有勾选，则升级后都不选择。

VDI5.3.2版本，将关机一体化功能与隐藏导航条功能分离

该功能只对独享桌面资源生效，远程应用、远程桌面、共享桌面资源不生效。不支持PC客户端场景。

远程协助

1.管理员的PC与虚拟机的网络必须能通。
2.管理员使用的PC，必须是win7、win8.1或者win10系统(xp系统没有远程协助不支持)；
3.管理员PC必须安装VDI PC客户端控件(未安装控件或者控件版本不正确时，远程协助时会弹出下载链接)；
4.管理员PC上的浏览器必须是IE8或者IE8以上版本，但是不支持Microsoft Edge浏览器。支持42.0以上版本的chrome浏览器，支持其他IE内核的浏览器。
5.虚拟机只支持win7、win10系统，且虚拟机的Agent状态必须正常，且必须有用户登录到虚拟机中。

网络状态

策略组管理

动态通道流控

开启磁盘映射才生效

跨集群迁移（5.3.2以上）

网络不是瓶颈，受到SCP本身速度以及存储读写速度影响，通过集群管理口进行迁移

集群总并发速度为：集群主机较少的数量*2*scp速度（60~70单进程）
单主机SCP最大2个SCP并发

支持程度

同版本VMP间VM迁移
模板/模板派生虚拟机迁移，非以上不可迁移
非模板或派生虚拟机通过vma导入导出方式迁移

步骤

VMP集群间虚拟机迁移
VDC导入虚拟机，建立VDC与VMP虚拟机间映射关系

• VDC如果是硬件可直接修改虚拟化平台控制器IP即可

• VDC进行配置全局导入、导出即可

• 新VDC新建资源，依据原来派生的相关配置进行新资源配置+VDC用户导出导入

• 模板必须选择原有模板（已迁移至新VMP集群）

• 发布类型也必须与原有类型相同

• 是否有配置个人盘也必须配置一致（大小可不一致）

流程

导入失败的可能原因

虚拟机相关

• 重复导入---vmid相同的虚拟机

• 非关机状态的虚拟机

• 虚拟机是否有加密磁盘

• 是否为派生虚拟机

• 同名/同组检查

源集群

• 是否存在跨集群迁移任务

• 原集群是否稳定

目的集群

• 网络检查

• VMP版本检查

• 2D/3D服务器类型检查

• 可用空间检查

• 目的集群稳定状态检查

应用管控

路径规则

1. 按目录配置是指此目录下所有软件均纳入规则；
2. 按文件配置是指该文件对应的单一软件纳入规则。

应用特征码规则

单一软件的不同版本需创建多个应用特征码规则。

产品信息规则

1.按进程信息
2.按产品信息
3.按发布者信息

限制

仅支持独享桌面
不支持linux系统，xp、win8、win10家庭版系统，win7、10专业版系统以及加域虚拟机资源

IRS-APP

应用优化助手只能识别到“带窗口的软件进程”，并对识别到的top5进行加速
识别不到的就需要在VDC上进行策略配置，强制识别
一些后台类进程是不带窗口的，而且比较占资源---配置VDC策略，强制减速该进程
一些后台类进程是不带窗口的，但是很重要，需要优先保障资源---配置VDC策略，强制加速该进程
“加速”本质上是进程优先级的调整
应用优化助手最多只能自动识别5个APP进行自动加速，优化助手只能加速APP，无法减速

日志

加速名单：查看日志，优化进程的日志路径：%vdi%\Logs\wdOptApp.log
应用助手的日志路径：%appData%\sangfor\vdOptAppUlINog

设置的加速进程在UI中显示了，但是优先级未调整（在任务管理器中查看其优先级显示的是普通或者低于标准）查看日志

IRS-SMP（CPU智能调度）

vCPU调度中断引起调度开销，导致虚拟机卡慢（2核虚拟机不卡），消耗服务器CPU资源，开启此功能后，提升多核虚拟机使用体验，降低服务器CPU负载

日志位置：C:\Program Files (x86)\Sangfor\SSL\VDI\Logs\SMPService.log

调试程序：C:\Program Files (x86)\Sangfor\SSL\VDI

摄像头优化

ARM关键日志编码方式查看：

【略】

X86关键日志查看：

【略】

PC客户端关键日志查看：

文件日志：%appdata%Sangfor/Camera/Logs/libusbredir2.dll.log，可通过注册表调整日志输出级别，默认最低输出为“信息”。

Linux

只支持XUbuntu-16.04的Linux发行版（ubuntu-16.04-desktop-amd64.iso）。
不支持Linux资源的自动登录--控制台独享桌面资源配置界面将自动登录功能置灰
不支持Linux桌面加入域。
不支持agent免IP功能。
不支持视频流、音视频重定向、flash重定向、软件分发和双屏显示的场景。
不支持PC剪切板、3D软件、屏保和休眠功能。
客户端接入Linux桌面时不支持虚拟机内修改分辨率，可在客户端界面修改分辨率再接入Linux桌面实现分辨率修改。
支持MAC访问Linux

agent

agent卸载密码：123456a
agent service的依存关系看所有进程是否已经启用

agent异常

是否安装agent
是否通过vdc上开机过虚拟关机，在VDC上重新开机，或者用客户端接入开机agent相关的进程是否正常运行，检查服务是否被禁用了
agent版本不匹配 --- 可能由于还原模式下agent升级问题
5.2之前的版本，检查虚拟机到vdc的lan口8866端口通信是否正常
5.2之后采用是免IP的机制，检查vmp到vdc的通信是否正常 --- VMP管理口与VDC lan口

排错

重命名VDHook

%vdi%回车进入 agent 安装目录，将 VDHook.dll、VDHook64.dll 重命名为VDHookbac.dll、VDHook64bak.dll注销windows重新运行程序。若正常，则为vdhook钩子程序引起

• 重启设备生效

5.3.3之前修改注册表

• 获取程序进程名，虚拟机配置取消挂钩

配置路径如下新建字符串值，名称为程序进程名注意带 exe，如 ie 的进程为 iexplore.exe32 位系统：HKEY_LOCAL_MACHINE\SOFTWARE\Sangfor\SSL\VDI\VDHook\ NotHookExeNa64 位系统：HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Sangfor\SSL\VDI\VDHook\NotHookExeName配置完成后记得重新注销或者重启登录虚拟机测试正常。

• 进程获取方式：启动任务管理器，找到对应程序的进程名，加入注册表中

• 注销VDI，重新登陆生效

5.3.3之后VDC配置，将覆盖虚拟机本机的

• 策略组 --- 独享桌面 --- 兼容性列表

agent日志

• win7 64Bit

• C:\Program Files (x86)\Sangfor\SSL\VDI\Logs

• win7 32Bit

• C:\Program Files\Sangfor\SSL\VDI\Logs

软件使用问题排错

Windows cmd 管理员权限运行fltmc

硬件

添加磁盘

分配方式

• 预分配

• 精简分配

磁盘类型

• 添加已有磁盘

• 删除原有磁盘数据

• 作为个人盘

• 也具有重定向功能，需VDC勾选“添加个人磁盘”

• 新磁盘

执行置零操作，避免跨虚拟机数据泄露
置零操作+预分配会延长分配时间

添加串口

通过串口连接到不通的虚拟机

磁盘大小修改

只允许改大，不支持改小
需虚拟机进行磁盘初始化

高级

磁盘写缓存
FASTIO：安装agent生效
内存回收：XP和Win10不建议开启

开关机计划

超时关机：VDI用户注销后，关闭虚拟机
指定关机时间：VDI用户注销后，将在指定时间关机，如VDI用户在线则不生效

模板维护

$admin与admin密码登陆模板虚拟机
通过共享目录获取软件安装包
安装硬件驱动等需要映射生效的外置硬件驱动

中间人攻击

检查是否有针对VDC443端口的监听
针对瘦终端、PC利旧、PC客户端均不生效，仅对移动接入生效
开启后将自动开启图形校验

PC一体化

支持安装在Windows XP、Win7、Win10
将自动创建sangforsslvdi用户，物理机开机自动进入资源登陆页面
隐藏导航条和关机一体化功能也同样适用于PC一体化场景。

音视频重定向

限制

仅在arm盒子生效
播放器

• Windows Media Player

• 暴风影音5

538后可针对策略组生效

极域

5.3.5以下

2015标准版

5.3.5及以上

2017豪华版

• 对标准版新增功能包括：共享白板、抢答竞赛、试卷编辑、开始考试、阅卷评分、答题卡考试、U盘限制、打印限制。

2017标准版

• 极域电子教室新增教师机系统声音广播和麦克风声音广播（包括屏幕广播、学生演示）；

• 教师机、学生机支持win10部署场景；

• 新增USBkey授权方式，实现教师机灵活授权；

• 支持教师机远程开启学生瘦客户机；

极域音频广播

在线模式

• 教师机发起组播建立请求给VM

• VM转发请求到瘦终端

• 瘦终端加入教师机组播域

离线模式

• 教师机与VM建立TCP长连接

• 教师机与学生机断连通过组播域收发音视频

代理模式

• 教师机VM与教师机瘦终端建立连接

• 瘦终端与学生机断连通过组播域收发音视频

操作系统

VM配置

极域2017默认资产射手影音与暴风影音，使用edutool.exe可进行网络影院开关

• flush重定向关闭

• 音视频重定向关闭

升级

• 需要使用对应VDI版本极域

• 版本升级需卸载旧版本的极域

• 标准版升级标准版无需进行额外收费，找销售重开序列号即可

• 2015序列号需重新开，否则客户端依旧显示2015版本

极域安装不升级

极域安装版本不升级是指，极域依旧使用原2015年极域标准版（2.7.13561）。当VDI升级至5.3.5版本时，教师机仅需要升级极域组件即可。升级步骤如下：

• 1.待教师虚拟机内Agent升级完成以后，点击运行5.3.5版本内的教育组件，路径为：极域2017标准版/豪华版软件安装包\Teacher\EduShellnstall.exe

• 2.安装完成以后手动重启教师物理机或者教师虚拟机

极域音频广播

• 音频广播：勾选后学生机接收广播界面同时接收教师机系统声音。

• 语音通话：勾选后学生机接收广播界面同时接收教师机麦克风输入声音。

•

远程开机

• 远程开启学生机：SN 7xHxxxxxxx ，型号为STD -X -S

• 策略组勾选教师机专用策略，填写教师机VDI的用户名和密码

常见问题

• win10广播杂音，修改采样频率

• 学生USB耳机无声音，配置USB黑名单

中科卓软

语音教学场景
5.3.5开始，资产中科卓软2018版本支持
优化（教师机物理机+arm瘦终端）

• VM不对视频数据进行解码渲染数据，广播数据传输给瘦终端，由瘦终端进行数据接受、数据解码、数据渲染

• VM会音频进行解码、渲染，故可能存在音视频不同步问题

VM卓软学生端接收画面传给卓软重定向插件，该插件将数据通过内存共享重定向给桌面云重定向插件

要求

• 教师机使用物理机，学生机必须是arm架构虚拟机

• 系统

分布式防火墙

配置灵活

基于ip范围
vdc本地用户/用户组/Idap外部用户映射到本地组/从ldap导入到本地的用户/用户组
虚拟机/资源/资源组进行策略配置：池模式场景策略绑定用户

使用场景

虚拟机间隔离
勒索病毒横向传播
基于IP难以满足的其它访问控制场景
策略绑定用户，策略与虚拟机无关

工作流程

agent上报IP
vmp学习到agent上传的IP后传给VDC
vdc进行acl策略配置
vdc间acl策略发送给vmp
vmp将iptables规则写入虚拟机

注意

iptables为每虚拟机独立
虚拟机防火墙按从上到下匹配，匹配即止
只有虚拟机是正在运行的，且能正常上报IP的VM才会被写入防火墙规则

策略生效机制

通用场景

• 匹配的防火墙策略在虚拟机开机后下发并生效，关机后，10分钟内清除策略

池模式虚拟机使用基于用户的策略场景

• 匹配的防火墙策略在用户接入虚拟机后生效，用户注销后，10分钟内清除策略

使用未导入VDC的外部用户且使用基于用户组的策略场景（LDAP组映射）

• 匹配的防火墙策略在用户登录后生效（虚拟机运行状态），用户注销后，10分钟内清除策略

非直接变更防火墙策略导致的策略变动场景（如修改虚拟机所属分组/修改用户所属分组等）

• 匹配的策略会在10分钟内生效，重启虚拟机或者vdi用户注销重登可以立即生效

策略转换规则

优先写入出站规则
匹配即写入
基于用户/用户组不会写入iptables，因为虚拟机IP尚未获取

配置

该模块暂时仅支持admin配置
导入仅支持源目对象均是IP的策略，不支持基于用户组的防火墙规则导入

UPM用户配置重定向

工作流程

1.用户登录虚机
2.由RVLSession通知VDShell进行策略请求
3.AGENT向VDC请求用户配置的策略
4.VDAgent将获取到的策略保存并解析生成配置文件
5.VDAgent将配置文件下发底层文件过滤驱动
6.文件过滤驱动依据配置完成重定向到个人盘

UPM更新流程

强制不重定向的路径

整个C盘路径C:\
系统文件路径C:\windows
我的文档路径 %HOMEPATH%\My Document
我的桌面路径 % HOMEPATH %\Desktop
Agent组件路径

• C:\Program Files\Sangfor 32位系统

• C:\Program Files (x86)\Sangfor 64位系统

非系统盘路径

池模式：还原模式的特殊类型

AD域漫游，配置漫游==必须配置自动登录到域

虚拟机管理

虚拟机分组最多支持5级分组
虚拟机到期不会影响虚机正常使用，管理员通过高级筛选虚机状态

系统排错工具

WinPE

【略】

复制到相关路径，以便挂载到虚拟机

【略】

使用场景

系统盘数据拯救
忘记密码
加密数据盘解密挂载

Process XP

View->System information

handles（句柄）和CPU相关，系统正常稳定运行该值在5W以内，若是系统或者程序的该值超过5W会引起系统卡慢等问题
ContextSwitchs Delta（上下文切换增量）：和CPU相关，系统正常稳定运行该值在10W以内，若打开应用过多，会引起该值偏高，超过10W会引起性能问题（如：操作卡顿）
page fault delta（页面错误增量）：和内存相关，正常整个系统的页面错误增量不会超过1W若是系统或者程序该值超过1W，则会导致系统卡慢

Windows时间查看器

windbg调试工具

存储

多路径

服务器推荐配置

两个HBA卡,每个HBA卡配置一个存储光模块，提供1*8GE链路；HBA卡存在单点故障风险前提下时可以考虑使用一个HBA卡，每个HBA卡配置两个存储光模块，提供2*8G链路；
FC存储阵列配置AB控，每个控制器提供2*8GE链路；
两台存储FC交换机；接受FC交换机存在单点故障风险前提下时可以使用1台存储FC交换机