一种虚拟桌面的访问控制方法及装置的制造方法
【专利摘要】本发明提供一种虚拟桌面的访问控制方法及装置，所述方法应用于终端设备，在终端设备的云桌面客户端与虚拟机建立用于访问虚拟桌面的第一虚拟通道后，所述方法包括：当所述云桌面客户端选定所述虚拟机上的虚拟桌面时，在该云桌面客户端与该虚拟机之间建立第二虚拟通道；按照预设时间通过所述第二虚拟通道发送心跳数据包至所述虚拟机，以使所述虚拟机确认所述云桌面客户端的合法身份。因此本发明可以避免用户通过非法客户端访问虚拟桌面，从而防止了虚拟桌面中的数据被复制或篡改，增强了虚拟桌面的安全性。
【专利说明】
一种虚拟桌面的访问控制方法及装置
技术领域
[0001]本发明涉及通信技术领域，尤其涉及一种虚拟桌面的访问控制方法及装置。
【背景技术】
[0002]云桌面基于虚拟桌面基础架构，能够将用户的桌面环境以虚拟机的形式托管至高性能服务器上，用户可以通过多种终端设备使用自己的云桌面，从而获得与物理PC几乎相同的用户体验。
[0003]现有的云桌面系统架构中，云桌面管理平台主要用于给用户授权分配虚拟机，基于云桌面信息安全的考虑，云桌面管理平台一般会授权部分合法客户端访问云桌面，在本发明中称这些授权的客户端称为云桌面客户端，用户可以通过在终端设备上运行云桌面客户端登录虚拟机上的云桌面。但在用户通过终端设备上的云桌面客户端访问授权的虚拟机时，若用户又同时在该终端设备上使用远程桌面连接工具，例如Mstsc (Microsoftterminal services client，微软终端服务客户端)访问同一台虚拟机，则该云桌面客户端与云桌面的连接会被抢占下线。若有非法用户使用远程桌面连接工具Mstsc访问虚拟机，则会导致虚拟机中的数据被复制或篡改，会给云桌面带来很大的信息安全隐患。由于虚拟机无法识别与自身建立远程连接的客户端的身份，因此在安全性要求较高的情况下，无法控制用户通过指定的合法客户端访问虚拟机，从而降低云桌面的安全性。
【发明内容】
[0004]有鉴于此，本发明提供一种虚拟桌面的访问控制方法及装置来解决用户通过非法客户端访问虚拟桌面的问题。
[0005]具体地，本发明是通过如下技术方案实现的:
[0006]本发明提供一种虚拟桌面的访问控制方法，所述方法应用于终端设备，在终端设备的云桌面客户端与虚拟机建立用于访问虚拟桌面的第一虚拟通道后，所述方法包括:
[0007]当所述云桌面客户端选定所述虚拟机上的虚拟桌面时，在该云桌面客户端与该虚拟机之间建立第二虚拟通道；
[0008]按照预设时间通过所述第二虚拟通道发送心跳数据包至所述虚拟机，以使所述虚拟机确认所述云桌面客户端的合法身份。
[0009]进一步的，所述在该云桌面客户端与该虚拟机之间建立第二虚拟通道，具体包括:
[0010]在注册表的指定位置写入该云桌面客户端对应的动态库路径，以使该终端设备通过加载该动态库建立并初始化与所述虚拟机之间的第二虚拟通道。
[0011 ]进一步的，所述第一虚拟通道和所述第二虚拟通道均基于远程桌面协议RDP建立。
[0012]本发明还提供一种虚拟桌面的访问控制方法，所述方法应用于虚拟机，在该虚拟机与终端设备中的云桌面客户端建立用于访问虚拟桌面的第一虚拟通道后，所述方法包括:
[0013]当收到该云桌面客户端访问该虚拟机上的虚拟桌面的请求时，初始化与该云桌面客户端之间的第二虚拟通道，以使该云桌面客户端通过该第二虚拟通道发送心跳数据包；
[0014]根据从所述第二虚拟通道接收的所述心跳数据包对该云桌面客户端的身份是否合法进行判断。
[0015]进一步的，所述根据从所述第二虚拟通道接收的所述心跳数据包对该云桌面客户端的身份是否合法进行判断，包括:
[0016]在预设时间内，检查从所述第二虚拟通道中收到的心跳数据包是否合法；
[0017]若心跳数据包不合法或超过该预设时间未收到该心跳数据包，则确定该云桌面客户端的非法身份。
[0018]进一步的，所述检查从所述第二虚拟通道中收到的心跳数据包是否合法，包括:
[0019]获取所述心跳数据包中的密码，判断所述密码是否与所述云桌面客户端在建立第一虚拟通道时预先保存的密码相同，若相同，则确认所述心跳数据包合法，若不同，则确认所述心跳数据包不合法。
[0020]进一步的，检查该第二虚拟通道超过该预设时间未收到该心跳数据包的方法，包括:
[0021]在所述第二虚拟通道建立时，为该第二虚拟通道建立时间戳，并设置为初始时间戳；
[0022]若所述心跳数据包合法，则根据当前时间更新该第二虚拟通道的时间戳；
[0023]若在第一预设时间从该第二虚拟通道中未收到由云桌面客户端发送的心跳数据包，则不更新该时间戳；
[0024]若在第二预设时间检测该第二虚拟通道的当前时间戳与初始时间戳的时间差大于阈值，则关闭所述第二虚拟通道。
[0025]基于相同的构思，本发明提供一种虚拟桌面的访问控制装置，所述装置应用于终端设备，在终端设备的云桌面客户端与虚拟机建立用于访问虚拟桌面的第一虚拟通道后，所述装置包括:
[0026]通道建立单元，用于在所述云桌面客户端选定所述虚拟机上的虚拟桌面时，在该云桌面客户端与该虚拟机之间建立第二虚拟通道；
[0027]数据发送单元，用于按照预设时间通过所述第二虚拟通道发送心跳数据包至所述虚拟机，以使所述虚拟机确认所述云桌面客户端的合法身份。
[0028]进一步的，所述通道建立单元，具体用于在注册表的指定位置写入该云桌面客户端对应的动态库路径，以使该终端设备通过加载该动态库建立并初始化与所述虚拟机之间的第二虚拟通道。
[0029]进一步的，所述第一虚拟通道和所述第二虚拟通道均基于远程桌面协议RDP建立。
[0030]本发明还提供一种虚拟桌面的访问控制装置，所述装置应用于虚拟机，在该虚拟机与终端设备中的云桌面客户端建立用于访问虚拟桌面的第一虚拟通道后，所述装置包括:
[0031]通道初始化单元，用于在收到该云桌面客户端访问该虚拟机上的虚拟桌面的请求时，初始化与该云桌面客户端之间的第二虚拟通道，以使该云桌面客户端通过该第二虚拟通道发送心跳数据包；
[0032]身份判断单元，用于根据从所述第二虚拟通道接收的所述心跳数据包对该云桌面客户端的身份是否合法进行判断。
[0033]进一步的，所述身份判断单元，包括:
[0034]数据接收子单元，用于在预设时间内，检查从所述第二虚拟通道中收到的心跳数据包是否合法；
[0035]身份确定子单元，用于在心跳数据包不合法或超过该预设时间未收到该心跳数据包，则确定该云桌面客户端的非法身份。
[0036]进一步的，所述数据接收子单元，具体用于获取所述心跳数据包中的密码，判断所述密码是否与所述云桌面客户端在建立第一虚拟通道时预先保存的密码相同，若相同，则确认所述心跳数据包合法，若不同，则确认所述心跳数据包不合法。
[0037]进一步的，所述身份确定子单元，还用于在所述第二虚拟通道建立时，为该第二虚拟通道建立时间戳，并设置为初始时间戳;若所述心跳数据包合法，则根据当前时间更新该第二虚拟通道的时间戳;若在第一预设时间从该第二虚拟通道中未收到由云桌面客户端发送的心跳数据包，则不更新该时间戳;若在第二预设时间检测该第二虚拟通道的当前时间戳与初始时间戳的时间差大于阈值，则关闭所述第二虚拟通道。
[0038]由此可见，本发明可以通过在虚拟桌面与云桌面客户端之间建立一条用于判断客户端身份的虚拟通道，并通过该虚拟通道向虚拟机发送心跳数据包，以使虚拟机根据从该虚拟通道中收到的心跳数据包时确认当前客户端的合法身份。因此本发明可以避免用户通过非法客户端访问虚拟桌面，从而防止了虚拟桌面中的数据被复制或篡改，增强了虚拟桌面的安全性。
【附图说明】
[0039]图1是本发明一种示例性实施方式中的一种虚拟桌面的访问控制的处理流程图；
[0040]图2是本发明一种示例性实施方式中的另一种虚拟桌面的访问控制的处理流程图；
[0041 ]图3是本发明一种示例性实施方式中组网示意图；
[0042]图4a本发明一种示例性实施方式中的一种虚拟桌面的访问控制装置所在的设备的硬件结构图；
[0043]图4b本发明一种示例性实施方式中的一种虚拟桌面的访问控制装置的逻辑结构图；
[0044]图5a本发明一种示例性实施方式中的另一种虚拟桌面的访问控制装置所在的设备的硬件结构图；
[0045]图5b本发明一种示例性实施方式中的另一种虚拟桌面的访问控制装置的逻辑结构图。
【具体实施方式】
[0046]为了解决现有技术存在的问题，本发明提供一种虚拟桌面的访问控制方法及装置，可以通过在虚拟桌面与云桌面客户端之间建立一条用于判断客户端身份的虚拟通道，并通过该虚拟通道向虚拟机发送心跳数据包，以使虚拟机根据从该虚拟通道中收到的心跳数据包时确认当前客户端的合法身份。因此本发明可以避免用户通过非法客户端访问虚拟桌面，从而防止了虚拟桌面中的数据被复制或篡改，增强了虚拟桌面的安全性。
[0047]请参考图1，是本发明一种示例性实施方式中的一种虚拟桌面的访问控制的处理流程图，所述方法应用于终端设备，所述终端设备可以包括PC机、移动终端等。在终端设备的云桌面客户端与虚拟机建立用于访问虚拟桌面的第一虚拟通道后，所述方法包括:
[0048]步骤101、当所述云桌面客户端选定所述虚拟机上的虚拟桌面时，在该云桌面客户端与该虚拟机之间建立第二虚拟通道；
[0049]在本实施例中，云桌面管理平台可以授权部分客户端作为云桌面客户端，并通过记录这些云桌面客户端标识来对这些云桌面客户端进行安全监控。对于云桌面来讲，云桌面管理平台授权的云桌面客户端为合法客户端，其他类型的客户端为非法客户端。当终端设备上的云桌面客户端选定虚拟机上的虚拟桌面时，终端设备可与该虚拟机之间建立第二虚拟通道。具体来讲，终端设备中的云桌面客户端还设置有对应的动态库，在云桌面客户端与虚拟机建立连接之前，终端设备可以在注册表中的指定位置写入该云桌面客户端对应的动态库路径，以令终端设备在与虚拟机建立连接后，自动加载该动态库以建立该终端设备与该虚拟桌面所在的虚拟机之间的第二虚拟通道，并在该第二虚拟通道建立完成时对初始化该第二虚拟通道相关参数，其中所述相关参数包括但不限于第二虚拟通道的名称以及通道数据传输的加密方法等。在本发明可选的实施例中，所述第一虚拟通道和所述第二虚拟通道均可基于RDP(Remote Desktop Protocol，远程桌面协议)建立。
[0050]步骤102、按照预设时间通过所述第二虚拟通道发送心跳数据包至所述虚拟机，以使所述虚拟机确认所述云桌面客户端的合法身份。
[0051]当云桌面客户端与虚拟机之间的第二虚拟通道建立完成后，云桌面客户端可以按照预设时间通过所述第二虚拟通道发送心跳数据包至所述虚拟机，以使所述虚拟机根据从所述第二虚拟通道收到的心跳数据包确定当前云桌面客户端的用户身份合法，从而虚拟机可以保持与该云桌面客户端的正常连接，以使用户正常访问虚拟桌面。
[0052]当云桌面客户端的用户主动断开与该虚拟桌面的连接或者会话被非法客户端抢占下线时，可视为云桌面客户端与虚拟机断开连接，则云桌面客户端会关闭所述第二虚拟通道，停止发送心跳数据包，从而与该虚拟机断开数据连接。
[0053]由此可见，本发明可以通过在云桌面客户端与虚拟机之间建立用于身份识别的虚拟通道，云桌面客户端可以通过该虚拟通道发送心跳数据包，从而可以使虚拟机能够判断访问的客户端是否为合法的客户端，提高了虚拟桌面的安全性。
[0054]请参考图2，是本发明一种示例性实施方式中的另一种虚拟桌面的访问控制的处理流程图，所述方法应用于虚拟机，在该虚拟机与终端设备中的云桌面客户端建立用于访问虚拟桌面的第一虚拟通道后，所述方法包括:
[0055]步骤201、当收到该云桌面客户端访问该虚拟机上的虚拟桌面的请求时，初始化与该云桌面客户端之间的第二虚拟通道，以使该云桌面客户端通过该第二虚拟通道发送心跳数据包；
[0056]在本实施例中，当终端设备上的云桌面客户端选定虚拟机上的虚拟桌面时，虚拟机会收到云桌面客户端发送的访问请求，此时虚拟机可以通过预先约定的协议，例如RDP协议，配终端设备建立第二虚拟通道，以使该云桌面客户端通过该第二虚拟通道发送心跳数据包。
[0057]步骤202、根据从所述第二虚拟通道接收的所述心跳数据包对该云桌面客户端的身份是否合法进行判断。
[0058]第二虚拟通道建立完成后，虚拟机可以从该第二虚拟通道接收来自于云桌面客户端的心跳数据包，为了验证当前用户使用的云桌面客户端是否合法，虚拟机可以在预设时间内，检查从所述第二虚拟通道中收到的心跳数据包是否合法;若心跳数据包不合法或超过该预设时间未收到该心跳数据包，则确定该云桌面客户端的非法身份。在本发明可选的实施例中，虚拟机在收到第二虚拟通道中的心跳数据包时，可以获取该心跳数据包中的密码，判断所述密码是否与所述云桌面客户端在与虚拟桌面建立连接时预先保存的密码相同，若密码相同，则可以确认所述心跳数据包为合法数据包，若密码不同，则可以确认所述心跳数据包为非法数据包。在本发明可选的实施例中，虚拟机可以在所述第二虚拟通道建立时，为该第二虚拟通道建立时间戳，并设置为初始时间戳;然后虚拟机根据第二虚拟通道收到的心跳数据包进行判断，若所述心跳数据包合法，则根据当前时间更新该第二虚拟通道的时间戳，即时间为当前时间戳;若在第一预设时间从该第二虚拟通道中未收到由云桌面客户端发送的心跳数据包，则不更新该时间戳，即时间仍为初始时间戳。考虑到虚拟通道中传输数据包可能会因意外导致延迟或丢失，因此在本发明可选的实施例中，可以进一步为该虚拟机设置第二预设时间，第二预设时间大于第一预设时间，若在第二预设时间检测该第二虚拟通道的当前时间戳与初始时间戳的时间差大于阈值，则说明访问虚拟机的客户端是非法的，从而虚拟机可以关闭所述第二虚拟通道并且断开虚拟桌面与所述云桌面客户端的连接。从而可以避免用户通过非法客户端访问虚拟桌面。
[0059]为使本发明的目的、技术方案及优点更加清楚明白，下面对本发明该方案作进一步地详细说明。
[0060]请参考图3，是本发明一种示例性实施方式中的组网示意图，所述组网中包括云桌面客户端所在的终端设备和虚拟机所在的服务器。在虚拟桌面系统架构中，虚拟桌面管理平台负责给终端设备上的内外网用户授权并分配虚拟机。终端设备上运行云桌面客户端，用于用户登录并访问虚拟桌面。虚拟机中运行Agent服务程序，主要功能包括给虚拟机加域、修改计算机名、注销、重启、关机、控制虚拟机中RDP服务的启动和停止、识别访问虚拟机的身份合法性等。上述图1、图2中虚拟机端的功能由虚拟机中代理Agent程序实现，终端设备端的功能由云桌面客户端对应的动态库实现。当内外网用户登录终端设备上的云桌面客户端后，云桌面客户端会以图标的形式展示已分配给该用户的虚拟机，双击虚拟机图标，开始远程桌面连接，云桌面客户端程序将动态库路径写入注册表特定的位置，所述注册表的特定位置如下所示:
[0061 ] HKEY_CURRENT_USER\Software\Microsoft\TerminalServerClient\Default\Addins；
[0062]其中，终端设备需要在该注册表的特定位置中加入一个子键，其中子键名称可以是任意的，但须包含REG_SZ或者REG_EXPAND_SZ类型的值，例如:Name = DLLName，所述DLLName是动态库的绝对路径。
[0063]待连接虚拟机完成后，该动态库会被终端设备自动加载运行，从而可以在云桌面客户端与虚拟机之间建立一条用于判断用户合法性的RDP虚拟通道。之后可以初始化该虚拟通道相关参数，其中包括但不限于虚拟通道的名称以及通道加密的方法等。虚拟通道初始化完成后，终端设备会在云桌面客户端与虚拟通道之间创建并监听一个命名管道，同步阻塞等待的其他客户端的连接，同时打开RDP虚拟通道，获取虚拟通道的文件句柄，用于云桌面客户端向虚拟通道发送数据包。其中命名管道的名称由一个固定的字符串和虚拟桌面连接的进程ID组成，这样云桌面客户端用户在同时连接多个虚拟桌面的应用场景下，每个连接都有各自的命名管道，确保数据的正确传输。
[0064]当云桌面客户端发起虚拟桌面连接后，开始向命名管道发起连接请求，待连接建立后，开始定时向动态库程序发送与虚拟机预先约定的心跳数据包。动态库程序收到心跳数据包后，通过命名管道向初始化后的RDP虚拟通道转发该心跳数据包。当云桌面客户端用户主动断开虚拟桌面连接或者会话被非法客户端抢占下线时，云桌面客户端会删除上述动态库的注册表键值，断开命名管道，停止发送心跳数据包，同时关闭该RDP虚拟通道。
[0065]终端设备上的内外网用户通过云桌面客户端连接虚拟桌面的整个过程中，虚拟机侧的Agent程序在检测到有云桌面客户端与虚拟桌面建立连接时，将当前系统时间转化为该RDP虚拟通道的时间戳，即为虚拟通道的初始时间戳。然后Agent程序可以定时检查是否从RDP虚拟通道中读取到心跳数据包。如果读取的心跳数据包为合法数据包，则再将当前系统时间戳更新为RDP虚拟通道的时间戳;如果读取的心跳数据包为非法数据包时，说明该RDP虚拟通道已被非法利用，因此Agent程序可立即关闭该RDP虚拟通道，停止虚拟机中的RDP服务，并注销虚拟桌面的远程登录用户；如果未读取到数据包，则不更新RDP虚拟通道的时间戳。Agent程序可以为RDP虚拟通道设置一个定时器，当定时器超时后，将当前时间戳与初始时间戳相比较，如果差值达到预设阀值(例如10秒)时，表示虚拟机长时间未收到云桌面客户端发送的合法数据包，因此Agent服务程序可判定虚拟桌面可能被用户通过非法客户端使用，即用户可能正在使用远程桌面连接工具Mstsc访问虚拟桌面，那么Agent程序可以关闭该RDP虚拟通道，停止虚拟机中的RDP服务，并注销虚拟桌面的远程登录用户；如果Agent程序发现此时不存在虚拟桌面会话，只存在控制台会话，则认定为管理员在通过控制台使用虚拟桌面，则可以不做处理。在虚拟桌面的应用场景中，由于非法用户在线的时长由Agent程序的定时器时长和云桌面客户端给动态库发送心跳数据包的间隔时长决定。因此非法用户一旦被踢下线后，将无法重复登录虚拟机，从而可以达到限制用户通过非法客户端访问虚拟桌面的目的。
[0066]基于相同的构思，本发明还提供一种虚拟桌面的解锁装置，该装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，本发明的虚拟桌面的解锁装置作为一个逻辑意义上的装置，是通过其所在设备的CPU将存储器中对应的计算机程序指令读取后运行而成。
[0067]请参考图4a及图4b，是本发明一种示例性实施方式中的一种虚拟桌面的访问控制装置400，所述装置应用于终端设备，在终端设备的云桌面客户端与虚拟机建立用于访问虚拟桌面的第一虚拟通道，该装置基本运行环境包括CPU，存储器以及其他硬件，从逻辑层面上来看，该装置400包括:
[0068]通道建立单元401，用于在所述云桌面客户端选定所述虚拟机上的虚拟桌面时，在该云桌面客户端与该虚拟机之间建立第二虚拟通道；
[0069]数据发送单元402，用于按照预设时间通过所述第二虚拟通道发送心跳数据包至所述虚拟机，以使所述虚拟机确认所述云桌面客户端的合法身份。
[0070]可选的，所述通道建立单元401，具体用于在注册表的指定位置写入该云桌面客户端对应的动态库路径，以使该终端设备通过加载该动态库建立并初始化与所述虚拟机之间的第二虚拟通道。
[0071 ]可选的，所述第一虚拟通道和所述第二虚拟通道均基于远程桌面协议RDP建立。
[0072]请参考图5a及图5b，是本发明一种示例性实施方式中的另一种虚拟桌面的访问控制装置500，所述装置应用于虚拟机，在该虚拟机与终端设备中的云桌面客户端建立用于访问虚拟桌面的第一虚拟通道。该装置基本运行环境包括CPU，存储器以及其他硬件，从逻辑层面上来看，该装置500包括:
[0073]通道初始化单元501，用于在收到该云桌面客户端访问该虚拟机上的虚拟桌面的请求时，初始化与该云桌面客户端之间的第二虚拟通道，以使该云桌面客户端通过该第二虚拟通道发送心跳数据包；
[0074]身份判断单元502，用于根据从所述第二虚拟通道接收的所述心跳数据包对该云桌面客户端的身份是否合法进行判断。
[0075]可选的，所述身份判断单元502，包括:
[0076]数据接收子单元5021，用于在预设时间内，检查从所述第二虚拟通道中收到的心跳数据包是否合法；
[0077]身份确定子单元5022，用于在心跳数据包不合法或超过该预设时间未收到该心跳数据包，则确定该云桌面客户端的非法身份。
[0078]可选的，所述数据接收子单元5021，具体用于获取所述心跳数据包中的密码，判断所述密码是否与所述云桌面客户端在建立第一虚拟通道时预先保存的密码相同，若相同，则确认所述心跳数据包合法，若不同，则确认所述心跳数据包不合法。
[0079]可选的，所述身份确定子单元5022，还用于在所述第二虚拟通道建立时，为该第二虚拟通道建立时间戳，并设置为初始时间戳;若所述心跳数据包合法，则根据当前时间更新该第二虚拟通道的时间戳;若在第一预设时间从该第二虚拟通道中未收到由云桌面客户端发送的心跳数据包，则不更新该时间戳;若在第二预设时间检测该第二虚拟通道的当前时间戳与初始时间戳的时间差大于阈值，则关闭所述第二虚拟通道。
[0080]综上所述，本发明可以通过在虚拟桌面与云桌面客户端之间建立一条用于判断客户端身份的虚拟通道，并通过该虚拟通道向虚拟机发送心跳数据包，以使虚拟机根据从该虚拟通道中收到的心跳数据包时确认当前客户端的合法身份。因此本发明可以避免用户通过非法客户端访问虚拟桌面，从而防止了虚拟桌面中的数据被复制或篡改，增强了虚拟桌面的安全性。
[0081]上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。
[0082]对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
[0083]以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。
【主权项】
1.一种虚拟桌面的访问控制方法，其特征在于，所述方法应用于终端设备，在终端设备的云桌面客户端与虚拟机建立用于访问虚拟桌面的第一虚拟通道后，所述方法包括: 当所述云桌面客户端选定所述虚拟机上的虚拟桌面时，在该云桌面客户端与该虚拟机之间建立第二虚拟通道； 按照预设时间通过所述第二虚拟通道发送心跳数据包至所述虚拟机，以使所述虚拟机确认所述云桌面客户端的合法身份。2.根据权利要求1所述的方法，其特征在于，所述在该云桌面客户端与该虚拟机之间建立第二虚拟通道，具体包括: 在注册表的指定位置写入该云桌面客户端对应的动态库路径，以使该终端设备通过加载该动态库建立并初始化与所述虚拟机之间的第二虚拟通道。3.根据权利要求1所述的方法，其特征在于，所述第一虚拟通道和所述第二虚拟通道均基于远程桌面协议RDP建立。4.一种虚拟桌面的访问控制方法，其特征在于，所述方法应用于虚拟机，在该虚拟机与终端设备中的云桌面客户端建立用于访问虚拟桌面的第一虚拟通道后，所述方法包括: 当收到该云桌面客户端访问该虚拟机上的虚拟桌面的请求时，初始化与该云桌面客户端之间的第二虚拟通道，以使该云桌面客户端通过该第二虚拟通道发送心跳数据包； 根据从所述第二虚拟通道接收的所述心跳数据包对该云桌面客户端的身份是否合法进行判断。5.根据权利要求4所述的方法，其特征在于，所述根据从所述第二虚拟通道接收的所述心跳数据包对该云桌面客户端的身份是否合法进行判断，包括: 在预设时间内，检查从所述第二虚拟通道中收到的心跳数据包是否合法； 若心跳数据包不合法或超过该预设时间未收到该心跳数据包，则确定该云桌面客户端的非法身份。6.根据权利要求5所述的方法，其特征在于，所述检查从所述第二虚拟通道中收到的心跳数据包是否合法，包括: 获取所述心跳数据包中的密码，判断所述密码是否与所述云桌面客户端在建立第一虚拟通道时预先保存的密码相同，若相同，则确认所述心跳数据包合法，若不同，则确认所述心跳数据包不合法。7.根据权利要求5所述的方法，其特征在于，检查该第二虚拟通道超过该预设时间未收到该心跳数据包的方法，包括: 在所述第二虚拟通道建立时，为该第二虚拟通道建立时间戳，并设置为初始时间戳； 若所述心跳数据包合法，则根据当前时间更新该第二虚拟通道的时间戳； 若在第一预设时间从该第二虚拟通道中未收到由云桌面客户端发送的心跳数据包，则不更新该时间戳； 若在第二预设时间检测该第二虚拟通道的当前时间戳与初始时间戳的时间差大于阈值，则关闭所述第二虚拟通道。8.一种虚拟桌面的访问控制装置，其特征在于，所述装置应用于终端设备，在终端设备的云桌面客户端与虚拟机建立用于访问虚拟桌面的第一虚拟通道后，所述装置包括: 通道建立单元，用于在所述云桌面客户端选定所述虚拟机上的虚拟桌面时，在该云桌面客户端与该虚拟机之间建立第二虚拟通道； 数据发送单元，用于按照预设时间通过所述第二虚拟通道发送心跳数据包至所述虚拟机，以使所述虚拟机确认所述云桌面客户端的合法身份。9.根据权利要求8所述的装置，其特征在于， 所述通道建立单元，具体用于在注册表的指定位置写入该云桌面客户端对应的动态库路径，以使该终端设备通过加载该动态库建立并初始化与所述虚拟机之间的第二虚拟通道。10.根据权利要求8所述的装置，其特征在于，所述第一虚拟通道和所述第二虚拟通道均基于远程桌面协议RDP建立。11.一种虚拟桌面的访问控制装置，其特征在于，所述装置应用于虚拟机，在该虚拟机与终端设备中的云桌面客户端建立用于访问虚拟桌面的第一虚拟通道后，所述装置包括: 通道初始化单元，用于在收到该云桌面客户端访问该虚拟机上的虚拟桌面的请求时，初始化与该云桌面客户端之间的第二虚拟通道，以使该云桌面客户端通过该第二虚拟通道发送心跳数据包； 身份判断单元，用于根据从所述第二虚拟通道接收的所述心跳数据包对该云桌面客户端的身份是否合法进行判断。12.根据权利要求11所述的装置，其特征在于， 所述身份判断单元，包括: 数据接收子单元，用于在预设时间内，检查从所述第二虚拟通道中收到的心跳数据包是否合法； 身份确定子单元，用于在心跳数据包不合法或超过该预设时间未收到该心跳数据包，则确定该云桌面客户端的非法身份。13.根据权利要求12所述的装置，其特征在于， 所述数据接收子单元，具体用于获取所述心跳数据包中的密码，判断所述密码是否与所述云桌面客户端在建立第一虚拟通道时预先保存的密码相同，若相同，则确认所述心跳数据包合法，若不同，则确认所述心跳数据包不合法。14.根据权利要求11所述的装置，其特征在于， 所述身份确定子单元，还用于在所述第二虚拟通道建立时，为该第二虚拟通道建立时间戳，并设置为初始时间戳;若所述心跳数据包合法，则根据当前时间更新该第二虚拟通道的时间戳;若在第一预设时间从该第二虚拟通道中未收到由云桌面客户端发送的心跳数据包，则不更新该时间戳;若在第二预设时间检测该第二虚拟通道的当前时间戳与初始时间戳的时间差大于阈值，则关闭所述第二虚拟通道。
【文档编号】H04L29/08GK106060029SQ201610356579
【公开日】2016年10月26日
【申请日】2016年5月24日
【发明人】余泽喜, 黄蒙, 罗友春, 曾勇刚, 高坤
【申请人】杭州华三通信技术有限公司