長期以來，電信運營企業(yè)的信息化建設都是兩條腿走路:一則"主內(nèi)",以IT手段滿足整個集團的內(nèi)部應用需求;一則"主外",豐富增值服務手段,為企業(yè)轉(zhuǎn)型戰(zhàn)略服務.而對電信運營商而言,結(jié)合了IT管理和安全特性的網(wǎng)管系統(tǒng),成為了信息化建設的重點領(lǐng)域.
某省級聯(lián)通作為一個電信運營商企業(yè)的縮影，帶著他們的經(jīng)驗與困惑走入我們的視線。聯(lián)通的信息化支撐網(wǎng)絡主要由BSS（業(yè)務支撐系統(tǒng)）網(wǎng)絡和MSS（管理支持系統(tǒng)）網(wǎng)絡構(gòu)成，承載著全省數(shù)百萬聯(lián)通用戶的營業(yè)、計費、賬務以及提供經(jīng)營分析數(shù)據(jù)的任務，以及全省數(shù)千員工的日常辦公需求。
為統(tǒng)一門戶建設打基礎(chǔ)
隨著3G時代的到來，用戶數(shù)量和業(yè)務數(shù)量的增長會又面臨一個新的高峰，一方面要求IT支撐系統(tǒng)更穩(wěn)定，系統(tǒng)容量更大，整體系統(tǒng)的準確性和及時性提升到更高的標準。另外隨著外聯(lián)業(yè)務增長以及網(wǎng)絡的互聯(lián)性增大，外來非法訪問和惡意入侵的防范，各種新業(yè)務的應用，對系統(tǒng)安全性提出了更高的要求，需要相應的提供更高的安全等級的系統(tǒng)支撐。
在IT建設初期，由于BSS網(wǎng)絡與MSS網(wǎng)絡是分別建設的。兩張網(wǎng)絡彼此分離，之間沒有任何的物理連接，每張網(wǎng)絡都有各自到地市的傳輸線路，無法實現(xiàn)傳輸資源、系統(tǒng)資源的共享，因此形成了兩大信息孤島。
而隨著業(yè)務的發(fā)展，各系統(tǒng)資源的共享也越來越迫切。為了滿足業(yè)務需求進行了第一次安全改造，決定嘗試將BSS網(wǎng)絡與MSS網(wǎng)絡進行連接，出于對BBS網(wǎng)絡數(shù)據(jù)傳輸?shù)男畔踩紤]，需要將合作伙伴等外部訪問用戶進行剝離。
設立了DMZ區(qū)，將原有直接接入BSS網(wǎng)絡的各外部訪問統(tǒng)一調(diào)整至安全可控區(qū)域，一方面避免了BSS網(wǎng)絡與MSS網(wǎng)絡的直連互訪，另一方面又可滿足不同的業(yè)務訪問需求。并使用多級防火墻進行隔離控制，進行嚴格的策略限定。通過這次的網(wǎng)絡安全改造，實現(xiàn)了初步的信息資源整合，建立了初步的統(tǒng)一信息平臺。
面對迅速增長的業(yè)務，日益龐大的數(shù)據(jù)信息流，BSS和MSS原有至地市主干傳輸線路的帶寬又成為了系統(tǒng)中的瓶頸，擴容BSS/MSS帶寬以及增加MSS網(wǎng)絡冗余備份線路成為了擺在面前的主要問題。經(jīng)反復市場調(diào)研以及技術(shù)溝通，最終確定了采用業(yè)內(nèi)先進的BGP/MPLS-VPN技術(shù)方案來同時滿足以上兩張網(wǎng)的需求。
最終，于2006年5月份，該工程順利結(jié)束，主干傳輸線路帶寬由原有的2M-SDH升級到12MB的ATM電路，在傳輸平臺層面，實現(xiàn)了融合統(tǒng)一，不僅完成了原定的擴容冗余線路建設任務，同時也為今后各系統(tǒng)網(wǎng)絡的統(tǒng)一建設打下了基礎(chǔ)。
注重信息安全
目前，在聯(lián)通支撐網(wǎng)絡中，共有路由器以及交換機約100余臺，從高端的CISCO12016到低端的CISCO2600，從高端的CISCO6509到低端的CISCO1900均有應用；省中心同時部署有30余臺小型機以及各類存儲備份設備。
在網(wǎng)絡運維方面，公司自行研發(fā)的一套監(jiān)控系統(tǒng)，可以定期監(jiān)控各設備的網(wǎng)絡通斷情況。各系統(tǒng)設備的端口狀態(tài)、CPU、內(nèi)存、SYSLOG、磁盤空間大小以及數(shù)據(jù)庫的性能指標也可借由此進行完全的監(jiān)控。
網(wǎng)絡以及主機設備是系統(tǒng)安全穩(wěn)定運行的基礎(chǔ)，因此對于該批設備的監(jiān)控成為了首當其沖的問題。其中，鏈路監(jiān)控包括鏈路通斷以及帶寬的監(jiān)控手段，鏈路通斷可以用最基本的PING命令或者監(jiān)控設備的端口UP/DOWN情況來準實時監(jiān)控；而帶寬監(jiān)控亦可采用部分流量以及帶寬管理工具進行監(jiān)控。
雖然BSS內(nèi)網(wǎng)與MSS外網(wǎng)在物理上已經(jīng)聯(lián)通，有防火墻進行安全隔離，但是仍存在一定的安全風險。并且由于辦公應用的需求，從MSS網(wǎng)絡上可以訪問互聯(lián)網(wǎng)，客觀上也存在有安全隱患。因此，為了保證信息安全，保證整個系統(tǒng)的安全，采取了種種方案來進行控制監(jiān)控：
一是嚴格控制網(wǎng)絡互訪，加強防火墻策略管理，對數(shù)據(jù)流向進行端口級別控制；
二是部署了IDS與安全審計產(chǎn)品，對異常流量，非法訪問進行實時監(jiān)控；同時不定期使用網(wǎng)絡數(shù)據(jù)包分析工具，分析大數(shù)據(jù)流量，監(jiān)控網(wǎng)絡使用情況；
三是加強終端安全管理，由于與公網(wǎng)的聯(lián)通性，病毒、木馬、惡意程序、大流量網(wǎng)絡應用成為了目前MSS網(wǎng)絡的最大敵人。除了安裝使用了防病毒產(chǎn)品外，還在核心交換機以及各接入交換機上部署了大量的ACL，來滿足網(wǎng)絡安全的需求。
邁向IT服務管理
從前期的各項目建設情況來看，網(wǎng)絡運維已進入電信行業(yè)，但是仍然處于一個較低的水平，只是簡單的系統(tǒng)監(jiān)控，尚未達到ITSM的水平，沒有形成一套標準流程化的監(jiān)控、處理流程。我們認為，支撐網(wǎng)絡監(jiān)控服務的功能主要體現(xiàn)在保證業(yè)務的穩(wěn)定運行，譬如營業(yè)廳營業(yè)網(wǎng)絡接入、HLR接入和短信接口等關(guān)于用戶使用感知的重點線路；以及重要系統(tǒng)和重要進程的監(jiān)控等。
但是，對于電信行業(yè)的支撐網(wǎng)絡來講，網(wǎng)絡設備、主機設備、數(shù)據(jù)庫、中間件、應用都存在出現(xiàn)問題的可能性，由于支撐網(wǎng)絡的特殊性，突發(fā)流量是常見的現(xiàn)象，如前臺系統(tǒng)忙，響應時間過長，表空間，磁盤空間的突增等。為此，需要有一套更為先進的網(wǎng)絡管理系統(tǒng)來進行管理監(jiān)控和預警，建立統(tǒng)一的網(wǎng)絡運維平臺勢在必行。
在預警的過程中，預警的準確性需要提高，避免誤報和漏報，同時希望智能化關(guān)聯(lián)程度較高，可以準確定位故障發(fā)生點。因此在部署網(wǎng)絡管理方面，首先要從故障的及時響應與準確定位；對業(yè)務流量能夠精細把握，保證業(yè)務拓展的延續(xù)性；同時對關(guān)鍵系統(tǒng)的業(yè)務進程進行監(jiān)控。
在長期摸索探究的基礎(chǔ)上，我們確立了建立統(tǒng)一網(wǎng)絡管理平臺的目標，為了改變目前相對單一的網(wǎng)路監(jiān)控格局，正在對網(wǎng)絡管理軟件進行調(diào)研，在這個時候游龍科技走入我們的視線，不僅僅能夠滿足電信增值業(yè)務的運維要求，而且操作簡單，已經(jīng)成功應用于多個大型的電信網(wǎng)絡。在不斷的接觸中，雙方在建設的方向上取得了驚人的一致，游龍科技在長期的實施經(jīng)驗中，總結(jié)的電信支撐網(wǎng)絡建設的三個金點子， 給我很大的啟發(fā)并在此與大家分享：
電信支撐網(wǎng)絡建設的三個金點子
金點子1——安全架構(gòu)：在網(wǎng)絡建設以及改造的時候，要充分考慮到系統(tǒng)安全性，架構(gòu)從完全開放信任到可控安全，從事后補救到預警和快速響應，從單點安全到全面安全。劃定不同的安全等級區(qū)域，采用不同的網(wǎng)絡安全產(chǎn)品進行合理應用，制定不同區(qū)域間的訪問規(guī)則，通過網(wǎng)絡管理平臺有效控制信息流，能夠及時通過短信、郵件、聲音、腳本等警報方式預警，并能根據(jù)用戶需求自動生成各種美觀的圖形、圖表分析報告。
金點子2——節(jié)約成本：在網(wǎng)絡建設的時候，要充分考慮的設備線路的復用性與備用性。網(wǎng)絡設備在進入部署前，要先進行全面測試。對于IT團隊來說，前面的工作越細致，后面的麻煩相對就越小。在保證冗余備份的基礎(chǔ)之上，充分利用新技術(shù)來提高設備的復用性。合理利用資源，通過信息化手段自動調(diào)整線程池大小，保障了系統(tǒng)的高可用性。分析網(wǎng)絡QoS，進行流量管理減少帶寬占用，利用壓縮和高速緩存功能提高性能，并運用適當方法對網(wǎng)絡進行優(yōu)化，以減少對運營商的帶寬需求。達到節(jié)約成本的目的。
金點子3——統(tǒng)一網(wǎng)管：網(wǎng)絡建設完成后，為了保證網(wǎng)絡處于監(jiān)控下運行，最好能夠建立針對多種網(wǎng)絡技術(shù)平臺、多種網(wǎng)絡設備、多種通信接口進行綜合管理的一套網(wǎng)絡管理系統(tǒng)。對IT環(huán)境進行視圖管理、故障管理、性能管理、配置管理、安全管理、策略管理、資源管理、日志管理、系統(tǒng)管理等。避免各系統(tǒng)監(jiān)控各自為戰(zhàn)，不能形成信息流程共享的惡性局面。同時可以考慮建設帶外網(wǎng)管機制，可以提高網(wǎng)管的效率與可靠性，也有利于提高網(wǎng)管數(shù)據(jù)的安全性。
相信我們與游龍科技的合作達成之后，能帶給我們雙方更多的啟發(fā)和經(jīng)驗，希望到時候與大家繼續(xù)討論。
