某省級聯(lián)通選型札記

申請免費試用、咨詢電話：400-8352-114

長期以來，電信運營企業(yè)的信息化建設(shè)都是兩條腿走路:一則"主內(nèi)",以IT手段滿足整個集團的內(nèi)部應(yīng)用需求;一則"主外",豐富增值服務(wù)手段,為企業(yè)轉(zhuǎn)型戰(zhàn)略服務(wù).而對電信運營商而言,結(jié)合了IT管理和安全特性的網(wǎng)管系統(tǒng),成為了信息化建設(shè)的重點領(lǐng)域。

某省級聯(lián)通作為一個電信運營商企業(yè)的縮影，帶著他們的經(jīng)驗與困惑走入我們的視線。聯(lián)通的信息化支撐網(wǎng)絡(luò)主要由BSS（業(yè)務(wù)支撐系統(tǒng)）網(wǎng)絡(luò)和MSS（管理支持系統(tǒng)）網(wǎng)絡(luò)構(gòu)成，承載著全省數(shù)百萬聯(lián)通用戶的營業(yè)、計費、賬務(wù)以及提供經(jīng)營分析數(shù)據(jù)的任務(wù)，以及全省數(shù)千員工的日常辦公需求。

為統(tǒng)一門戶建設(shè)打基礎(chǔ)

隨著3G時代的到來，用戶數(shù)量和業(yè)務(wù)數(shù)量的增長會又面臨一個新的高峰，一方面要求IT支撐系統(tǒng)更穩(wěn)定，系統(tǒng)容量更大，整體系統(tǒng)的準(zhǔn)確性和及時性提升到更高的標(biāo)準(zhǔn)。另外隨著外聯(lián)業(yè)務(wù)增長以及網(wǎng)絡(luò)的互聯(lián)性增大，外來非法訪問和惡意入侵的防范，各種新業(yè)務(wù)的應(yīng)用，對系統(tǒng)安全性提出了更高的要求，需要相應(yīng)的提供更高的安全等級的系統(tǒng)支撐。

在IT建設(shè)初期，由于BSS網(wǎng)絡(luò)與MSS網(wǎng)絡(luò)是分別建設(shè)的。兩張網(wǎng)絡(luò)彼此分離，之間沒有任何的物理連接，每張網(wǎng)絡(luò)都有各自到地市的傳輸線路，無法實現(xiàn)傳輸資源、系統(tǒng)資源的共享，因此形成了兩大信息孤島。

而隨著業(yè)務(wù)的發(fā)展，各系統(tǒng)資源的共享也越來越迫切。為了滿足業(yè)務(wù)需求進行了第一次安全改造，決定嘗試將BSS網(wǎng)絡(luò)與MSS網(wǎng)絡(luò)進行連接，出于對BBS網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)男畔踩紤]，需要將合作伙伴等外部訪問用戶進行剝離。

設(shè)立了DMZ區(qū)，將原有直接接入BSS網(wǎng)絡(luò)的各外部訪問統(tǒng)一調(diào)整至安全可控區(qū)域，一方面避免了BSS網(wǎng)絡(luò)與MSS網(wǎng)絡(luò)的直連互訪，另一方面又可滿足不同的業(yè)務(wù)訪問需求。并使用多級防火墻進行隔離控制，進行嚴(yán)格的策略限定。通過這次的網(wǎng)絡(luò)安全改造，實現(xiàn)了初步的信息資源整合，建立了初步的統(tǒng)一信息平臺。

面對迅速增長的業(yè)務(wù)，日益龐大的數(shù)據(jù)信息流，BSS和MSS原有至地市主干傳輸線路的帶寬又成為了系統(tǒng)中的瓶頸，擴容BSS/MSS帶寬以及增加MSS網(wǎng)絡(luò)冗余備份線路成為了擺在面前的主要問題。經(jīng)反復(fù)市場調(diào)研以及技術(shù)溝通，最終確定了采用業(yè)內(nèi)先進的BGP/MPLS-VPN技術(shù)方案來同時滿足以上兩張網(wǎng)的需求。

最終，于2006年5月份，該工程順利結(jié)束，主干傳輸線路帶寬由原有的2M-SDH升級到12MB的ATM電路，在傳輸平臺層面，實現(xiàn)了融合統(tǒng)一，不僅完成了原定的擴容冗余線路建設(shè)任務(wù)，同時也為今后各系統(tǒng)網(wǎng)絡(luò)的統(tǒng)一建設(shè)打下了基礎(chǔ)。

注重信息安全

目前，在聯(lián)通支撐網(wǎng)絡(luò)中，共有路由器以及交換機約100余臺，從高端的CISCO12016到低端的CISCO2600，從高端的CISCO6509到低端的CISCO1900均有應(yīng)用；省中心同時部署有30余臺小型機以及各類存儲備份設(shè)備。

在網(wǎng)絡(luò)運維方面，公司自行研發(fā)的一套監(jiān)控系統(tǒng)，可以定期監(jiān)控各設(shè)備的網(wǎng)絡(luò)通斷情況。各系統(tǒng)設(shè)備的端口狀態(tài)、CPU、內(nèi)存、SYSLOG、磁盤空間大小以及數(shù)據(jù)庫的性能指標(biāo)也可借由此進行完全的監(jiān)控。

網(wǎng)絡(luò)以及主機設(shè)備是系統(tǒng)安全穩(wěn)定運行的基礎(chǔ)，因此對于該批設(shè)備的監(jiān)控成為了首當(dāng)其沖的問題。其中，鏈路監(jiān)控包括鏈路通斷以及帶寬的監(jiān)控手段，鏈路通斷可以用最基本的PING命令或者監(jiān)控設(shè)備的端口UP/DOWN情況來準(zhǔn)實時監(jiān)控；而帶寬監(jiān)控亦可采用部分流量以及帶寬管理工具進行監(jiān)控。

雖然BSS內(nèi)網(wǎng)與MSS外網(wǎng)在物理上已經(jīng)聯(lián)通，有防火墻進行安全隔離，但是仍存在一定的安全風(fēng)險。并且由于辦公應(yīng)用的需求，從MSS網(wǎng)絡(luò)上可以訪問互聯(lián)網(wǎng)，客觀上也存在有安全隱患。因此，為了保證信息安全，保證整個系統(tǒng)的安全，采取了種種方案來進行控制監(jiān)控：

一是嚴(yán)格控制網(wǎng)絡(luò)互訪，加強防火墻策略管理，對數(shù)據(jù)流向進行端口級別控制；

二是部署了IDS與安全審計產(chǎn)品，對異常流量，非法訪問進行實時監(jiān)控；同時不定期使用網(wǎng)絡(luò)數(shù)據(jù)包分析工具，分析大數(shù)據(jù)流量，監(jiān)控網(wǎng)絡(luò)使用情況；

三是加強終端安全管理，由于與公網(wǎng)的聯(lián)通性，病毒、木馬、惡意程序、大流量網(wǎng)絡(luò)應(yīng)用成為了目前MSS網(wǎng)絡(luò)的最大敵人。除了安裝使用了防病毒產(chǎn)品外，還在核心交換機以及各接入交換機上部署了大量的ACL，來滿足網(wǎng)絡(luò)安全的需求。

邁向IT服務(wù)管理

從前期的各項目建設(shè)情況來看，網(wǎng)絡(luò)運維已進入電信行業(yè)，但是仍然處于一個較低的水平，只是簡單的系統(tǒng)監(jiān)控，尚未達(dá)到ITSM的水平，沒有形成一套標(biāo)準(zhǔn)流程化的監(jiān)控、處理流程。我們認(rèn)為，支撐網(wǎng)絡(luò)監(jiān)控服務(wù)的功能主要體現(xiàn)在保證業(yè)務(wù)的穩(wěn)定運行，譬如營業(yè)廳營業(yè)網(wǎng)絡(luò)接入、HLR接入和短信接口等關(guān)于用戶使用感知的重點線路；以及重要系統(tǒng)和重要進程的監(jiān)控等。

但是，對于電信行業(yè)的支撐網(wǎng)絡(luò)來講，網(wǎng)絡(luò)設(shè)備、主機設(shè)備、數(shù)據(jù)庫、中間件、應(yīng)用都存在出現(xiàn)問題的可能性，由于支撐網(wǎng)絡(luò)的特殊性，突發(fā)流量是常見的現(xiàn)象，如前臺系統(tǒng)忙，響應(yīng)時間過長，表空間，磁盤空間的突增等。為此，需要有一套更為先進的網(wǎng)絡(luò)管理系統(tǒng)來進行管理監(jiān)控和預(yù)警，建立統(tǒng)一的網(wǎng)絡(luò)運維平臺勢在必行。

在預(yù)警的過程中，預(yù)警的準(zhǔn)確性需要提高，避免誤報和漏報，同時希望智能化關(guān)聯(lián)程度較高，可以準(zhǔn)確定位故障發(fā)生點。因此在部署網(wǎng)絡(luò)管理方面，首先要從故障的及時響應(yīng)與準(zhǔn)確定位；對業(yè)務(wù)流量能夠精細(xì)把握，保證業(yè)務(wù)拓展的延續(xù)性；同時對關(guān)鍵系統(tǒng)的業(yè)務(wù)進程進行監(jiān)控。
在長期摸索探究的基礎(chǔ)上，我們確立了建立統(tǒng)一網(wǎng)絡(luò)管理平臺的目標(biāo)，為了改變目前相對單一的網(wǎng)路監(jiān)控格局，正在對網(wǎng)絡(luò)管理軟件進行調(diào)研，在這個時候游龍科技走入我們的視線，不僅僅能夠滿足電信增值業(yè)務(wù)的運維要求，而且操作簡單，已經(jīng)成功應(yīng)用于多個大型的電信網(wǎng)絡(luò)。在不斷的接觸中，雙方在建設(shè)的方向上取得了驚人的一致，游龍科技在長期的實施經(jīng)驗中，總結(jié)的電信支撐網(wǎng)絡(luò)建設(shè)的三個金點子， 給我很大的啟發(fā)并在此與大家分享：

電信支撐網(wǎng)絡(luò)建設(shè)的三個金點子

金點子1--安全架構(gòu)：在網(wǎng)絡(luò)建設(shè)以及改造的時候，要充分考慮到系統(tǒng)安全性，架構(gòu)從完全開放信任到可控安全，從事后補救到預(yù)警和快速響應(yīng)，從單點安全到全面安全。劃定不同的安全等級區(qū)域，采用不同的網(wǎng)絡(luò)安全產(chǎn)品進行合理應(yīng)用，制定不同區(qū)域間的訪問規(guī)則，通過網(wǎng)絡(luò)管理平臺有效控制信息流，能夠及時通過短信、郵件、聲音、腳本等警報方式預(yù)警，并能根據(jù)用戶需求自動生成各種美觀的圖形、圖表分析報告。

金點子2--節(jié)約成本：在網(wǎng)絡(luò)建設(shè)的時候，要充分考慮的設(shè)備線路的復(fù)用性與備用性。網(wǎng)絡(luò)設(shè)備在進入部署前，要先進行全面測試。對于IT團隊來說，前面的工作越細(xì)致，后面的麻煩相對就越小。在保證冗余備份的基礎(chǔ)之上，充分利用新技術(shù)來提高設(shè)備的復(fù)用性。合理利用資源，通過信息化手段自動調(diào)整線程池大小，保障了系統(tǒng)的高可用性。分析網(wǎng)絡(luò)QoS，進行流量管理減少帶寬占用，利用壓縮和高速緩存功能提高性能，并運用適當(dāng)方法對網(wǎng)絡(luò)進行優(yōu)化，以減少對運營商的帶寬需求。達(dá)到節(jié)約成本的目的。

金點子3--統(tǒng)一網(wǎng)管：網(wǎng)絡(luò)建設(shè)完成后，為了保證網(wǎng)絡(luò)處于監(jiān)控下運行，最好能夠建立針對多種網(wǎng)絡(luò)技術(shù)平臺、多種網(wǎng)絡(luò)設(shè)備、多種通信接口進行綜合管理的一套網(wǎng)絡(luò)管理系統(tǒng)。對IT環(huán)境進行視圖管理、故障管理、性能管理、配置管理、安全管理、策略管理、資源管理、日志管理、系統(tǒng)管理等。避免各系統(tǒng)監(jiān)控各自為戰(zhàn)，不能形成信息流程共享的惡性局面。同時可以考慮建設(shè)帶外網(wǎng)管機制，可以提高網(wǎng)管的效率與可靠性，也有利于提高網(wǎng)管數(shù)據(jù)的安全性。

相信我們與游龍科技的合作達(dá)成之后，能帶給我們雙方更多的啟發(fā)和經(jīng)驗，希望到時候與大家繼續(xù)討論。