長期以來，電信運營企業的信息化建設都是兩條腿走路:一則"主內",以IT手段滿足整個集團的內部應用需求;一則"主外",豐富增值服務手段,為企業轉型戰略服務.而對電信運營商而言,結合了IT管理和安全特性的網管系統,成為了信息化建設的重點領域.
某省級聯通作為一個電信運營商企業的縮影，帶著他們的經驗與困惑走入我們的視線。聯通的信息化支撐網絡主要由BSS（業務支撐系統）網絡和MSS（管理支持系統）網絡構成，承載著全省數百萬聯通用戶的營業、計費、賬務以及提供經營分析數據的任務，以及全省數千員工的日常辦公需求。
為統一門戶建設打基礎
隨著3G時代的到來，用戶數量和業務數量的增長會又面臨一個新的高峰，一方面要求IT支撐系統更穩定，系統容量更大，整體系統的準確性和及時性提升到更高的標準。另外隨著外聯業務增長以及網絡的互聯性增大，外來非法訪問和惡意入侵的防范，各種新業務的應用，對系統安全性提出了更高的要求，需要相應的提供更高的安全等級的系統支撐。
在IT建設初期，由于BSS網絡與MSS網絡是分別建設的。兩張網絡彼此分離，之間沒有任何的物理連接，每張網絡都有各自到地市的傳輸線路，無法實現傳輸資源、系統資源的共享，因此形成了兩大信息孤島。
而隨著業務的發展，各系統資源的共享也越來越迫切。為了滿足業務需求進行了第一次安全改造，決定嘗試將BSS網絡與MSS網絡進行連接，出于對BBS網絡數據傳輸的信息安全考慮，需要將合作伙伴等外部訪問用戶進行剝離。
設立了DMZ區，將原有直接接入BSS網絡的各外部訪問統一調整至安全可控區域，一方面避免了BSS網絡與MSS網絡的直連互訪，另一方面又可滿足不同的業務訪問需求。并使用多級防火墻進行隔離控制，進行嚴格的策略限定。通過這次的網絡安全改造，實現了初步的信息資源整合，建立了初步的統一信息平臺。
面對迅速增長的業務，日益龐大的數據信息流，BSS和MSS原有至地市主干傳輸線路的帶寬又成為了系統中的瓶頸，擴容BSS/MSS帶寬以及增加MSS網絡冗余備份線路成為了擺在面前的主要問題。經反復市場調研以及技術溝通，最終確定了采用業內先進的BGP/MPLS-VPN技術方案來同時滿足以上兩張網的需求。
最終，于2006年5月份，該工程順利結束，主干傳輸線路帶寬由原有的2M-SDH升級到12MB的ATM電路，在傳輸平臺層面，實現了融合統一，不僅完成了原定的擴容冗余線路建設任務，同時也為今后各系統網絡的統一建設打下了基礎。
注重信息安全
目前，在聯通支撐網絡中，共有路由器以及交換機約100余臺，從高端的CISCO12016到低端的CISCO2600，從高端的CISCO6509到低端的CISCO1900均有應用；省中心同時部署有30余臺小型機以及各類存儲備份設備。
在網絡運維方面，公司自行研發的一套監控系統，可以定期監控各設備的網絡通斷情況。各系統設備的端口狀態、CPU、內存、SYSLOG、磁盤空間大小以及數據庫的性能指標也可借由此進行完全的監控。
網絡以及主機設備是系統安全穩定運行的基礎，因此對于該批設備的監控成為了首當其沖的問題。其中，鏈路監控包括鏈路通斷以及帶寬的監控手段，鏈路通斷可以用最基本的PING命令或者監控設備的端口UP/DOWN情況來準實時監控；而帶寬監控亦可采用部分流量以及帶寬管理工具進行監控。
雖然BSS內網與MSS外網在物理上已經聯通，有防火墻進行安全隔離，但是仍存在一定的安全風險。并且由于辦公應用的需求，從MSS網絡上可以訪問互聯網，客觀上也存在有安全隱患。因此，為了保證信息安全，保證整個系統的安全，采取了種種方案來進行控制監控：
一是嚴格控制網絡互訪，加強防火墻策略管理，對數據流向進行端口級別控制；
二是部署了IDS與安全審計產品，對異常流量，非法訪問進行實時監控；同時不定期使用網絡數據包分析工具，分析大數據流量，監控網絡使用情況；
三是加強終端安全管理，由于與公網的聯通性，病毒、木馬、惡意程序、大流量網絡應用成為了目前MSS網絡的最大敵人。除了安裝使用了防病毒產品外，還在核心交換機以及各接入交換機上部署了大量的ACL，來滿足網絡安全的需求。
邁向IT服務管理
從前期的各項目建設情況來看，網絡運維已進入電信行業，但是仍然處于一個較低的水平，只是簡單的系統監控，尚未達到ITSM的水平，沒有形成一套標準流程化的監控、處理流程。我們認為，支撐網絡監控服務的功能主要體現在保證業務的穩定運行，譬如營業廳營業網絡接入、HLR接入和短信接口等關于用戶使用感知的重點線路；以及重要系統和重要進程的監控等。
但是，對于電信行業的支撐網絡來講，網絡設備、主機設備、數據庫、中間件、應用都存在出現問題的可能性，由于支撐網絡的特殊性，突發流量是常見的現象，如前臺系統忙，響應時間過長，表空間，磁盤空間的突增等。為此，需要有一套更為先進的網絡管理系統來進行管理監控和預警，建立統一的網絡運維平臺勢在必行。
在預警的過程中，預警的準確性需要提高，避免誤報和漏報，同時希望智能化關聯程度較高，可以準確定位故障發生點。因此在部署網絡管理方面，首先要從故障的及時響應與準確定位；對業務流量能夠精細把握，保證業務拓展的延續性；同時對關鍵系統的業務進程進行監控。
在長期摸索探究的基礎上，我們確立了建立統一網絡管理平臺的目標，為了改變目前相對單一的網路監控格局，正在對網絡管理軟件進行調研，在這個時候游龍科技走入我們的視線，不僅僅能夠滿足電信增值業務的運維要求，而且操作簡單，已經成功應用于多個大型的電信網絡。在不斷的接觸中，雙方在建設的方向上取得了驚人的一致，游龍科技在長期的實施經驗中，總結的電信支撐網絡建設的三個金點子， 給我很大的啟發并在此與大家分享：
電信支撐網絡建設的三個金點子
金點子1——安全架構：在網絡建設以及改造的時候，要充分考慮到系統安全性，架構從完全開放信任到可控安全，從事后補救到預警和快速響應，從單點安全到全面安全。劃定不同的安全等級區域，采用不同的網絡安全產品進行合理應用，制定不同區域間的訪問規則，通過網絡管理平臺有效控制信息流，能夠及時通過短信、郵件、聲音、腳本等警報方式預警，并能根據用戶需求自動生成各種美觀的圖形、圖表分析報告。
金點子2——節約成本：在網絡建設的時候，要充分考慮的設備線路的復用性與備用性。網絡設備在進入部署前，要先進行全面測試。對于IT團隊來說，前面的工作越細致，后面的麻煩相對就越小。在保證冗余備份的基礎之上，充分利用新技術來提高設備的復用性。合理利用資源，通過信息化手段自動調整線程池大小，保障了系統的高可用性。分析網絡QoS，進行流量管理減少帶寬占用，利用壓縮和高速緩存功能提高性能，并運用適當方法對網絡進行優化，以減少對運營商的帶寬需求。達到節約成本的目的。
金點子3——統一網管：網絡建設完成后，為了保證網絡處于監控下運行，最好能夠建立針對多種網絡技術平臺、多種網絡設備、多種通信接口進行綜合管理的一套網絡管理系統。對IT環境進行視圖管理、故障管理、性能管理、配置管理、安全管理、策略管理、資源管理、日志管理、系統管理等。避免各系統監控各自為戰，不能形成信息流程共享的惡性局面。同時可以考慮建設帶外網管機制，可以提高網管的效率與可靠性，也有利于提高網管數據的安全性。
相信我們與游龍科技的合作達成之后，能帶給我們雙方更多的啟發和經驗，希望到時候與大家繼續討論。
