移动公司BOSS系统解决方案.doc

1. 移动BOSS系统应用介绍：随着我国电信市场竞争格局的形成，竞争的焦点从资源竞争逐渐转向了以加强IT技术建设为标志的质量竞争，市场和业务的竞争成为运营商成败的关键。BOSS系统由于能全面提升企业运营效率、降低成本、增强企业核心竞争力及管理决策的科学性、及时性等，使得电信运营商纷纷构建自身的运营支撑体系，以期在市场竞争中取得优势。BOSS是业务运营支撑系统（Business Operations Support System）的简称，它涵盖了以往的计费、结算、营业、账务和客户服务等系统的功能，对各种业务功能进行集中、统一的规划和整合，是一体化的、信息资源充分共享的支撑系统。移动BOSS系统一般采用“两级三层”的结构，“两级”指的是：集团公司建成一级业务中心，负责总部一级的业务支撑；省公司负责建设全省集中的BOSS系统，全面接管该省的计费、结算、营业、账务和客户服务等原有系统的功能；地市一级只作为系统的接入，不再存放数据和提供业务应用。“三层”指的是：系统由集中的数据核心层、灵活的业务逻辑层和开放的接入层构成，其中数据核心层又分为数据和服务两个子层，业务逻辑层包含业务函数和业务过程两部分。而经过几年的发展，如今BOSS的功能已由业务支撑向业务核心转变，不再局限于业务提供、计费等后台支撑作用，而成为了创造营收的核心动力。无疑，对于电信运营商来说，完善的BOSS是为客户提供优质服务、从而在激烈竞争中立于不败之地的有力武器，同时也是加强管理、使运营商不断发展的工具。此外，当今的电信业的竞争不只是在电信运营企业之间的进行，而是整条产业链的竞争。电信运营商企业网的外延也不断扩大，其用户不仅是企业内部的管理者和员工，也包括了企业外部的合作伙伴，甚至包括企业的客户，如供应链管理系统、人力资源外包、客户服务系统和企业电子商务系统。然而，所有这些全新的变化要求我国的电信企业必须寻求更加先进的BOSS系统。新一代的BOSS系统必须在更高层次上能够融合支持布线、无线、ISPX、Cable等多种业务，能够支持新业务的快速部署；能够支持运营商在竞争中为了吸引客户和挽留客户所需要的折扣、交叉优惠等手段；能够给客户提供满意的信息查询、投诉、缴费等全业务支持能力，同时降低运营商的经营成本。应用体系架构：电信运营商“全业务”竞争的态势已经展开，新的业务和服务层出不穷，对“业务核心”的BOSS系统提出了更高、更强的要求，向新一代的BOSS系统发展成为电信运营商决胜市场的关键。然而，由于传统的组网技术在远程访问和安全方面的局限性，难以满足数据业务高速发展以及“三网合一”趋势的需要，这已经成为BOSS系统发展的障碍，因此，改造现有的系统势在必行。那么，应该如何进行改造？采用何种技术呢？2. 挑战和需求：5.1. BOSS系统应用加速与负载均衡需求：移动的计费、营账、结算和客服的数据库服务器和应用服务器均由省中心统一维护和管理，其BOSS系统（即移动通信大客户业务运营支撑系统）主要用于完成大客服系统的终端功能。随着BOSS系统用户的增多和系统应用负载的增大，各个应用服务器，特别是前置服务器上所要处理的数据量将增大，从而影响针对使用者的响应效率，造成对访问者的请求回应越来越慢等严重影响BOSS系统服务质量的现象。在服务器端则直接表现为可容纳的连接数越来越小，系统性能严重下降。由于系统规模大、业务种类多、系统架构复杂，除了要保障主机和数据库的高效与稳定外，更要有效地使用专业高效的负载均衡设备和性能增强设备，提高系统的应用性能。基于这些因素，移动公司选用业界领先的Array TMX产品来实现和满足各个应用服务器的性能增强和负载分担功能，从而保证移动公司BOSS应用和扩展的需要。5.2. BOSS系统安全接入需求：为了体现了“以客户为核心”的指导思想，为了支撑业务的迅速发展，BOSS系统中渠道管理系统的建设将直接关系到业务的发展。我们以渠道代销系统为例，代销系统的建设也为将来各个渠道（比如营业等渠道的整合），以统一形式为移动公司各个渠道体系的客户提供服务奠定基础。实现对区域营销服务中心的业务支撑、资源管理、绩效考核等业务功能的全面支撑；实现与代销商酬金费用的统一结算和支付管理；支持对代销渠道数据信息的统计分析功能，实现代销渠道数据信息的共享。例如渠道代销系统（BOSS系统）主要是为省内的手机进行充值的生产系统，该系统成为手机用户除了移动营业大厅充值和购买充值卡充值之外的一种最常见的充值方式。代销系统使用的客户分为内部人员和代销商用户，其中代销商是指代销系统为各合作营业厅、特约代销商中涉及到移动业务处理相关的工作人员。BOSS系统的接入层开放性很强，因此应对网络安全问题给予足够的重视。系统接入互联网后，在提高系统开放性的同时，也面临着来自互联网的攻击和风险，反黑防毒的问题必须要解决。而系统安全问题的解决不是买了几个防火墙就可以的，必须进一步提高系统的抗攻击能力。一方面网络中大量存储和传输的数据有可能被盗用、暴露或者篡改，另一方面，BOSS系统本身与Internet连接，与其它远端系统的接口及拨号连接等网络接口也都是易受黑客攻击的地方。现有移动业务代理主要是通过以下几种方式来远程访问移动BOSS系统：移动DDN专网；移动SMS/GPRS；ADSL宽带。由于DDN的网络覆盖不足及成本较高，而SMS/GPRS使业务开展受到诸多限制，所以目前各代理商通过DSL宽带连接方式成为主流。而通过DSL接入存在比较大大的安全隐患，所以采用VPN方式是最好的选择。目前，可用的VPN技术有SSL VPN和IPSEC VPN两种方式，提供给用户选择。现在电信发展要求BOSS系统的组网技术要随之发生变化。虽然，传统的IPSec VPN技术曾经有效地促进了BOSS系统的发展。然而，伴随着三网融合和精益运营时代的到来，传统的IPSecVPN技术在客户端的成本和某些安全性问题已经显露出来，这就要求更具人性化、安全性和降低成本等综合优势的技术出现。l 总结安全系统需要满足下面几点：1) 需要保障数据在Internet上传输的安全性 2) 对各代销商的访问的合法性和操作合法性进行检查 3) 记录各个代销商的操作，便于查询和核实 4) 保护网站平台的安全性，避免恶性攻击或者病毒感染 5) 提供易于操作的界面，便于用户迅速上手 6) 对客户端的没有预安装客户端软件的要求 7) 必须能穿透各企业的Firewall或者Proxy设备 作为处于应用层和TCP/UDP层之间的一种安全协议，相比较处于网络层的IPSec，SSL可以提供基于应用层的访问控制，更适合远程安全访问的移动性和分散性的特点，正切合了电信业的发展趋势。据统计，SSL VPN更多地会率先在保险业、银行、金融、证券行业、电信行业的无线网络业务中得到应用。这些行业在IT上投资很大，而且那种集中化管理、远程安全访问的应用需求体现得最为明显。3. Array 解决方案：作为全球领先的应用智能安全公司，Array Networks致力于为客户提供多层网络安全和应用解决方案。通过智能化的集成，Array Networks 所提供的无客户端的SSL VPN安全产品平台及应用加速网络流量管理平台，能够极大简化网络架构，增强网络应用的性能，可以实现企业快速部署安全的、具有扩充功能的网络，而受到众多企业的青睐。 Array Networks公司有着对BOSS系统独特的理解能力。最近，在一项新的基准测试中，专注于电信产业的Amdocs 公司在计费和客服解决方案中采用Array Networks的SSL VPN解决方案，结果表明了这一方案具有优越的系统表现和高度的安全性。同时，Array Networks公司有着一支可以深刻理解中国客户差异化要求的研发队伍，可以给客户提供最优的解决方案和服务，从而实现产品使用价值的最大化。3.1. 总体结构基于BOSS系统高负载性、高稳定性、高安全性的需求，Array Networks 公司设计了以TMX和SPX应用为基础的，集服务器负载均衡、应用加速、安全接入为一体的高可用性解决方案。Array TMX系列产品的应用，在实现Web服务器组、应用服务器组的负载均衡功能的同时，还可以实现Web应用的加速。从处理能力、扩展能力、安全性、应用的便利性等方面提供了流量管理和性能增强功能，能够在满足BOSS系统应用平台对持续性和稳定性的需求的基础上，提高BOSS应用系统的处理能力，在同样主机及网络平台下满足更多用户应用的访问需求。Array SPX系列产品的应用，针对于BOSS系统客户接入特点，设计了SSL VPN安全解决方案来提供BOSS系统的安全。Array的SSL VPN解决方案可保证移动公司的渠道用户通过各种连接方式，进行安全的各种应用的数据访问。SSL VPN建在互联网的公共网络架构上，通过对数据进行加密，在发端加密数据、在收端解密数据，以保证数据的私密性。通过SSL VPN用户进行登陆认证和灵活的授权，同时，所有数据的传输都是经过加密处理的。而且SSL VPN方案部署相当方便，只需要客户端具有标准的浏览器即可，如IE 、Netscape等。拓扑结构如下图：3.2. 通过Array TMX服务器负载均衡功能提高BOSS应用系统的高可用性：BOSS应用系统通常采用Web Server /Application Server/Database Server多层结构设计，支持前端浏览器访问或客户端访问方式。中心BOSS机房将包括数据库服务器主机、应用服务器主机、WEB服务器主机、工作流服务器、负载均衡服务器、存储阵列和备份带库等，构成统一集中的BOSS中心。BOSS数据库服务器又分为帐务数据库服务器和综合客服数据库服务器，分别存储商业客户帐单、帐务处理数据和商业客户客服、营业、客户资料等数据。应用服务器又分为帐务处理应用服务器和综合客服处理应用服务器。随着BOSS系统用户的增多和系统应用负载的增大，各个应用服务器，特别是前置服务器上所要处理的数据量将增大，从而影响针对使用者的响应效率，造成对访问者的请求回应越来越慢等严重影响BOSS系统服务质量的现象。在服务器端则直接表现为可容纳的连接数越来越小，系统性能严重下降。此时，将需要考虑增加应用服务器和数据库服务器的数量来满足不断增大的应用负载需求。当仅通过服务器集群（Cluster）的方式实现扩容时，将存在成本较高，严重影响正常BOSS系统应用的提供等问题，且扩容能力有限，无法满足不断增长的BOSS系统应用的需要。Array TMX产品解决方案中所指的高可用性，同时也是运营商确保BOSS应用系统正常运行所需考虑的，主要是指以下几点：1. 使数据始终以一个稳定、安全的方式处理，在BOSS应用系统平台中，即便存在单台设备不能提供服务时，仍能保持数据的完整性。通过智能识别检查，使整体应用持续稳定运行，即便发生单点或多点故障仍然能够保证正常提供服务。2. 使整个BOSS应用网络环境能够更好的被管理，提供TMX设备本身容灾集群（cluster）功能、服务器集群共享、应用和后台服务器方便维护等特点。3. 使前期设备投入有更好的效益和最佳的扩充能力，即在保证数据完整性的同时，提供BOSS应用系统持续运行的能力，并实现当用户量的增大的情况下，在不影响应用的情况下，通过增加服务器的方式，响应用户负载的增加，保证了原有企业投资具有很高回报。4. 即便在应用软件不够完善，如经常出现故障不能提供服务的情况下，仍然能够持续保证应用系统持续在线能力。在BOSS应用系统平台中，通过Array TMX系列产品的应用，在实现Web服务器组、应用服务器组的负载均衡功能的同时，还可以实现Web应用的加速。从处理能力、扩展能力、安全性、应用的便利性等方面提供了流量管理和性能增强功能，Array具有获得专利的SpeedStack专利技术、连接复用技术等，能够在满足BOSS系统应用平台对持续性和稳定性的需求的基础上，提高BOSS应用系统的处理能力，在同样主机及网络平台下满足更多用户应用的访问需求。当三层架构的BOSS应用系统正常工作情况下，BOSS Web服务器、应用服务器组、数据库服务器组中的所有应用服务器均正常提供服务，Array TMX设备对三层架构中的各个服务器组均实现了服务器负载分担功能和有针对性的性能增强功能，并能够隐藏后台服务器组的IP地址和拓扑结构，仅向BOSS访问用户提供有限的一个或几个IP地址和端口，以供用户进行访问。通过两台TMX产品Cluster Active-Active功能实现，在保证高可用性的同时，使负载均衡和性能增强功能的处理能力达到一台TMX的两倍。通过TMX产品端口冗余功能实现，提供了当交换机故障时，链路切换备份功能。在各个服务器组均能够正常提供服务时，Array TMX设备能够根据预先配置，将BOSS用户访问请求发送到后台最合适的服务器上进行处理，在实现了将大量访问负载分担到多台应用服务器上进行处理的同时，还实现了通过增加应用服务器数量的方式提高整个BOSS应用平台的处理能力和响应速度。而当其中的任何一台或几台服务器需要离线进行维护或出现故障时，Array TMX设备能够通过预先配置的多种智能健康检查机制，及时发现不能正常处理应用的应用服务器，并将接下来的用户访问请求发送到其它能够正常处理的应用的服务器上，从而避免了由于某台服务器的故障而影响了整体的BOSS应用业务的提供，保证了BOSS业务的高可用性。3.3. Array SSL VPN 进行BOSS系统的安全防护：将SPX5000设备旁路部署在主干交换机旁及出口防火墙后面，确保不改变移动公司的内部网络结构。Array SSL VPN通过证书认证，登录用户使用软证书登录成功后就可以访问移动内部渠道代销系统，然后在通过BOSS系统的验证后，就可以为全省的移动手机进行充值了，所有的访问工作都是通过Array SSL VPN加密方式来实现的，安全、便捷、可靠。在本方案中，Array的SPX产品作为统一渠道门户系统通过一个门户（portal）页面将各系统的对外接口纳入统一管理。对外通过Internet并且利用SSL加密技术安全的向公众开放统一的门户界面，对内通过移动公司内网连接到集团统一门户服务器上。用户利用VPN体系架构，通过标准协议集成数字证书的应用。用户登录内部业务系统时，必须提交CA认证系统颁发的用户证书，系统通过用户证书来实现身份认证和访问控制。远端用户对BOSS各个系统进行访问时，都可以通过SSL VPN进行。用户首先要登陆Array NetworksSSL VPN网关设备SPX提供的SSL VPN门户站点，这是需要用户提供相应的用户名和口令这样就可以完成用户的认证和授权，同时数据时经过加密处理的。客户端人员无论是营业厅，代理点，还是维护人员在家、出差，以及大客户在自己办公机构，都可以远程进行安全的接入操作，而不必担心非授权人员的非法访问，甚至对于病毒的渗入也有一定的防护作用。3.3.1. 证书发放：本方案设计的客户CA认证系统的证书发放采用集中制证的方式，其工作流程如下图所示：图 证书发放流程图1) CA系统管理员使用浏览器访问注册中心的证书注册服务器，在相关页面上填写申请信息，点击提交；系统自动产生证书的公私钥对，将公钥与申请信息一起提交给CA中心；2) CA中心服务器审核通过，签发证书，同时自动的将证书安装到USB Key中，并标记成私钥不可导出。3) CA管理员将申请好的证书发放给最终用户使用。3.3.2. Array Networks BOSS系统SSL VPN安全接入特点1) SSL VPN的客户端程序，如Microsoft Internet Explorer、Netscape Communicator、Mozilla等已经预装在了终端设备中，因此不需要再次安装；2) SSL VPN可在NAT代理装置上以透明模式工作；3) SSL VPN不会受到安装在客户端与服务器之间的防火墙的影响。4) SSL VPN将远程安全接入延伸到IPSec VPN扩展不到的地方，使更多的员工，在更多的地方，使用更多的设备，安全访问企业网络资源，同时降低了部署和支持费用。SSL VPN正在成为远程接入的事实标准，下面列举了其中的一些理由。5) SSL VPN可以在任何地点，利用任何设备，连接到相应的网络资源上。SSL VPN通信运行在TCP/ UDP协议上，具有穿越防火墙的能力。这种能力使SSL VPN能够从一家用户网络的代理防火墙背后安全访问另一家用户网络中的资源。6) 用户接入内部系统是经过认证的。认证方式可以采用Array Networks SSL VPN设备自己的用户数据库，也可以和内部系统已有的认证系统结合起来，如AD、RADIUS等7) 用户接入内部系统是经过授权的。针对不同的用户或用户所属的组，SSL VPN可以按VPN系统预定义的规则来对用户的访问权限进行设定。3.3.3. SSL VPN对于采用WEB访问方式接入BOSS系统的优势:1) SPX采用WRM（WEB Resource Mapping）模块来实现，利用Array的SSL VPN的Web资源映射可以实现：2) 通过标准浏览器访问BOSS系统；3) 支持URL-NAT：URL的动态重写，提高安全性；4) 强迫认证，强迫任何访问Intranet的请求都必须先通过AAA；5) 隐藏内部资源：可以隐藏Intranet的资源路径，提高整体安全性。而且，经第三方测试，Array Networks SPX的WRM有着极佳的性能表现。4. 需求实现：关键的挑战和需求具体描述BOSS系统的安全接入：需要接入方案能够进行数据加密，能够支持数字证书的认证，方便广大代销上人员使用，且方便易用。Array 提供的SSL VPN可以实现无客户端的接入，并实现数据的加密、防篡改等安全防护功能。且能够和移动公司采用的天威诚信的CA数字证书系统。由于采用浏览器进行接入，代销人员使用非常方便。上万大并发VPN用户量Array SPX5000设备单台设备最多支持64000并发用户，所以可以完全满足移动大并发用户量的访问。应用服务器的负载均衡需求，移动BOSS系统一般服务器具有多台，需要流量的负载均衡，能够作健康检查，能够支持保持性算法。通过Array TMX负载均衡设备能够完全满足需求，Array TMX设备具有多种健康检查算法，多种保持性算法，如基于客户端IP算法。对BOSS系统的Web访问进行加速优化Array TMX设备具有SpeedStack专利算法，支持连接复用、连接共享池、Cache等多种Web加速手段，能够显著改善Web访问的质量。5. Array解决方案实现BOSS系统各种应用的优点：5.3. BOSS业务系统应用保障（TMX实现）l 消除BOSS业务系统的隐患：传统BOSS应用过程中存在单台应用服务器设备发生故障时，整个应用不能正常工作等问题。通过Array解决方案的应用，能够消除此类隐患，使BOSS平台具有智能判断和处理的功能，即便某些设备发生故障，整个BOSS应用仍能够正常运行，保证了应用的高可靠性。l 提高BOSS系统的处理能力：传统BOSS应用平台因采用的是热备份的方式，同一时刻只有一台应用服务器工作，而备份设备不进行应用处理，使得处理能力无法得到提高。通过Array解决方案的应用，能够最大化的利用后台服务器的资源，使多台应用服务器在互为备份的情况下还可以同时工作，极大的提高了整个BOSS平台的处理能力。l 方便BOSS应用平台的扩展：传统BOSS应用处理能力受限于应用服务器的性能，很难根据应用的需求进行透明扩容，通过Array解决方案的应用，能够随着应用负载的需求进行按需透明扩容，最大化的保证了BOSS应用平台的可扩展性。5.4. 方便实施，简单使用（SPX实现）Array Networks SSL VPN方案是无客户端的VPN方案，客户端只需要具备标准的浏览器即可，甚至PDA终端都可以使用。对于使用者来讲，由于对浏览器操作要比专用的软件操作简单的多，也熟悉的多，所以客户端使用非常简单，使用于各种各样的人群，甚至是对IT系统不甚了解的人也一样操作。同时，Array Networks SSL VPN方案 实施起来非常简单，只需要在BOSS系统的数据中心部署SSL VPN网关即可，无需在各地市营业点或大客户那里部署硬件或软件设备。SPX 支持单臂和双臂结构，可以充分适应数据中心的网络结构。5.5. 提高信息安全性（SPX实现）防止信息泄漏 由于客户端与SSL VPN网关之间实现高强度的加密信息传输，因此虽然信息传输是通过公网进行的，但是其安全性是可以得到保证的。第三方即使可以得到传输数据，但是却无法得到隐藏到其中的明文信息。因此敏感的信息如业务帐号等被保护起来，杜绝了有效信息的泄露。 杜绝非法访问 SSL VPN的访问要经过认证和授权，充分保证用户身份的合法性。SSL VPN只允许那些拥有相应权限的用户进行网络连接。如果请求连接的用户没有合法身份，则SSL VPN将拒绝其连接请求，从而限制了非法用户对内网的访问。 保护信息的完整性 SSL VPN使用数字证书进行机密性与完整性参数的协商，它不仅能够对所传输的数据进行机密性的保护，同时也对其提供完整性保护。当在传输过程中的数据被篡改之后，SSL VPN是可以检测到的，如果检测到数据被篡改，他们就会放弃所接收到的数据。 防止用户假冒 Array Networks提供多种认证和授权方式，包括本地 本地用户数据库，并且可以和其他更加强大的认证系统结合起来，如AD，Radius，RSA SecurID，SecureComputing等保证系统的可用性 SSL VPN使用内网、外网相互隔离，只开放所需服务的方式来实现，这样客户端只能通过授权使用所开放的服务，除该服务之外的其它服务都无从访问，从而减少了很多对内网系统进行攻击的途径，达到了对内部网络的最大保护。6. 业务利益在移动公司BOSS应用系统中，通过Array TMX产品负载分担和性能增强功能的应用，能够充分保证BOSS系统的稳定和高效，能够快速实现应用服务器的部署和及时发现应用服务的问题，帮助应用管理人员做出客观、量化的调整决策，从而将平台和应用调整到极佳的性能状态，最大限度地延长应用的正常运行时间，保障并提升服务水准，进而增加了整个应用平台的可扩展性，为应用的维护、调整提供了便利条件。采用ARRAY SSL VPN带来的好处，不需要安装繁琐的客户端程序，从而有效减少了部署和维护的成本；远程代销商用户基本上不需要IT部门的支持，仅通过公网就可以在任何时间、地点、使用任何设备、处于任何访问模式下，安全地访问代销系统；各地代销商的远程接入可以通过“人手一项”的客户端数字证书登录认证，享有PKI的高安全特性，系统会对各地代销商的远程访问的合法性和操作合法性进行严格审计，杜绝了非法访问的可能，从而有效保障了访问移动公司渠道代销系统的安全性，并极大提升了该系统的运营效率。此次Array Networks解决方案的成功部署，确保了移动的内部员工和营销系统的成员以任何接入方式安全地访问其核心业务系统，极大地提高了企业的生产效率，并显著降低了部署和维护成本。Array SSL VPN解决方案在国内运营商核心业务系统的又一次成功应用。此前Array Networks的高性能SSL VPN和负载均衡解决方案已经在国内各大电信运营商中得到了广泛部署和成功应用，这些无不得益于Array Networks对电信行业的深刻理解以及为客户量身定做的特色解决方案。两年多来在电信行业的辛勤耕耘，也奠定了Array Networks解决方案在中国电信行业市场份额的领导地位。正因如此，目前Array Networks在日本和韩国市场已经处于绝对领先的地位，在全球范围内，被电信运营商普遍采用，排名前十位的电信运营商中就有五个采用了Array Networks的产品，其中包括沃达丰、KDDI、NTT、Dacom等。而在国内，广东移动这样的大型运营商、腾讯公司这样的SPX服务商，已经应用了Array Networks的解决方案。Array SPX产品提供了丰富的功能，高度的可扩展性和高性价比。我们坚信，随着SSL VPN技术的应用不断向广度和深度上发展，在Array Networks等专业性厂商的积极推动下，必将推动新一代BOSS系统的健康、快速发展，使BOSS系统作为营收动力和“业务核心”的地位会更加显著，从而提高我国电信业的国际竞争实力。