電子政務(wù)外網(wǎng)主要服務(wù)于各級(jí)黨委、人大、政府、政協(xié)、法院和檢察院等部門，是為各部門業(yè)務(wù)應(yīng)用提供網(wǎng)絡(luò)承載服務(wù)的重要基礎(chǔ)設(shè)施。經(jīng)過十多年的規(guī)劃建設(shè)，我國(guó)已建成連接各省、市及中央各部委的電子政務(wù)外網(wǎng)骨干，正在向區(qū)、縣乃至街道、鄉(xiāng)鎮(zhèn)延伸，以便更好地滿足各級(jí)政務(wù)部門進(jìn)行社會(huì)管理、公共服務(wù)的需要。

中辦18號(hào)文件下發(fā)后，建設(shè)統(tǒng)一的電子政務(wù)網(wǎng)絡(luò)平臺(tái)成為我國(guó)政務(wù)信息化建設(shè)的主導(dǎo)思想，推動(dòng)著各個(gè)業(yè)務(wù)系統(tǒng)的互聯(lián)互通與資源共享。而在國(guó)家電子政務(wù)外網(wǎng)二期規(guī)劃中，數(shù)據(jù)中心與共享災(zāi)備、統(tǒng)一的運(yùn)維與管理等新技術(shù)、新運(yùn)營(yíng)模式也被提上了建設(shè)日程。它們能否順利落地?業(yè)務(wù)應(yīng)用是否藉此變得更高效、更靈活?資源整合對(duì)運(yùn)維造成多大難度?政務(wù)信息化程度的加深又會(huì)帶來哪些新的安全隱患?帶著諸多疑問，格物資訊走訪了大連市政府網(wǎng)站管理中心，與耿昭主任進(jìn)行了幾番深入交流。

大連電子政務(wù)外網(wǎng)建設(shè)情況簡(jiǎn)介

作為我國(guó)政務(wù)信息化起步較早的城市，大連很早就開始整合信息資源，探索合理的電子政務(wù)建設(shè)方式。早在2002年，大連市就推出了城市門戶網(wǎng)站“中國(guó)大連”，公眾以此為入口，可以聯(lián)系到社保、稅務(wù)、工商、公安、交通車輛管理等政府辦事機(jī)構(gòu)。

經(jīng)過一年多的摸索，大連市政府網(wǎng)站管理中心于2004年正式成立，以統(tǒng)一建設(shè)、統(tǒng)一運(yùn)維的方式為各政務(wù)部門提供網(wǎng)站服務(wù)，確定了構(gòu)建統(tǒng)一的硬件支撐平臺(tái)建設(shè)與應(yīng)用的整體規(guī)劃。中辦17號(hào)文件下發(fā)后，該中心又被賦予了建設(shè)并管理全市集中統(tǒng)一的政務(wù)外網(wǎng)網(wǎng)絡(luò)基礎(chǔ)平臺(tái)、應(yīng)用支撐平臺(tái)和安全支撐平臺(tái)的任務(wù);同時(shí)，面向政府內(nèi)部業(yè)務(wù)部門的大連市政府?dāng)?shù)據(jù)中心也開始建設(shè)，逐步承載起一些縱向?qū)＞W(wǎng)業(yè)務(wù)系統(tǒng)的運(yùn)行。

2008年12月，大連市政府網(wǎng)站管理中心完成了“大連市電子政務(wù)外網(wǎng)統(tǒng)一平臺(tái)示范工程項(xiàng)目”的建設(shè)工作，提供了包括網(wǎng)絡(luò)管理、安全防護(hù)、容災(zāi)備份等技術(shù)服務(wù)功能于一體的政務(wù)外網(wǎng)統(tǒng)一平臺(tái)。該平臺(tái)目前承載著網(wǎng)上報(bào)稅、網(wǎng)上社保、公務(wù)考錄等700多個(gè)應(yīng)用系統(tǒng)，被國(guó)家發(fā)改委作為示范工程列入高技術(shù)產(chǎn)業(yè)發(fā)展項(xiàng)目計(jì)劃。

#p#

走向大型化、無線化的基礎(chǔ)網(wǎng)絡(luò)

網(wǎng)絡(luò)基礎(chǔ)架構(gòu)是電子政務(wù)外網(wǎng)的承載體，直接決定了業(yè)務(wù)實(shí)現(xiàn)的形式與體驗(yàn)。大連的經(jīng)驗(yàn)表明，由已知需求主導(dǎo)的有線網(wǎng)絡(luò)升級(jí)改造是大勢(shì)所趨，接入向街道與社區(qū)的延伸使更多基層部門具備了實(shí)現(xiàn)政務(wù)信息化的手段。另一方面是由點(diǎn)到面的變化，WLAN、3G/4G等無線接入技術(shù)的成熟普及讓業(yè)務(wù)形態(tài)變得更加靈活，為電子政務(wù)外網(wǎng)的未來發(fā)展與應(yīng)用描繪出極具想象力的空間。

格物資訊：在拜訪您之前，我們?cè)诰W(wǎng)上看到不少大連電子政務(wù)外網(wǎng)建設(shè)方面的信息，但大多比較陳舊。關(guān)于目前外網(wǎng)建設(shè)和應(yīng)用的情況，還請(qǐng)您先簡(jiǎn)單介紹下。

耿昭：大連市電子政務(wù)外網(wǎng)統(tǒng)一平臺(tái)的網(wǎng)絡(luò)基礎(chǔ)架構(gòu)是基于全交換實(shí)現(xiàn)的，這和地域條件有關(guān)。因?yàn)榇筮B本身地域不是很大，節(jié)點(diǎn)之間的距離不太遠(yuǎn)，全交換的網(wǎng)絡(luò)足以支撐。從目前承載應(yīng)用的情況看，性能也沒有出現(xiàn)瓶頸。用戶接入方面，目前光纖通達(dá)所有區(qū)縣和街道。不過政府扁平化建設(shè)有著三級(jí)體系的目標(biāo)，未來可能很多政務(wù)工作都會(huì)放到社區(qū)一級(jí)去做，所以目前我們正在做1600多個(gè)社區(qū)的接入，一些大的社區(qū)也采用了光纖接入，個(gè)別偏遠(yuǎn)地區(qū)會(huì)用ADSL。

格物資訊：在統(tǒng)一出口方面目前是什么樣的情況?未來又有哪些規(guī)劃呢?

耿昭：按照要求，目前大連市電子政務(wù)外網(wǎng)的3.2萬個(gè)用戶都通過統(tǒng)一出口訪問互聯(lián)網(wǎng)，所有網(wǎng)站和業(yè)務(wù)系統(tǒng)也通過這個(gè)統(tǒng)一出口進(jìn)行發(fā)布，便于管理并且安全可控。在接入上我們有兩個(gè)原則，第一是應(yīng)接必接，一定保證在目前中國(guó)通信體制下做到就近接入。第二是多線冗余，一旦哪條線路出問題，其他接口還能保證業(yè)務(wù)暢通。目前統(tǒng)一平臺(tái)上有上百個(gè)關(guān)鍵性的業(yè)務(wù)，比如報(bào)稅這種，是一秒鐘都不能停的。所以我們現(xiàn)在用鏈路負(fù)載均衡設(shè)備接了一條1G的聯(lián)通出口、一條1G的電信出口和1G的教育網(wǎng)出口，讓一般的互聯(lián)網(wǎng)訪問只走聯(lián)通和電信，同時(shí)確保就近接入的原則。服務(wù)器區(qū)的負(fù)載均衡設(shè)備也啟用了智能DNS，保證給外網(wǎng)訪問者返回最快的接入地址。下一步我們?cè)诳紤]接移動(dòng)的鏈路，主要是為了移動(dòng)手機(jī)和移動(dòng)WLAN用戶的接入。

格物資訊：您剛提到了手機(jī)和無線接入，目前這樣的接入需求很強(qiáng)烈么?

耿昭：這是一個(gè)趨勢(shì)，畢竟無線覆蓋可以滿足移動(dòng)需求，讓接入變得更靈活。我們現(xiàn)在基于3G的業(yè)務(wù)很多，比如計(jì)生委就在用平板電腦做人口入戶普查。未來4G的應(yīng)用可能會(huì)更廣泛，除了通過運(yùn)營(yíng)商接入，我們也會(huì)在達(dá)沃斯會(huì)展中心等大型活動(dòng)區(qū)域和政務(wù)密集區(qū)域有自己的4G接入點(diǎn)。

格物資訊：您的意思是自行建設(shè)4G網(wǎng)絡(luò)，而非租用運(yùn)營(yíng)商的資源?

耿昭：會(huì)有一部分是我們自己的，業(yè)務(wù)要逐步架構(gòu)在組合型方案上。我們已經(jīng)做過一些測(cè)試，感覺4G接入總體上是穩(wěn)定的，同時(shí)它的性能和靈活性可以支撐更復(fù)雜的業(yè)務(wù)，比如應(yīng)急指揮、移動(dòng)視頻會(huì)議和移動(dòng)的視頻監(jiān)控等等。

格物資訊：會(huì)有很多業(yè)務(wù)用到4G移動(dòng)終端么?

耿昭：從成本角度考慮，大部分政務(wù)用戶在一段時(shí)間內(nèi)還是依靠3G或WLAN實(shí)現(xiàn)無線接入。我們更多地把4G當(dāng)做骨干傳輸，落地還要靠WLAN這種成熟并且低成本的方式。這可能是一個(gè)主流方向，比如大連周邊的一些海島，目前光纖已經(jīng)拉過去了，但在島上鋪光纖要受到很多環(huán)境上的限制，成本也比較高。用4G覆蓋就方便得多了，我們測(cè)算了一下，很多島用一個(gè)基站就能滿足所有單位的接入需求。

#p#

從“做加法”的管理者到“做減法”的運(yùn)營(yíng)商

顧名思義，應(yīng)用支撐平臺(tái)是以業(yè)務(wù)為核心，保障其正常運(yùn)行的技術(shù)實(shí)施手段。但業(yè)務(wù)遷移速度遠(yuǎn)遠(yuǎn)落后于基礎(chǔ)設(shè)施建設(shè)速度，是現(xiàn)今電子政務(wù)外網(wǎng)普遍存在的問題。對(duì)此，大連的做法是兩手抓、兩手都要硬，在業(yè)務(wù)與硬件方面堅(jiān)持“做加法”的同時(shí)“做減法”，真正貫徹了電子政務(wù)外網(wǎng)取代化、集約化的建設(shè)精神。

另一方面，如今業(yè)務(wù)與支撐平臺(tái)的耦合度越來越強(qiáng)，企業(yè)CIO已經(jīng)開始更多地介入業(yè)務(wù)環(huán)節(jié)，成為決策團(tuán)隊(duì)中的重要角色。政務(wù)信息化領(lǐng)域也是如此，隨著應(yīng)用支撐平臺(tái)所承載業(yè)務(wù)的增加，相關(guān)部門也不能再以管理者自居，要用新的思路、新的方式更積極主動(dòng)地建設(shè)、運(yùn)營(yíng)電子政務(wù)外網(wǎng)，在減少自身壓力的同時(shí)提高統(tǒng)一平臺(tái)的穩(wěn)定性與可靠性，保證行政與服務(wù)的需要。

格物資訊：在網(wǎng)絡(luò)區(qū)域劃分方面，大連電子政務(wù)外網(wǎng)是如何規(guī)劃的?

耿昭：按照要求還是規(guī)劃了互聯(lián)網(wǎng)、內(nèi)聯(lián)網(wǎng)、數(shù)據(jù)交換和橫向互訪4個(gè)類型的區(qū)域，承載的業(yè)務(wù)比較多，像VoIP、視頻會(huì)議也都利用數(shù)據(jù)交換區(qū)建立了單獨(dú)的子區(qū)域。橫向互訪區(qū)現(xiàn)在業(yè)務(wù)量很大，我們的目標(biāo)是用它和內(nèi)聯(lián)網(wǎng)區(qū)把政府目前涉及到的面向社會(huì)公眾的業(yè)務(wù)全部承載起來。運(yùn)營(yíng)上目前分成網(wǎng)站管理中心和政府?dāng)?shù)據(jù)中心，二者間有萬兆鏈路連接，做到實(shí)時(shí)備份。有些資源根據(jù)服務(wù)對(duì)象的不同是兩邊都有的，比如人口、法人單位、宏觀經(jīng)濟(jì)、空間地理和自然資源庫(kù)等等。

格物資訊：很多地區(qū)的電子政務(wù)外網(wǎng)還是個(gè)“胖網(wǎng)絡(luò)、瘦業(yè)務(wù)”的情況，但我們了解到大連將原有業(yè)務(wù)往統(tǒng)一平臺(tái)遷移的進(jìn)度非?？?。這是怎么做到的呢?

耿昭：在“做加法”的同時(shí)“做減法”是很重要的，如果建了統(tǒng)一平臺(tái)卻沒承載什么業(yè)務(wù)，或者只運(yùn)營(yíng)新的業(yè)務(wù)系統(tǒng)，那就是重復(fù)浪費(fèi)。大連一直都很重視“做減法”，我們明確了替代原有專網(wǎng)系統(tǒng)的目標(biāo)，通過政務(wù)外網(wǎng)承載絕大多數(shù)的業(yè)務(wù)。這肯定需要一個(gè)過程，所以我們會(huì)和相關(guān)單位協(xié)商一個(gè)期限，比如在幾年內(nèi)把業(yè)務(wù)逐步切換到這邊。

格物資訊：您提到的“做減法”確實(shí)非常重要，除了業(yè)務(wù)上“做減法”，物理上是不是也有類似的要求?

耿昭：基礎(chǔ)網(wǎng)絡(luò)建設(shè)方面就不必說了，計(jì)算和存儲(chǔ)資源也不可能是簡(jiǎn)單集中起來，還需要統(tǒng)一規(guī)劃，用先進(jìn)的技術(shù)方案去降低成本和運(yùn)維復(fù)雜度。比如我們從08年開始做服務(wù)器虛擬化，到現(xiàn)在算是做得差不多了。這其實(shí)就是一個(gè)“做減法”的過程：我們最早機(jī)房里面是一千多臺(tái)服務(wù)器，上了虛擬化以后減了幾百臺(tái)，這幾年逐漸又把老舊服務(wù)器換成稍微高端點(diǎn)的型號(hào)，總數(shù)量一直在減。

格物資訊：虛擬化的概念很熱，但對(duì)于很多用戶來說也存在是否能落地、對(duì)業(yè)務(wù)產(chǎn)生價(jià)值的問題。在您看來虛擬化都帶來了哪些好處呢?

耿昭：第一是資源的最大化利用，剛才說了服務(wù)器數(shù)量一直在減少，做完虛擬化后大多數(shù)系統(tǒng)的資源占用率在50%以上。第二是資源分配非常靈活，比如我們監(jiān)測(cè)到雖然有50%以上的網(wǎng)站流量很小、負(fù)載很低，但也有一些業(yè)務(wù)系統(tǒng)的資源需求很大，并且負(fù)載一直在增加，我們必須不斷地給這樣的應(yīng)用分配更多的資源。第三是更安全，之前我們用虛擬主機(jī)把很多負(fù)載較小的網(wǎng)站放在一起，安全性難以保證;現(xiàn)在一個(gè)網(wǎng)站一臺(tái)虛擬機(jī)，安全和管理的問題解決了很多。另外還有一些運(yùn)維上的需求，虛擬化可能是唯一的解決方案，比如按照我們業(yè)務(wù)增長(zhǎng)的速度，如果不用虛擬化，不建統(tǒng)一的數(shù)據(jù)中心，光電費(fèi)就承受不了，管理人手也不夠用。

格物資訊：剛才您介紹的時(shí)候我們有種感覺，您及所帶團(tuán)隊(duì)的工作思路不是去做管理，而是去運(yùn)營(yíng)一張網(wǎng)絡(luò)和一個(gè)平臺(tái)?這有點(diǎn)像大企業(yè)的路數(shù)，和運(yùn)營(yíng)商、高?；蛘逫DC的場(chǎng)景都不完全一樣。

耿昭：實(shí)際上我們就是政府的運(yùn)營(yíng)商，貼近業(yè)務(wù)去做網(wǎng)絡(luò)和IDC的建設(shè)運(yùn)營(yíng)，這是大勢(shì)所趨。我們現(xiàn)在還在做一個(gè)大概三千千伏、五千到八千平米的新云計(jì)算中心，建成后大連市所有政府部門的信息化支撐實(shí)體都集中過來，各個(gè)局不必再自己運(yùn)維。運(yùn)營(yíng)的思路其實(shí)是在這些年逐步集中化的過程中產(chǎn)生的，幾十臺(tái)服務(wù)器承載的業(yè)務(wù)可以管理，上千臺(tái)服務(wù)器(編者注：即虛擬機(jī))就沒法管理了，逼得我們必須去運(yùn)營(yíng)。

格物資訊：運(yùn)營(yíng)理念到底是什么呢?

耿昭：主要還是集中資源，專注去做核心層面的工作。我們現(xiàn)在團(tuán)隊(duì)有十幾個(gè)人，規(guī)模不算小，但人力絕對(duì)談不上富裕，所以像基礎(chǔ)設(shè)施運(yùn)維這種勞動(dòng)密集型的工作是外包出去的;數(shù)據(jù)中心的運(yùn)維管理、安全保障和標(biāo)前測(cè)試等與業(yè)務(wù)緊密相關(guān)的工作，我們還是堅(jiān)持自己去做。這里說自己做是不看過程看效果的，比如系統(tǒng)加固，我們大概有20%左右的系統(tǒng)用Windows平臺(tái)，基本都是其他單位直接托管過來的，這塊我們用浪潮的商用加固產(chǎn)品來做;其他主機(jī)一律運(yùn)行Linux，系統(tǒng)加固都自己動(dòng)手做，這樣節(jié)省成本并且更安全。我對(duì)團(tuán)隊(duì)的要求就是一定要保證精兵強(qiáng)將，每個(gè)人都得能獨(dú)當(dāng)一面。當(dāng)然不可能什么事上來就都會(huì)做，那就組織學(xué)習(xí)培養(yǎng)，最后人員能力強(qiáng)了，工作自然就變得簡(jiǎn)單了。

格物資訊：有些工作即便整個(gè)團(tuán)隊(duì)一起做也不那么容易吧，比如基礎(chǔ)架構(gòu)升級(jí)之類的大工程?

耿昭：那種特殊時(shí)期他們都快累死了。比如說千兆升萬兆，換一臺(tái)設(shè)備就要重復(fù)一遍配置導(dǎo)入導(dǎo)出和策略優(yōu)化的工作，看著幾千條策略才能知道我們真的有那么多的業(yè)務(wù)，廠商的人也很清楚。日常運(yùn)維的話還好些，像服務(wù)器的配置策略、安全策略和日常運(yùn)維管理變更策略已經(jīng)實(shí)現(xiàn)了一體化，準(zhǔn)確來說現(xiàn)在就是一個(gè)人完成這些工作。這個(gè)人平常還做我們?cè)平K端和其他虛擬化平臺(tái)的測(cè)試工作，水平是比較高的。包括他在內(nèi)的小團(tuán)隊(duì)還曾經(jīng)嘗試對(duì)一些云終端產(chǎn)品進(jìn)行過二次開發(fā)，目的是在移動(dòng)終端上能對(duì)我們的業(yè)務(wù)有更好的支持。

格物資訊：您剛才提到的這些工作，我們感覺有一些已經(jīng)屬于廠商或者集成商實(shí)施的范疇了。您認(rèn)為這也是運(yùn)營(yíng)的一部分么?

耿昭：有些事情我們是一定要自己做的，這是原則問題。就好比我們要用一個(gè)碗，它不帶把手，端起來燙手，我們有能力給它粘一個(gè)把手，讓它有用并且好用。我們只會(huì)去做粘把手這個(gè)事情，永遠(yuǎn)也不會(huì)自己做碗，因?yàn)椴还苋肆€是專業(yè)化能力都不夠，專業(yè)的事情還是要留給廠商去做。但只能粘個(gè)把手并不意味著我們完全不知道做碗的方法，我們的人員是要具備很多專業(yè)知識(shí)的。比如在做虛擬化之前，我們用了兩個(gè)多月的時(shí)間，把當(dāng)時(shí)市面上主流的虛擬化平臺(tái)全部測(cè)試了一遍。通過實(shí)地部署幾個(gè)應(yīng)用，一來考察產(chǎn)品性能和可靠性，二來也看我們是否能把虛擬化平臺(tái)運(yùn)轉(zhuǎn)起來，也就是和業(yè)務(wù)要求、運(yùn)維要求綜合起來考慮。發(fā)現(xiàn)問題我們會(huì)和廠商交流，這個(gè)時(shí)候做為用戶就必須了解技術(shù)和發(fā)展趨勢(shì)。實(shí)際證明有些廠商過來大包大攬說它產(chǎn)品啥都支持，測(cè)試過、溝通過以后才發(fā)現(xiàn)很多我們要用到的特性在未來版本里才能實(shí)現(xiàn)。

#p#

UTM/NGFW的第二春?

在大連電子政務(wù)外網(wǎng)中，UTM/NGFW已經(jīng)逐漸取代傳統(tǒng)防火墻，成為更細(xì)粒度安全策略的執(zhí)行者。但它們的部署思路與傳統(tǒng)概念中有很大不同，皆因運(yùn)營(yíng)者在安全保障方面有自己一套完善的方法論，UTM/NGFW僅作為落地載體的一部分，不能從系統(tǒng)中獨(dú)立出來。這樣的做法會(huì)不會(huì)是個(gè)例，尚無法判斷。不過考慮到大連電子政務(wù)外網(wǎng)的示范效應(yīng)，未來也許會(huì)有越來越多的用戶借鑒這種思路，UTM/NGFW也可能翻開行業(yè)化應(yīng)用的嶄新篇章。

格物資訊：之前我們了解大連電子政務(wù)外網(wǎng)建設(shè)情況時(shí)看到，你們的基礎(chǔ)網(wǎng)絡(luò)建好后一直沒有過大的升級(jí)，而安全產(chǎn)品無論從種類還是數(shù)量上都一直在增加，甚至還部署了深信服的NGAF這種多功能整合型產(chǎn)品。一般越是大型用戶越愿意采用專品專用的部署思路，大連反其道而行之的原因是什么?

耿昭：你看到的是一種表象，實(shí)際上這個(gè)問題很復(fù)雜。我從事信息安全工作多年，認(rèn)為信息系統(tǒng)的安全防護(hù)工作一定要從底層干起，比如從鏈路層往上一層一層剝，剝得干干凈凈。如果用防火墻，必須用異構(gòu)部署，就是用不同廠商的產(chǎn)品進(jìn)行多層防護(hù)。另外要把策略拆分，形成立體防護(hù)，也就是說多臺(tái)防火墻上不能配同樣的策略，一定是交叉著寫。這么做能減小被滲透的幾率，攻擊者即使突破一層防護(hù)，也難形成完整的攻擊行為。

格物資訊：這也是現(xiàn)在大連電子政務(wù)外網(wǎng)的安全防護(hù)思路?

耿昭：大體上是這樣，但在深度和廣度上要找到平衡，畢竟我們業(yè)務(wù)種類太多。業(yè)務(wù)種類多意味著運(yùn)維管理和安全防護(hù)的復(fù)雜化，因?yàn)榭芍貜?fù)的工作少了?，F(xiàn)在在4層上，我們還是去把策略拆分做立體防護(hù)，有些在物理交換機(jī)實(shí)現(xiàn)，有些在虛擬交換機(jī)實(shí)現(xiàn)，有些在防火墻實(shí)現(xiàn)。這兩年引入帶應(yīng)用識(shí)別控制功能的設(shè)備，主要用在7層流量的控制上。比如數(shù)據(jù)中心里一個(gè)對(duì)外發(fā)布的網(wǎng)站，從虛擬機(jī)到網(wǎng)絡(luò)邊緣做了全程的4層訪問控制策略，現(xiàn)在已不足以保證安全合規(guī)，因?yàn)橐恍┠抉R甚至QQ在這種情況下仍然是可以對(duì)外通信的。而有了NGAF這樣的設(shè)備，我們就可以在7層上做更精細(xì)化的控制了，現(xiàn)在的要求是每臺(tái)服務(wù)器或者每個(gè)業(yè)務(wù)對(duì)外的應(yīng)用協(xié)議是固定的，這就是我們用NGAF來做的事。像剛才說的服務(wù)器，如果出現(xiàn)HTTP以外的流量，那就可以判定為異常了，我們要配策略去進(jìn)一步限制。4層控制和7層控制之間沒有取代關(guān)系，它們組合成細(xì)粒度更高的立體防護(hù)體系，才能保證更高的安全性。

格物資訊：您說得非常有道理，現(xiàn)在很多國(guó)外企業(yè)機(jī)構(gòu)都采用了7層協(xié)議白名單制的控制思路，甚至有些行業(yè)規(guī)范里也出現(xiàn)了類似要求。但如果只是為了7層協(xié)議的識(shí)別和控制，為何不用專業(yè)流控產(chǎn)品實(shí)現(xiàn)呢?

耿昭：這個(gè)問題是要綜合考慮的，受財(cái)力和人力限制，我們不可能購(gòu)買、運(yùn)維那么多同類型不同廠商的專用產(chǎn)品，也不愿意網(wǎng)絡(luò)效率變低、拓?fù)渥兊酶鼜?fù)雜。所以希望每種安全業(yè)務(wù)至少有兩類以上的設(shè)備可以實(shí)現(xiàn)，彼此間有個(gè)互補(bǔ)的作用。比如剛才說的4層訪問控制，交換機(jī)可以做，防火墻也能做。這樣一來能做到立體化防護(hù)，二來提高了可靠性。也就是說一旦其中一個(gè)設(shè)備宕掉了，另一個(gè)設(shè)備還能把業(yè)務(wù)擔(dān)起來。有一種情況是我們經(jīng)常遇到的，就是設(shè)備升級(jí)反而造成了誤識(shí)別、誤報(bào)或者誤防。我們第一時(shí)間的處理方法肯定是把相應(yīng)功能關(guān)掉，因?yàn)榈拙€是不能影響正常業(yè)務(wù)。但系統(tǒng)也不能因此就裸奔，此時(shí)就需要上下游的設(shè)備臨時(shí)頂上，開啟同樣的功能、加載同樣的安全策略。這下就有了足夠的緩沖時(shí)間，再慢慢和廠商溝通、解決問題。

格物資訊：也就是說你們要保證這些構(gòu)建立體防御體系的產(chǎn)品在功能、性能上都要有充分的冗余?

耿昭：可以這樣理解。我們?cè)跇?biāo)前測(cè)試階段就會(huì)很嚴(yán)格地去考察產(chǎn)品，帶策略的和不帶策略的、實(shí)驗(yàn)環(huán)境中的和真實(shí)環(huán)境中的、開啟單功能和多功能的情況都得心里有數(shù)，一般光測(cè)試就得半年以上的時(shí)間，到真正上線可能要兩三年。上線以后會(huì)把功能逐漸分出去，有可能一臺(tái)設(shè)備就專品專用了，比如你看到的用NGAF只做應(yīng)用流量的識(shí)別控制。如果遇到宕機(jī)，第一步就是把出問題的設(shè)備拿掉，互補(bǔ)設(shè)備先頂上。這個(gè)時(shí)候因?yàn)殚_了其它功能，可能它CPU占用率從20%蹦到60%，但不會(huì)影響業(yè)務(wù)和安全性。頂過這一陣，等故障設(shè)備的問題解決了，再回到20%的常態(tài)。現(xiàn)在我們考察設(shè)備，都會(huì)明確告訴廠商主從關(guān)系，也就是每臺(tái)設(shè)備平時(shí)做什么、一旦出了問題的時(shí)候還要做什么，廠商也逐漸接受了這個(gè)理念了。

#p#

安全之所倚：分層、立體化、聯(lián)動(dòng)

除了運(yùn)維，保證電子政務(wù)外網(wǎng)的安全是大連市政府網(wǎng)站管理中心最重要的工作。一個(gè)有著3.2萬用戶、承載著700多種業(yè)務(wù)和數(shù)十個(gè)縱向?qū)＞W(wǎng)、同時(shí)滿足互聯(lián)網(wǎng)訪問和公共服務(wù)發(fā)布需求的復(fù)雜網(wǎng)絡(luò)，其安全需求絕不是上幾臺(tái)設(shè)備就能解決的?；诙嗄旯ぷ鹘?jīng)驗(yàn)和對(duì)業(yè)務(wù)的理解，耿主任提出了分層、立體化與聯(lián)動(dòng)的方法論，明確了目前及未來安全防護(hù)工作的方向。同時(shí)，對(duì)于應(yīng)用流量失控可能對(duì)業(yè)務(wù)可靠性造成的影響，運(yùn)營(yíng)者也沒有一味地去打壓流量，而是借助緩存設(shè)備為用戶提供了更好的應(yīng)用體驗(yàn)。這種以用戶為本、變堵為疏的成功經(jīng)驗(yàn)，值得所有網(wǎng)絡(luò)運(yùn)營(yíng)者借鑒。

格物資訊：除了更精細(xì)化的控制，大連電子政務(wù)外網(wǎng)在涉及到公眾服務(wù)的區(qū)域還用到哪些安全防護(hù)手段?

耿昭：安全防護(hù)體系的規(guī)模比較大，實(shí)現(xiàn)也比較復(fù)雜，我們的核心思想就是在各個(gè)環(huán)節(jié)做立體化、精細(xì)化的控制，這比單純上一堆安全設(shè)備防護(hù)由外而內(nèi)的攻擊更有效。剛才說了Web服務(wù)器到出口，其實(shí)后端的數(shù)據(jù)庫(kù)到Web服務(wù)器也有類似的訪問控制策略。除了IP、端口這種4層控制，還有單獨(dú)的設(shè)備去做審計(jì)和應(yīng)用流量管理，只允許數(shù)據(jù)庫(kù)協(xié)議的流量通過。

格物資訊：你們的訪問控制策略就做到7層協(xié)議為止么?是否會(huì)基于應(yīng)用協(xié)議信令做控制?比如HTTP只允許GET這樣的控制?否則如果成功運(yùn)行起一個(gè)WebShell，豈不是可以規(guī)避剛才提到的所有防護(hù)手段了?

耿昭：這種是有的，但是不會(huì)在安全設(shè)備里做。安全設(shè)備上做的策略一定是相對(duì)通用的，越個(gè)性的越要在終端上面做。實(shí)際上如果把WebShell跑起來，說明終端至少一部分權(quán)限被獲取了，本地策略也可能被修改了。安全設(shè)備封住一次，攻擊者可以換一種手段再試，還是治標(biāo)不治本。所以立體防御體系中還有一個(gè)重要的環(huán)節(jié)就是主機(jī)端，我們是基于Windows和Linux都做了強(qiáng)制訪問控制，規(guī)定每個(gè)賬號(hào)有權(quán)利使用哪些文件，允許讀、寫還是其它操作，以及能夠訪問的進(jìn)程。因?yàn)槲覀兇蟛糠侄际荳eb服務(wù)器，你就算進(jìn)來可能也沒有意義，因?yàn)樗械奈募贾荒芸床荒苄薷模矀鞑涣巳魏螙|西。你想傳個(gè)腳本上來運(yùn)行，對(duì)不起，這些都是禁止操作的。

格物資訊：現(xiàn)在入侵的目的更多是獲取數(shù)據(jù)，對(duì)于數(shù)據(jù)庫(kù)又有哪些防護(hù)手段呢?

耿昭：數(shù)據(jù)庫(kù)服務(wù)器是沒有外網(wǎng)IP的，想接觸必須通過前段的Web主機(jī)。我們?cè)跀?shù)據(jù)庫(kù)這塊還有增強(qiáng)型安全機(jī)制，禁止了很多操作。攻擊者對(duì)數(shù)據(jù)庫(kù)表項(xiàng)或賬號(hào)做任何操作，我們都會(huì)收到報(bào)警。總體來說你可以認(rèn)為我每道關(guān)卡都不是很高端很強(qiáng)大，但你必須突破所有關(guān)卡才能做成一些事情，成本和難度都是很高的。

格物資訊：聽起來已經(jīng)比較完善了，但這也只是由外而內(nèi)的正常訪問流程。如果有電子政務(wù)外網(wǎng)內(nèi)部的用戶，不管主動(dòng)還是被動(dòng)，進(jìn)行了帶有惡意目的的操作，又如何防護(hù)呢?

耿昭：電子政務(wù)外網(wǎng)的區(qū)域規(guī)劃原則就是不能互訪的，內(nèi)網(wǎng)用戶如果訪問內(nèi)部資源就不能訪問互聯(lián)網(wǎng)，訪問互聯(lián)網(wǎng)就不能訪問內(nèi)部資源，這樣可以規(guī)避掉實(shí)時(shí)的受控或基于跳板的操作。如果是間接的數(shù)據(jù)竊取，比如通過木馬記錄下訪問的內(nèi)部資源，等連通外網(wǎng)時(shí)再發(fā)送這種，我們主要靠?jī)煞N方法去限制。第一是互聯(lián)網(wǎng)區(qū)的上網(wǎng)行為管理設(shè)備，會(huì)有一些策略去限制已知木馬的行為;第二是我們旁路部署了一套網(wǎng)絡(luò)威協(xié)識(shí)別產(chǎn)品，通過模式識(shí)別去檢測(cè)木馬的行為。兩個(gè)產(chǎn)品配合起來用，發(fā)現(xiàn)問題就實(shí)時(shí)跟蹤、告警。對(duì)木馬光用技術(shù)手段是沒用的，管理必須得跟上，該斷就斷，該通報(bào)就通報(bào)，才能讓所有用戶都重視。幾年前我們發(fā)通報(bào)都是一堆感染主機(jī)，每臺(tái)都能報(bào)幾百次安全事件，只能弄個(gè)TOP排名，到現(xiàn)在慢慢才算是清理得比較干凈了。當(dāng)然沒有告警不代表就沒有木馬了，安全防護(hù)永遠(yuǎn)不是做了就一定安全，只能說不做就一定不安全。

格物資訊：相信凈化內(nèi)網(wǎng)的過程肯定不像您講的這么云淡風(fēng)輕，在這個(gè)過程中，你們遇到哪些困難，又是如何解決的呢?

耿昭：一開始的時(shí)候我們每天都下日?qǐng)?bào)，包括安全日?qǐng)?bào)、威脅日?qǐng)?bào)等等，督促各級(jí)部門進(jìn)行排查。后來人家也有點(diǎn)糊涂，因?yàn)樗约嚎床坏骄W(wǎng)絡(luò)里的情況，沒有技術(shù)手段發(fā)現(xiàn)問題、解決問題。所以我們做了一件事：現(xiàn)在不僅是出口有上網(wǎng)行為管理，在絕大多數(shù)大型接入?yún)^(qū)也都部署了二級(jí)上網(wǎng)行為管理設(shè)備。這一樣有兩個(gè)好處，第一個(gè)好處是他有了自己排查問題的手段，分?jǐn)偭宋覀冎行牡膲毫?第二個(gè)好處是他自己可以管理自己，包括應(yīng)用流量控制也好、安全策略也好，在不違背我們集中管理策略的原則下自己優(yōu)化調(diào)整。

格物資訊：上網(wǎng)行為管理也不只用到安全功能吧?像政務(wù)外網(wǎng)這種服務(wù)器與上網(wǎng)終端共用一套互聯(lián)網(wǎng)出口的結(jié)構(gòu)，不管你出口帶寬有多大，不做流控也肯定會(huì)影響關(guān)鍵業(yè)務(wù)，造成安全事件。

耿昭：在互聯(lián)網(wǎng)區(qū)的流量控制是分級(jí)做的，總出口的設(shè)備會(huì)做一些粗粒度的帶寬保證，不會(huì)去看流量具體是什么應(yīng)用，協(xié)議識(shí)別控制是下面的設(shè)備去做的。你說的帶寬問題其實(shí)我們也有感觸，未來電子政務(wù)外網(wǎng)要接更多的用戶進(jìn)來，總不能說建了統(tǒng)一平臺(tái)就把用戶體驗(yàn)搞下降了。所以在增加帶寬和做流量整形的同時(shí)，我們一直在找提高帶寬利用率的方法。前年我們部署了一臺(tái)大型的緩存設(shè)備，它有一些機(jī)制去把比較熱門的資源抓取下來，現(xiàn)在看基本上能讓我們節(jié)省20%-30%的帶寬資源。

格物資訊：剛才聊了這么多，我們覺得您除了對(duì)業(yè)務(wù)理解得很深刻外，對(duì)安全技術(shù)和產(chǎn)品也很了解，不妨也談?wù)勀谶@方面的看法。

耿昭：其實(shí)安全方面的考慮一定是要從業(yè)務(wù)需求出發(fā)的，比如我們?yōu)槭裁匆獙?duì)應(yīng)用流量做識(shí)別控制，很重要的一個(gè)原因是很多7層協(xié)議管道化了，不繼續(xù)剝是不行的。也有些產(chǎn)品技術(shù)不能滿足現(xiàn)在的需求了，比如網(wǎng)閘。這個(gè)東西我們是需要的，但它效率一直上不去，沒法滿足業(yè)務(wù)增長(zhǎng)，像網(wǎng)上報(bào)稅這樣的關(guān)鍵業(yè)務(wù)最后只能把網(wǎng)閘都撤下來了，現(xiàn)在也就是四大庫(kù)這種業(yè)務(wù)量和實(shí)時(shí)性要求不太高的地方還在用。還有一個(gè)就是IPS和IDS基于非特征模式的阻斷，我們現(xiàn)在也不建議采取透明方式去做，因?yàn)檎`判的可能性和代價(jià)都是很高的。有些業(yè)務(wù)系統(tǒng)在邏輯上類似木馬或者遠(yuǎn)程控制，你給斷掉肯定不行。我這么說不代表不看好基于行為的識(shí)別，相反我非?？粗兀堑谝皇悄壳罢婺茏龅胶芎眯Ч漠a(chǎn)品不多，第二就是即便有很好的效果也要慎重去配嚴(yán)格的策略。

格物資訊：確實(shí)現(xiàn)在基于單體設(shè)備發(fā)現(xiàn)問題的有效性已經(jīng)很低了，很多安全事件必須綜合不同設(shè)備的檢測(cè)結(jié)果才能做出判斷。我們最近測(cè)試下一代防火墻的時(shí)候就有個(gè)感受，在用戶身份統(tǒng)一后，它實(shí)際上已經(jīng)具備了結(jié)合多種安全業(yè)務(wù)做關(guān)聯(lián)分析的可能，去挖掘更多的隱藏威脅并做出智能響應(yīng)。

耿昭：我個(gè)人認(rèn)為未來的安全設(shè)備發(fā)展趨勢(shì)應(yīng)該是多設(shè)備聯(lián)動(dòng)，當(dāng)然多個(gè)模塊也算。更安全只是一方面追求，完整目的準(zhǔn)確說來還是保障業(yè)務(wù)需求，涉及面很大。比如防火墻發(fā)現(xiàn)一些問題流量來了，除了做防護(hù)，還要會(huì)告訴鏈路負(fù)載均衡和上網(wǎng)行為管理說，把第一套策略換成第二套策略。當(dāng)然這個(gè)整網(wǎng)策略我必須提前做好預(yù)案，但不一定要寫死。理想狀態(tài)是能讓用戶定一些原則，比如哪些關(guān)鍵業(yè)務(wù)是絕對(duì)不能斷的、哪些流量是平時(shí)要保障但非常時(shí)期可以斷的、哪些安全業(yè)務(wù)的檢測(cè)力度是非常時(shí)期要加強(qiáng)的，然后根據(jù)具體情況去浮動(dòng)。這一系列工作現(xiàn)在是用戶自己把控的，我希望未來在設(shè)備層面能有一定的智能化實(shí)現(xiàn)。

格物資訊：設(shè)備層面的智能聯(lián)動(dòng)不是沒有廠商提過，但要不產(chǎn)品方案走向私有化，要不就是開放協(xié)議卻很難形成健全的生態(tài)系統(tǒng)。您愿意被特定廠商綁死嗎?

耿昭：我明白你的意思，開放與否實(shí)際上不是個(gè)技術(shù)問題。就現(xiàn)在我們和一些廠商交流的情況看，用開放標(biāo)準(zhǔn)實(shí)現(xiàn)多設(shè)備聯(lián)動(dòng)應(yīng)該會(huì)有不錯(cuò)的方案。其實(shí)原來我們做SOC實(shí)現(xiàn)安全管理的聯(lián)動(dòng)效果就還可以，但它是純粹基于安全這條主線來做的。現(xiàn)在我只是希望能在此基礎(chǔ)上再進(jìn)一步，不僅僅是做安全方面的集中管理和聯(lián)動(dòng)，還能做到應(yīng)用交付層面的集中管理和聯(lián)動(dòng)，應(yīng)該是有可能的。

#p#

用終端虛擬化保障業(yè)務(wù)安全

近段時(shí)間與行業(yè)用戶交流，聽到最多的抱怨就是終端安全無法保障。這次耿主任說的一句話就很有代表性：手機(jī)平板都能接入了，難道還寄希望于終端安全?但終端安全的問題又無法回避，如果云到端的業(yè)務(wù)鏈條上出現(xiàn)一個(gè)安全缺口，最終面臨的很可能是千里之堤潰于蟻穴的殘酷局面。

在經(jīng)過多種嘗試后，大連最終確定了終端虛擬化這種與眾不同的解決思路：既然無法保證終端安全，就全力保證業(yè)務(wù)安全。不過終端虛擬化的部署也要面臨很多困難，有技術(shù)層面的，也有非技術(shù)層面的。期待大連的試點(diǎn)工作能順利開展，將成功經(jīng)驗(yàn)分享給更多用戶。

格物資訊：現(xiàn)在移動(dòng)辦公是個(gè)大趨勢(shì)，很多情況下網(wǎng)絡(luò)邊緣已經(jīng)模糊了。比如您剛才提到計(jì)生委用平板電腦做入戶普查，還有權(quán)限比較高的用戶可能隨時(shí)登陸網(wǎng)站或者業(yè)務(wù)系統(tǒng)的后臺(tái)，這個(gè)時(shí)候又如何保證安全?

耿昭：其實(shí)這么多年搞安全總結(jié)下來，數(shù)據(jù)大集中也好，移動(dòng)辦公也好，都讓終端越來越簡(jiǎn)單，也越來越不安全。手機(jī)平板都能接入了，難道還寄希望于終端安全嘛?保護(hù)核心數(shù)據(jù)和訪問通路的安全才是重點(diǎn)。所以除了服務(wù)器的系統(tǒng)安全和數(shù)據(jù)安全，我們現(xiàn)在要求所有訪問都通過設(shè)立的VPN區(qū)域來接入，目前使用的是數(shù)字證書加密碼的SSL VPN進(jìn)行統(tǒng)一的安全認(rèn)證，這樣除了隧道安全外還可以對(duì)所有的用戶做身份識(shí)別，在策略分發(fā)上統(tǒng)一了。

格物資訊：這個(gè)VPN區(qū)域在管理上用到什么特別的手段么?或者說，為何選擇SSL VPN，而不是常見的VPE?

耿昭：VPN接入的用戶在權(quán)限策略和審計(jì)策略方面都是很嚴(yán)格的，包括我們要求任何的策略調(diào)整、信息維護(hù)都必須走VPN區(qū)，因?yàn)橹挥性谶@里可以做到基于特定業(yè)務(wù)、特定權(quán)限的精細(xì)控制。另外VPN區(qū)域的業(yè)務(wù)流量不大，可以做到行為和內(nèi)容的精確審計(jì)，包括每個(gè)用戶的每次登陸、修改過的策略、上傳的內(nèi)容都會(huì)記錄。這樣誰干了什么事情都是清清楚楚的，出了問題能定位到人。IPSec VPN在權(quán)限上沒法做到這么細(xì)，易用性方面也比SSL VPN弱一些。

格物資訊：不管是移動(dòng)辦公還是遠(yuǎn)程維護(hù)，終端上的數(shù)據(jù)又如何保證安全呢?

耿昭：剛才說過，保證核心數(shù)據(jù)和訪問通路的安全已經(jīng)有很成熟的解決方案;終端上現(xiàn)在不是不想控，是控制難度太大，才造成完整業(yè)務(wù)鏈條末端出現(xiàn)了一個(gè)安全真空。其實(shí)按照現(xiàn)有成熟的理論模型，如果業(yè)務(wù)系統(tǒng)本身在數(shù)據(jù)簽名、數(shù)據(jù)加密和數(shù)據(jù)保護(hù)三方面都比較完善，即便沒有VPN也能保證一定的安全性。但是我們不可能要求幾百個(gè)業(yè)務(wù)系統(tǒng)都達(dá)到這種程度，所以才會(huì)去做系統(tǒng)加固、去建VPN，把很多安全防護(hù)工作先做了，再慢慢去促進(jìn)解決業(yè)務(wù)系統(tǒng)在終端運(yùn)行的安全問題。

格物資訊：這個(gè)問題似乎已經(jīng)不局限于移動(dòng)場(chǎng)景了，所有電子政務(wù)外網(wǎng)用戶其實(shí)都存在終端安全的問題。那么大的用戶量肯定沒法去做審計(jì)和細(xì)粒度的權(quán)限控制，數(shù)據(jù)安全也沒法保證，比如插個(gè)U盤就能把數(shù)據(jù)帶走。對(duì)此，您解決問題的思路是什么?

耿昭：理論上終端安全我們可以通過上網(wǎng)行為管理去做準(zhǔn)入控制，如果客戶端病毒庫(kù)不夠新或者補(bǔ)丁不全，就拒絕訪問。但實(shí)際操作中我們沒有這樣做，主要不是技術(shù)上的問題，而是管理層面的問題。數(shù)據(jù)安全確實(shí)很麻煩，受制約的因素就更多了，比如基層用戶的安全意識(shí)就是個(gè)很大的問題。對(duì)于這兩個(gè)問題我們希望找到更好的解決方案，也測(cè)試過很多產(chǎn)品，目前比較認(rèn)可的就是終端虛擬化的方式。這種方式其實(shí)是換了個(gè)思路，對(duì)我們來說更現(xiàn)實(shí)。不管終端上有病毒也好木馬也好，甚至用網(wǎng)吧的電腦登錄上來，都不會(huì)把安全威脅帶到電子政務(wù)外網(wǎng)里。

格物資訊：終端虛擬化確實(shí)可以很好解決問題，但是目前成本太高。而且您剛才提到有些地區(qū)的網(wǎng)絡(luò)接入條件有限，是不是也會(huì)影響使用體驗(yàn)?

耿昭：是的，所以我們?cè)诮K端虛擬化上有云終端和虛擬桌面兩種思路。剛才你說的就是云終端，所有工作放到云端來做，也就是我們的數(shù)據(jù)中心;電腦和網(wǎng)絡(luò)只是用戶登陸的管道，并且這個(gè)管道是加密的，傳輸?shù)囊膊皇菍?shí)際數(shù)據(jù)。虛擬桌面就是類似沙盒的思路，用終端本地的計(jì)算、存儲(chǔ)資源，部署門檻就低得多了，而且我們可以把策略做細(xì)，比如不開虛擬桌面也可以訪問互聯(lián)網(wǎng)，但不能登陸稅務(wù)系統(tǒng)。

格物資訊：您更傾向于使用哪種方案呢?

耿昭：現(xiàn)在只能說終端虛擬化的大方向定下來了，云終端和虛擬桌面都會(huì)去做，具體到用戶要看他的需求、條件和實(shí)施成本。方向這個(gè)東西很重要，因?yàn)橐坏┒ㄏ聛砭突緵]有回頭路，比如我們做了7層的訪問控制和數(shù)據(jù)中心，就絕不可能倒退回去。終端虛擬化我們已經(jīng)著手去做了，三萬多個(gè)用戶分階段部署，今天一千、明天一千、后天一千地慢慢趨同。

格物資訊：終端虛擬化有拓展到移動(dòng)設(shè)備的計(jì)劃么?現(xiàn)在技術(shù)上好像已經(jīng)不成問題了。

耿昭：移動(dòng)端也會(huì)做。我們現(xiàn)在部署的深信服的SSL VPN有個(gè)遠(yuǎn)程應(yīng)用發(fā)布模塊(編者注：即EasyConnect)，它可以把特定應(yīng)用通過加密隧道推送到移動(dòng)設(shè)備上，并且和終端使用的操作系統(tǒng)類型無關(guān)。我們現(xiàn)在只是小規(guī)模在用，但它其實(shí)可以滿足很多業(yè)務(wù)需求。未來打算往云終端切的時(shí)候，我們也可以直接把它當(dāng)做一個(gè)應(yīng)用做發(fā)布，達(dá)到和普通電腦類似的效果。

#p#

為什么是深信服?

大連電子政務(wù)外網(wǎng)中部署了不少深信服的產(chǎn)品，所以在與耿主任的溝通中對(duì)該廠商也多有涉及。其實(shí)，了解用戶對(duì)廠商的看法一貫是與用戶交流的重要組成部分，是一睹廠商真顏的最佳途徑之一。從溝通中可以看出，用戶對(duì)包括深信服在內(nèi)的所有廠商是一視同仁的：誰能解決我面臨的問題、預(yù)見未來將要出現(xiàn)的問題并提供解決方案，自然就能得到我的重視;反之，自然就得不到任何機(jī)會(huì)。其實(shí)與其說是用戶給廠商機(jī)會(huì)，不如說廠商得給自己創(chuàng)造機(jī)會(huì)。

格物資訊：之前我們了解大連電子政務(wù)外網(wǎng)的建設(shè)情況時(shí)，看到現(xiàn)網(wǎng)運(yùn)行著很多深信服的設(shè)備，您能談?wù)勥x擇深信服產(chǎn)品的初衷么?

耿昭：我們08年的時(shí)候申請(qǐng)了國(guó)家信息化專項(xiàng)，要求全系列采用國(guó)產(chǎn)自主設(shè)備。當(dāng)時(shí)一些國(guó)產(chǎn)設(shè)備還不成熟，比如負(fù)載均衡，到現(xiàn)在一些行業(yè)還傾向于用國(guó)際品牌。所以在采購(gòu)前我們先做了個(gè)調(diào)研，并且希望直接和廠商溝通，很多廠商都是主動(dòng)打400電話過去聯(lián)系的，其中就包括深信服。后來經(jīng)過測(cè)試，他們產(chǎn)品對(duì)需求的滿足度還算是比較高的，就放到出口做鏈路負(fù)載均衡，這么多年雖然軟硬件都有過升級(jí)，但一直算是用住了。

格物資訊：使用中一直沒出過什么問題么?

耿昭：一點(diǎn)問題沒有也是不可能的，關(guān)鍵是設(shè)備沒宕過機(jī)。如果說上線以后宕掉了，對(duì)核心業(yè)務(wù)造成過影響，那估計(jì)后面也就沒有任何機(jī)會(huì)了，我覺得這對(duì)任何用戶都一樣。深信服的設(shè)備出過什么問題，比如原來我們做了幾千條策略放在里面的時(shí)候，發(fā)現(xiàn)沒有檢索功能，真說要找一條策略得一頁(yè)一頁(yè)、一條一條的找。我們還沒抱怨呢，他們技術(shù)人員自己都說這地方得加個(gè)檢索功能，要不做運(yùn)維非傻了不可。這個(gè)問題其實(shí)說明產(chǎn)品功能一定取決于對(duì)用戶需求的了解，如果是大廠商，他可能有過很多實(shí)施經(jīng)驗(yàn)，就知道這樣的需求，于是做到產(chǎn)品里，用戶就覺得你很厲害，能想到用戶沒想過的問題;成長(zhǎng)型的廠商可能沒有過那么多實(shí)施經(jīng)驗(yàn)，勢(shì)必要把了解需求、落地到產(chǎn)品里的路走一遍，才能逐漸變成大廠商。所以我和深信服的技術(shù)人員開玩笑說，我們是伴隨他一同成長(zhǎng)。

格物資訊：您說這個(gè)這點(diǎn)我們非常贊同。這幾年和一些大型行業(yè)用戶交流，也聽到不少類似的抱怨，比如有用戶做數(shù)據(jù)集中、策略集中以后，發(fā)現(xiàn)原有的標(biāo)稱支持六萬多條策略的防火墻根本加載不了那么多策略，或者策略超過一定數(shù)量以后管理界面總是假死。這應(yīng)該也說明廠商沒有過這種環(huán)境下的實(shí)施經(jīng)驗(yàn)，也就發(fā)現(xiàn)不了這樣的問題。

耿昭：這是一方面，另一方面也是我想說的，有些廠商不太重視用戶體驗(yàn)。原來我們也測(cè)過一個(gè)國(guó)內(nèi)網(wǎng)絡(luò)安全領(lǐng)頭企業(yè)的產(chǎn)品，那界面是慘不忍睹，還很不好用。我說你有的頁(yè)面打開怎么那么慢啊，點(diǎn)一下十幾二十秒才能出來，他們配合測(cè)試的人就跟我狂解釋，這里得統(tǒng)計(jì)、得分析才能得到結(jié)果。問題是為什么其它產(chǎn)品同樣的功能反應(yīng)就那么快?這有點(diǎn)像手機(jī)，蘋果的性能不一定比三星、諾基亞好，但它賣的就是用戶體驗(yàn)，那是它核心價(jià)值很重要的一部分;安全產(chǎn)品里用戶體驗(yàn)雖說沒有手機(jī)那么重要，總也不能太差了，差到讓用戶用著感覺不方便。

格物資訊：那您感覺深信服產(chǎn)品的用戶體驗(yàn)如何?前一陣我們有分析師參加他們的渠道大會(huì)，聽到有渠道商直接跟他們銷售總監(jiān)抱怨說產(chǎn)品的管理界面“太企業(yè)化”，運(yùn)營(yíng)商不喜歡。

耿昭：我覺得這恰恰驗(yàn)證了我剛才的說法，運(yùn)營(yíng)商認(rèn)為他產(chǎn)品做得不夠，瓶頸不在技術(shù)上，是因?yàn)樗\(yùn)營(yíng)商做得少，沒有掌握足夠多的用戶需求。其實(shí)很多廠商的產(chǎn)品都一樣，核心競(jìng)爭(zhēng)力往往是都是一堆用戶給折騰出來的，功能、性能、易用性都包含在內(nèi)。深信服產(chǎn)品我的感受是交互做得很好，信息展示比較豐富、管理也很方便，這對(duì)我們這樣的用戶就很重要了。功能、性能肯定不是選型的唯一條件，比如兩款產(chǎn)品的應(yīng)用識(shí)別率是95%和93%，在用戶眼里其實(shí)沒什么區(qū)別。那憑什么選?肯定選易用性好的那個(gè)。

格物資訊：關(guān)于深信服的產(chǎn)品戰(zhàn)略，我們分析師認(rèn)為他們一直在做一些靠近用戶業(yè)務(wù)的小眾產(chǎn)品或跨界產(chǎn)品，繞開了競(jìng)爭(zhēng)激烈的主戰(zhàn)場(chǎng)，曲線做大。不知您怎么看?

耿昭：我覺得這和他們的發(fā)展有關(guān)，企業(yè)規(guī)模和市場(chǎng)能力是呈正比的。大企業(yè)肯定要做通用的產(chǎn)品，做得越細(xì)分越難保證利潤(rùn);成長(zhǎng)型企業(yè)你就得去創(chuàng)新，做別人沒做過的東西，所以產(chǎn)品不是常態(tài)也很正常。但是這種情況不是一成不變的，我之前和深信服老總溝通過，他們現(xiàn)在也開始往大型化去做了，產(chǎn)品規(guī)格在慢慢上移，肯定是被運(yùn)營(yíng)商之類的客戶催的。不過他們的思路還是比較務(wù)實(shí)的，可能還是打算在差異化中尋找創(chuàng)新機(jī)會(huì)。創(chuàng)新是有很大風(fēng)險(xiǎn)，但我覺得不創(chuàng)新也許會(huì)讓安全廠商消失得更快。有的老牌廠商曾經(jīng)占據(jù)了國(guó)內(nèi)政府行業(yè)很大的市場(chǎng)份額，現(xiàn)在幾乎看不見了。什么原因?就是因?yàn)樗傇谧隼先龢?，沒有什么創(chuàng)新。

格物資訊：您剛才說和深信服的老總進(jìn)行過交流，能分享一下交流成果嗎?

耿昭：我去年11月專門到他們公司去了一趟，跟他們老總面談了一上午。我主要有兩個(gè)想法，第一是想了解他們企業(yè)未來的發(fā)展方向，看深信服的產(chǎn)品能不能支撐我們以后的發(fā)展，比如他平臺(tái)的問題，未來能到什么樣的處理能力。第二是在了解他們的同時(shí)也希望他們能多了解我們，他們對(duì)我們需求了解得越多，未來越有可能更好地支持我們。像多設(shè)備聯(lián)動(dòng)這種想法，就是得不斷溝通，才可能產(chǎn)生交集，最終落地到產(chǎn)品。

格物資訊：最后一個(gè)問題可能比較尖銳，您覺得深信服產(chǎn)品的優(yōu)勢(shì)和不足是什么?

耿昭：優(yōu)勢(shì)剛才說了一個(gè)用戶體驗(yàn)，另一個(gè)我覺得可能因?yàn)樗麄兪亲錾暇W(wǎng)行為管理起家的，對(duì)應(yīng)用的精細(xì)化識(shí)別做得比較好，有些東西像界面是可以仿制的，但這種還得靠積累。不足的話，第一個(gè)剛才其實(shí)提過了，他們高端產(chǎn)品規(guī)格還得盡快提升。我去深圳的一個(gè)重要原因就是要把這塊了解清楚，因?yàn)檫x型肯定要考慮未來3到5年，不能到時(shí)候帶寬增加了設(shè)備卻跟不上。其實(shí)只要不是出過事故，選型時(shí)產(chǎn)品技術(shù)路線也應(yīng)該保證一定的延續(xù)性。我們?nèi)绻褞浊l策略從兩個(gè)不同供應(yīng)商的產(chǎn)品里倒一遍，技術(shù)員得好幾天不睡覺來弄，所以說換不起設(shè)備。另一個(gè)不足不光是深信服的問題，我個(gè)人認(rèn)為國(guó)內(nèi)廠商在產(chǎn)品交互體驗(yàn)、應(yīng)用管理和7層安全方面和國(guó)外廠商還有很大差距，還有很長(zhǎng)的路要走。這是我實(shí)事求是說的話，我跟他們老總也說過這話。

#p#

采訪后記

之所以選擇大連，很大程度上是因?yàn)榇筮B電子政務(wù)外網(wǎng)建設(shè)起步早、進(jìn)度快、資源整合度高，在業(yè)界小有名氣。作為示范工程，大連電子政務(wù)外網(wǎng)對(duì)新理念、新技術(shù)、新產(chǎn)品表現(xiàn)出非常開放的態(tài)度。經(jīng)驗(yàn)證后的成功經(jīng)驗(yàn)，對(duì)全國(guó)其它地區(qū)電子政務(wù)外網(wǎng)的建設(shè)有著很強(qiáng)的指導(dǎo)意義。

對(duì)我們來說，大連之旅是種享受，連番的深入交流讓本著學(xué)習(xí)目的而來的我們感到不虛此行。耿主任身上沒有任何官僚氣息，他更像一個(gè)精通政府行業(yè)信息化建設(shè)的專家，樂于并善于與人交流分享。由于他超級(jí)健談，且講出來得皆為干貨，給后期整理采訪記錄造成了很大難度，似乎刪掉哪個(gè)部分都會(huì)影響內(nèi)容的完整性。鑒于篇幅實(shí)在太長(zhǎng)，我們最后索性把文章改成對(duì)話的形式，盡可能全面、準(zhǔn)確地還原每一個(gè)細(xì)節(jié)。

在與耿主任的交流中，有幾點(diǎn)令我們印象深刻。首先是業(yè)務(wù)的崇高地位。大連電子政務(wù)外網(wǎng)基礎(chǔ)架構(gòu)建設(shè)與運(yùn)維中的任何決策，都由業(yè)務(wù)驅(qū)動(dòng)，最終也落地到業(yè)務(wù)，避免了很多本末倒置情況的出現(xiàn)。業(yè)務(wù)又從何而來?答案是盡一切手段促進(jìn)原有獨(dú)立系統(tǒng)向統(tǒng)一平臺(tái)遷移，這也是電子政務(wù)外網(wǎng)由虛到實(shí)的決定因素。而有了豐富的業(yè)務(wù)，人員角色也要完成從管理者向運(yùn)營(yíng)者的轉(zhuǎn)變，才能保證政務(wù)與信息化融合的主動(dòng)性。終極狀態(tài)下的政務(wù)信息化平臺(tái)，政務(wù)和信息化一定是不分家的。

分層、立體化與聯(lián)動(dòng)是耿主任談及大連電子政務(wù)外網(wǎng)安全防護(hù)工作時(shí)出現(xiàn)頻率最高的三個(gè)詞。其實(shí)這也不是什么新概念，但罕有用戶能將它們捏合成一個(gè)強(qiáng)大的防護(hù)體系。就像玩植物大戰(zhàn)僵尸，玩家會(huì)遇到各種各樣的敵人，有皮糟肉厚的巨型僵尸(DDoS)，有能躲過第一層攻擊的梯子僵尸(7層攻擊)，還有能穿過防御體系進(jìn)行反向突破的潛地僵尸(APT)。玩家必須通過手中有限的預(yù)算和武器類型，構(gòu)建出一套合理的防御體系，才能應(yīng)對(duì)千變?nèi)f化的僵尸組合。大連顯然是個(gè)有想法的玩家，已經(jīng)靠自己的理念把游戲打到了難度很高的關(guān)卡。不過面對(duì)攻擊力和種類越來越變態(tài)的新型僵尸，其棄終端、保業(yè)務(wù)的新防護(hù)思路還停留在論證試點(diǎn)階段。希望他們的探索能夠成功，將植物大戰(zhàn)僵尸的示范工程進(jìn)行到底。

交流中還有一個(gè)印象深刻的地方是用戶對(duì)產(chǎn)品、技術(shù)乃至市場(chǎng)有著深入了解，使其在與廠商關(guān)系中的角色發(fā)生了改變。大型行業(yè)用戶與廠商的關(guān)系就應(yīng)該非常緊密，才能把普通的項(xiàng)目變成對(duì)雙方發(fā)展都有益的合作。正如耿主任所講：“廠商對(duì)我們需求了解得越多，未來越有可能更好地支持我們。”而對(duì)于廠商來說，“產(chǎn)品功能一定取決于對(duì)用戶需求的了解，如果是大廠商，他可能有過很多實(shí)施經(jīng)驗(yàn)，就知道這樣的需求，于是做到產(chǎn)品里，用戶就覺得你很厲害，能想到用戶沒想過的問題;成長(zhǎng)型的廠商可能沒有過那么多實(shí)施經(jīng)驗(yàn)，勢(shì)必要把了解需求、落地到產(chǎn)品里的路走一遍，才能逐漸變成大廠商。”