医院网络架构设计及其实现.docx

医院网络架构设计和实现 摘要 伴随医院信息化进程深入，医院信息平台运行将越来越依靠基础网络建设。网络成为医院多种关键数据信息进行交互和传输关键路径。多个网络架构拥有各自优势和不足，下面就我对其认识作出叙述和选择一个适宜网络基础架构。关键字 内外网融合，内外网分离，结合医院网络基础架构发展至今，关键分为三种架构，分别是内外网融合网络架构、内外网分离网络架构、和最近几年刚刚兴起基于业务无线网络平台架构，这是和医疗信息化发展阶段分不开。(内网外网概念为逻辑上划分，两种实际物理架构中，逻辑上均包含内网和外网两部分。划分关键依据业务系统对内对外服务属性，医疗关键业务相关度等特征来进行。)首先先来简单认识一下内外网融合网络架构、内外网分离网络架构和无线网络平台架构和基于业务无线网络平台架构和她们优缺点比较。内外网融合物理架构:就是医院内网业务和办公业务全部在一张基础网络上运行，在这一网络架构之上，不管是数据类型、关键程度，还是对网络要求，和数据流方向全部不尽相同，使得网络数据复杂度提升而可控性下降。从介绍可知，全部业务全部在一张基础网上，缺点显著可知，两网仅逻辑隔离，外网对设备攻击可能引发内外网络全方面瘫痪。优点则是:能够保护投资，而且能够依据需要让某部分终端能够同时访问两个区域，而且内外网融合所需设备相对较少，在维护和购置设备方面全部很大程度上降低了成本。内外网分离网络架构:就是将医院内网和外网业务分别放在一张单独建立网络上来运行，两网物理隔离，最大程度保障内网业务及数据安全。内网关键承载医疗关键业务，如HIS、PACS 等。外网作为行政办公、对外公布、互联网医学资料查询关键平台，对于稳定性和保密性要求低于内网，而且接入终端及数据流特点也更为复杂。优点：内外网无共用设备和链路，两网之间互不影响。此种网络架构设计，能够最大程度确保内网安全。缺点：因为内外网完全物理隔离， 两张网络单独建设，投资规模增大；灵活性稍弱，一台终端只属于一张网，不能同时对两网资源进行访问，也不能自由切换；需要管理两张网络，增加管理成本无线网络和上述两种相比大大不一样，它是采取无线传输媒介计算机网络，结合了最新计算机网络技术和无线通信技术。首先，无线局域网是有线局域网延伸。使用无线技术来发送和接收数据，降低了用户连线需求。因为采取无线信号通讯，在网络接入方面就愈加灵活了，只要有信号就能够经过无线网卡完成网络接入目标；同时网络管理者也不用再担心交换机或路由器端口数量不足而无法完成扩容工作了。不过无线网络首次建设成本较高，很多条件不是很好医院全部无法实现；布署时需要改动现有网络结构，对原网络进行调整，增加首次布署复杂度，伴随无线网络带宽和传输数据增加，无线网络可能会给有线网络设备造成额外压力。现在我们根本不可能完全抛弃有线布署架构，所以从普遍性上来讲，先考虑采取内外网融合网络架构 或 内外网分离网络架构。伴随部分网络新技术应用，使得内外网融合物理架构也含有了内外网分离特点，经典应用是经过MPLS（Multi-Protocol Label Switching） VPN 技术和安全控制域划分，在逻辑上将一张物理网络虚拟化成几张逻辑网络，逻辑网络之间经过VPN 技术进行隔离，逻辑网络内经过安全域控制不一样等级用户访问权限，在确保网络安全，稳定，高效，可控同时，最大程度保护投资，降低医院信息化建设门槛。所以接下来关键叙述内外网融合网络架构。首先先要了解医院网络分层及其功效分区，图：医院网络关键分为两层机构:数据中心层和终端接入层。各区域界限和作用范围：1.内网中心服务器区医院信息平台上内网全部应用服务器、数据库服务器、中间件服务器、数据存放设备等一切内网业务系统相关设备集中连接区域，是整个医院业务关键。比如，内网中心服务器区域是HIS 系统、LIS 系统，PACS 系统，EMR 系统等所在区域。2.外网中心服务器区（DMZ 区）医院信息平台上外网全部应用服务器、数据库服务器、中间件服务器、数据存放设备等一切外网业务系统相关设备集中连接区域。比如，外网中心服务器区是医院外网OA 服务器，外网WEB 服务器，MAIL 服务器等所在区域。3.数据灾备区该区域是HIS、电子病历、医学影像系统，等数据中心子系统灾备区域，通常该区域为院内灾备区域，经过高速链路直接和关键交换机相连，实现业务系统和灾备区域数据实时同时。4.骨干网络区关键负责医院信息平台上数据中心区域内各服务器区之间互联，和数据中心区和终端接入区之间互联或汇聚互联，该区域关键功效为实现局域网内数据高速处理和转发。远程链路汇聚关键采取高性能路由器、VPN 网关服务器。HIS 系统、LIS 系统、EMR 系统、PACS 系统、网络安全管理系统等模块关键经过万兆平台及其以上高性能三层交换机进行连接。4.医疗专网出口区该区域关键功效为为医疗信息平台提供医疗专网接入服务，医疗专网包含关键内容包含：医疗行业上级单位，疾控直报网络，公共卫生突发预警系统，公安局，区域医疗卫生信息平台等。医疗专网出口为医院信息平台提供了和其它医疗信息平台及上级主管机构信息交互安全高效通道，是连接医院信息孤岛，整合医疗信息网络关键部分。这部分出口关键经过专线连接，最好能够提供冗余出口线路。5.互联网出口区该区域是为下载医学相关资料，获取互联网海量信息而提供安全Internet 出口，也是医院门户网站，对外服务系统对公众社会提供服务出口区域，该区域因为和广域网链路相连，外部网络环境较为复杂，存在较大风险隐患，所以是安全防护关键区域。该区域关键由高性能路由器、防毒墙、防火墙、流控设备、VPN 设备、上网行为管理设备，网站保护系统等组成。6.网络安全管理区医院信息平台数据中心内保障整体信息平台安全、稳定运行安全管理运维系统连接区域。如证书服务器、身份认证、漏洞扫描、入侵检测、网络管理等。7各终端接入区关键提供挂号，缴费和各类行政方面服务在定位上，内外网融合网络架构，将全部功效区域全部放到一张网络上，物理上联通，经过防火墙，三层设备访问控制列表，二层设备VLAN 划分，来达成两网逻辑隔离，网络服务互不影响目标。经过二层隔离，三层隔离，安全域划分，MPLS VPN 技术等来逻辑隔离网络，确保网络安全。之前也提到了经过MPLS（Multi-Protocol Label Switching） VPN 技术和安全控制域划分，能够使内外网融合架构同时拥有内外网分离架构特点，得两网虽在一张网上，但运行于各自不一样逻辑通道中，相互之间互不可见；同时能够经过安全控制域划分，让主机在接入时动态选择要进入安全域，确保域内访问安全；就设备而言，经过设备本身部分抗攻击机制，如中央处理器保护机制，网络基础设计保护机制来达成合理分配交换机硬件资源，满足不一样场所应用目标。这么就在一定程度上填补了融合架构不足。在内外网融合架构中，又包含两种子架构，分别是内外网融合二层网络架构和内外网融合三层网络架构。这两种架构全部有其各自区分及特点。二层网络架构，即全网接入层直接连接到关键或经过一个二层设备转连接至关键。其特点是：全网拓扑简单，全部终端网管在关键交换机上，关键交换机经过 MSTP（Multi-Service Transfer Platform）+VRRP（Virtual RouterRedundancy Protocol）、环网技术或硬件虚拟化技术进行布署，增加冗余性和鲁棒性，但轻易造成关键交换机压力较大，易受到到来自各个区域终端攻击，造成网络动荡，网络稳定性下降。三层网络架构，即全网严格分为关键、汇聚、接入三层，接入层关键负责接入控制、VLAN 划分和二层网络隔离和互通等功效；汇聚层设备作为各汇聚区域网关，进行三层网络访问控制，减轻关键交换压力，分割网络动荡区域，使得局部问题不影响全局，汇聚层之上经过三层接口和关键交换机进行互联，运行动态或静态路由协议，提升网络自愈能力；关键层交换机关键负责高速三层转发，因为已在汇聚层上进行控制域划分，此时关键层启用策略更少，性能更高，风险降低。基于其各自优势，针对不一样区域往往两种架构共同使用，形成二三层混合架构。比如将医技终端接入区和关键共同组成二层架构，而行政接入区则经过关键-汇聚-接入形成三成架构，将其网关下移至汇聚交换机，降低该区域对骨干网络影响。依据内外网融合网络架构画出了拓扑图：参考图片对网络架构实现分析以下：1.接入层设计接入层是医院信息平台上全部设备边缘接入网络，是将终端接入网络边缘，也是对终端用户进行访问控制和隔离边缘，是网络安全边缘前移和全局网络安全基础。接入层网络设备关键由二层以太网交换机和无线接入点等设备组成，其中二层以太网交换机关键是为有线设备提供网络控制和接入。作为医院信息平台安全接入设备，接入层交换机应选择智能网管型交换机，含有VLAN 划分，端口隔离，安全地址绑定，抗攻击，QoS，防雷击等功效，支持标准802.1x 访问控制，支持标准SNMP 简单网络管理协议，支持DHCP-Snooping 等功效，支持标准RSTP（Rapid Spaning TreeProtocol），MSTP（Multi-Service Transfer Platform）生成树协议。接入层设计需要充足考虑设备稳定性、安全性、冗余性和高性能，上联至数据中心链路尽可能使用双链路上联，经过生成树协议生成无环拓扑，避免广播风暴，确保终端设备稳定，安全，高速接入医院信息网络平台。2.汇聚层设计汇聚层是连接接入层和关键层之间网络层，为接入层提供数据汇聚，传输，管理，分发处理，集中接入层流量，再转发至关键层功效，是局域网中隔离动荡控制点，也是区域网络流量上收关键点。汇聚层为接入层提供基于策略连接,如地址合并，协议过滤,路由服务,认证管理等。经过网段划分(如VLAN)和网络隔离能够预防一些网段问题蔓延和影响到关键层。汇聚层同时也能够提供接入层虚拟网之间互连，控制和限制接入层对关键层访问，确保关键层安全和稳定。汇聚层设计为连接当地逻辑中心，仍需要较高性能和比较丰富功效。汇聚层设备通常采取可管理三层交换机或堆叠式交换机以达成带宽和传输性能要求。其设备性能很好，但价格高于接入层设备，而且对环境要求也较高，对电磁辐射、温度、湿度和空气洁净度等全部有一定要求。汇聚层设备之间和汇聚层设备和关键层设备之间多采取光纤互联，以提升系统传输性能和吞吐量。用户访问控制通常会安排在在接入层，但也能够安排在汇聚层进行。在汇聚层实现安全控制和身份认证时，采取是集中式管理模式。当网络规模较大时，能够设计综合安全管理策略，比如在接入层实现身份认证和MAC 地址绑定，在汇聚层实现流量控制和访问权限约束。3.网络关键层网络关键层是医院信息平台网络数据骨干交换区域，各接入层数据经汇聚层汇聚后集中转发至关键层进行高速交换。关键层关键职为负责整个医院信息平台数据高速转发，相关策略应该尽可能较少。关键层因为是整个网络关键，从设备上来讲，需要在考虑高性能，高稳定性同时，充足考虑设备引擎、业务线卡、电源、风扇等冗余，同时需要含有一定抗攻击能力，如中央处理器保护能力，基础网络保护能力；从架构上来讲，需要充足考虑关键层设备间冗余备份和负载均衡，利用MSTP/RSTP+VRRP 技术，自愈环网技术，或是经过愈加好关键层设备硬件虚拟化技术，实现设备级冗余备份，同时，在设计时还应充足考虑网络链路冗余性和可靠性，提升网络防灾能力。具体设备选型以下：1. 关键层设备提议选择高性能万兆三层交换机，经过千兆链路和汇聚层设备相连，经过万兆链路进行关键层互联。在设备选择上，应充足考虑设备本身冗余性，如电源冗余、引擎冗余、业务线卡冗余、全部线卡及电源支持热拔插，同时应含有一定自我保护机制，如中央处理器保护机制，基础网络保护机制等。在网络计划时，应充足考虑网络架构冗余性设计，提议采取两台或两台以上组成双关键或多关键环网，关键之间可进行冗余互备和负载分担，减小因为单关键造成设备压力及单点故障。2. 汇聚层设备提议选择性能较高，且含有丰富安全功效全千兆三层交换机，经过千兆和接入交换机和关键交换机相连，同时汇聚交换机提议含有万兆扩展能力，方便后续网络升级。汇聚层设备需含有一定稳定性，门诊区域提议采取双汇聚设备，确保网络高可靠。3. 提议内网中心服务器区、外网中心服务器区、安全网络控制区、数据灾备区、医技终端接入区、无线终端接入区采取全千兆二层交换机作为接入设备，其它接入区域采取百兆二层交换机，千兆上联。接入层交换机应选择智能网管型交换机，含有VLAN 划分，二层访问控制列表，MSTP，RSTP，BPDU GUARD，BPDU FILTER，DHCP Snooping，安全地址绑定，802.1x 等功效。接入层交换机还应含有良好防雷击特征，因为医院信息平台对网络稳定性要求特殊性，提议以太网接口含有高于国家标准防雷击能力。同时能在一定程度上抵御网络攻击，如中央处理器保护，基础网络保护等。4. 出口设备应选择高性能路由器或专用出口设备作为网络出口，并添加防火墙进行域间网络访问控制。路由器应含有大容量、高性能NAT转换能力，能够进行智能选路，并提供丰富广域网接口。除此之外，路由器还应含有较高冗余性和抗网络攻击能力。防火墙作为域间网络隔离点，需支持多个访问控制策略制订，和高性能数据转发能力，避免成为网络性能瓶颈。出口设备应包含整合出口路由，防火墙，VPN，流控设备，上网行为管理单一设备，或部分整合设备。出口设备也能够使路由器，防火墙，VPN，流控设备，上网行为管理设备组合。出口路由应高性能路由器，确保院内终端对互联网高速访问，同时为外网访问内网WEB 服务器提供高速链路通道。防火墙设备作为局域网和广域网分割点，其访问控制功效至关关键，故防火墙需支持类型丰富网络访问控制策略设置。VPN 设备应选择可支持IPSECVPN和SSLVPN 设备，确保VPN 接入方法灵活性。流控设备应含有较高且较为精细流量识别功效，可基于流量识别对网络流量进行控制，确保网络带宽充足有效利用。上网行为管理设备，关键是经过URL 过滤库设置，规范职员上网行为，确保网络安全，提升工作效率。在上述设计中还包含了无线网络部分之前说到无线首次建设耗资大，而且架构不好实现，不过无线方便性全部众所周知，所以无线在以后医院信息化设中无疑是宠儿。综上，有效结合内外网融合，内外网分离和无线网络架构，医院信息化管理终会愈加完善。