醫(yī)院網絡架構設計與實現(共12頁)

1、精選優(yōu)質文檔-傾情為你奉上醫(yī)院網絡架構設計與實現 摘要 隨著醫(yī)院信息化進程的深入，醫(yī)院信息平臺的運行將越來越依賴基礎網絡的建設。網絡成為醫(yī)院各種關鍵數據的信息進行交互和傳遞的重要途徑。多種網絡架構擁有各自的優(yōu)勢與不足，下面就我對其的認識作出闡述和選擇一種合適的網絡基礎架構。關鍵字 內外網融合，內外網分離，結合醫(yī)院的網絡基礎架構發(fā)展至今，主要分為三種架構，分別是內外網融合的網絡架構、內外網分離的網絡架構、以及最近幾年剛剛興起的基于業(yè)務的無線網絡平臺架構，這是和醫(yī)療信息化的發(fā)展階段分不開的。(內網外網的概念為邏輯上的劃分，兩種實際的物理架構中，邏輯上均包含內網和外網兩部分。劃分主要根據業(yè)務系統的對

2、內對外服務屬性，醫(yī)療核心業(yè)務相關度等特性來進行。)首先先來簡單認識一下內外網融合的網絡架構、內外網分離的網絡架構和無線網絡平臺架構和基于業(yè)務的無線網絡平臺架構以及他們的優(yōu)缺點比較。內外網融合的物理架構:就是醫(yī)院的內網業(yè)務以及辦公業(yè)務都在一張基礎網絡上運行，在這一網絡架構之上，無論是數據的類型、重要程度，還是對網絡的要求，以及數據流方向都不盡相同，使得網絡數據復雜度提高而可控性下降。從介紹可知，所有業(yè)務都在一張基礎網上，缺點明顯可知，兩網僅邏輯隔離，外網對設備的攻擊可能引起內外網絡全面癱瘓。優(yōu)點則是:可以保護投資，并且可以根據需要讓某部分終端可以同時訪問兩個區(qū)域，而且內外網融合所需設備相對較少，

3、在維護和購買設備方面都很大程度上減少了成本。內外網分離的網絡架構:就是將醫(yī)院的內網和外網業(yè)務分別放在一張單獨建立的網絡上來運行，兩網物理隔離，最大限度的保障內網業(yè)務及數據的安全。內網主要承載醫(yī)療核心業(yè)務，如HIS、PACS 等。外網作為行政辦公、對外發(fā)布、互聯網醫(yī)學資料查詢的主要平臺，對于穩(wěn)定性和保密的性的要求低于內網，并且接入終端及數據流特點也更為復雜。優(yōu)點：內外網無共用設備和鏈路，兩網之間互不影響。此種網絡架構設計，能夠最大程度保證內網安全。缺點：由于內外網完全物理隔離， 兩張網絡單獨建設，投資規(guī)模增大；靈活性稍弱，一臺終端只屬于一張網，不能同時對兩網資源進行訪問，也不能自由切換；需要管理

4、兩張網絡，增加管理成本無線網絡與上述兩種相比大大不同，它是采用無線傳輸媒介的計算機網絡，結合了最新的計算機網絡技術和無線通信技術。首先，無線局域網是有線局域網的延伸。使用無線技術來發(fā)送和接收數據，減少了用戶的連線需求。由于采用無線信號通訊，在網絡接入方面就更加靈活了，只要有信號就可以通過無線網卡完成網絡接入的目的；同時網絡管理者也不用再擔心交換機或路由器端口數量不足而無法完成擴容工作了。但是無線網絡初次建設成本較高，很多條件不是很好的醫(yī)院都無法實現；部署時需要改動現有網絡結構，對原網絡進行調整，增加初次部署復雜度，隨著無線網絡帶寬以及傳輸數據的增加，無線網絡可能會給有線網絡設備造成額外的壓力。

5、目前我們根本不可能完全拋棄有線部署架構，所以從普遍性上來講，先考慮采用內外網融合的網絡架構 或 內外網分離的網絡架構。隨著一些網絡新技術的應用，使得內外網融合的物理架構也具備了內外網分離的特點，典型應用是通過MPLS（Multi-Protocol Label Switching） VPN 技術以及安全控制域的劃分，在邏輯上將一張物理網絡虛擬化成幾張邏輯網絡，邏輯網絡之間通過VPN 技術進行隔離，邏輯網絡內通過安全域控制不同級別用戶的訪問權限，在保證網絡安全，穩(wěn)定，高效，可控的同時，最大限度的保護投資，降低醫(yī)院信息化建設的門檻。所以接下來主要闡述內外網融合的網絡架構。首先先要了解醫(yī)院網絡分層及其

6、功能分區(qū)，如圖：醫(yī)院網絡主要分為兩層機構:數據中心層和終端接入層。各區(qū)域的界限以及作用范圍：1.內網中心服務器區(qū)醫(yī)院信息平臺上內網所有的應用服務器、數據庫服務器、中間件服務器、數據存儲設備等一切內網業(yè)務系統相關設備的集中連接區(qū)域，是整個醫(yī)院業(yè)務的核心。例如，內網中心服務器區(qū)域是HIS 系統、LIS 系統，PACS 系統，EMR 系統等所在的區(qū)域。2.外網中心服務器區(qū)（DMZ 區(qū)）醫(yī)院信息平臺上外網所有的應用服務器、數據庫服務器、中間件服務器、數據存儲設備等一切外網業(yè)務系統相關設備的集中連接區(qū)域。例如，外網中心服務器區(qū)是醫(yī)院外網OA 服務器，外網WEB 服務器，MAIL 服務器等所在的區(qū)域。3.

7、數據災備區(qū)該區(qū)域是HIS、電子病歷、醫(yī)學影像系統，等數據中心子系統的災備區(qū)域，一般該區(qū)域為院內災備區(qū)域，通過高速鏈路直接與核心交換機相連，實現業(yè)務系統與災備區(qū)域數據實時的同步。4.骨干網絡區(qū)主要負責醫(yī)院信息平臺上數據中心區(qū)域內各服務器區(qū)之間的互聯，以及數據中心區(qū)與終端接入區(qū)之間的互聯或匯聚互聯，該區(qū)域的主要功能為實現局域網內數據的高速處理和轉發(fā)。遠程鏈路匯聚主要采用高性能的路由器、VPN 網關服務器。HIS 系統、LIS 系統、EMR 系統、PACS 系統、網絡安全管理系統等模塊主要通過萬兆平臺及其以上的高性能三層交換機進行連接。4.醫(yī)療專網出口區(qū)該區(qū)域主要功能為為醫(yī)療信息平臺提供醫(yī)療專網的接

8、入服務，醫(yī)療專網包含的主要內容包括：醫(yī)療行業(yè)上級單位，疾控直報網絡，公共衛(wèi)生突發(fā)預警系統，公安局，區(qū)域醫(yī)療衛(wèi)生信息平臺等。醫(yī)療專網出口為醫(yī)院信息平臺提供了與其他醫(yī)療信息平臺及上級主管機構信息交互的安全高效的通道，是連接醫(yī)院信息孤島，整合醫(yī)療信息網絡的重要部分。這部分出口主要通過專線連接，最好能夠提供冗余的出口線路。5.互聯網出口區(qū)該區(qū)域是為下載醫(yī)學相關資料，獲取互聯網海量信息而提供的安全的Internet 出口，也是醫(yī)院門戶網站，對外服務系統對公眾社會提供服務的出口區(qū)域，該區(qū)域由于與廣域網鏈路相連，外部網絡環(huán)境較為復雜，存在較大的風險隱患，所以是安全防護的重點區(qū)域。該區(qū)域主要由高性能路由器、防

9、毒墻、防火墻、流控設備、VPN 設備、上網行為管理設備，網站保護系統等組成。6.網絡安全管理區(qū)醫(yī)院信息平臺數據中心內保障整體信息平臺安全、穩(wěn)定運行的安全管理運維系統的連接區(qū)域。如證書服務器、身份認證、漏洞掃描、入侵檢測、網絡管理等。7各終端接入區(qū)主要提供掛號，繳費以及各類行政方面的服務在定位上，內外網融合的網絡架構，將所有功能區(qū)域都放到一張網絡上，物理上聯通，通過防火墻，三層設備訪問控制列表，二層設備VLAN 劃分，來達到兩網邏輯隔離，網絡服務互不影響的目的。通過二層隔離，三層隔離，安全域劃分，MPLS VPN 技術等來邏輯隔離網絡，保證網絡安全。之前也提到了通過MPLS（Multi-Prot

10、ocol Label Switching） VPN 技術以及安全控制域的劃分，可以使內外網融合架構同時擁有內外網分離架構的特點，得兩網雖在一張網上，但運行于各自不同的邏輯通道中，彼此之間互不可見；同時可以通過安全控制域的劃分，讓主機在接入時動態(tài)選擇要進入的安全域，保證域內訪問安全；就設備而言，通過設備本身的一些抗攻擊機制，如中央處理器保護機制，網絡基礎設計保護機制來達到合理分配交換機硬件資源，滿足不同場合應用的目的。這樣就在一定程度上彌補了融合架構的不足。在內外網融合的架構中，又包含兩種子架構，分別是內外網融合二層網絡架構和內外網融合三層網絡架構。這兩種架構都有其各自的區(qū)別及特點。二層網絡架構

11、，即全網接入層直接連接到核心或經過一個二層設備轉連接至核心。其特點是：全網拓撲簡單，所有終端的網管位于核心交換機上，核心交換機通過 MSTP（Multi-Service Transfer Platform）+VRRP（Virtual RouterRedundancy Protocol）、環(huán)網技術或者硬件虛擬化技術進行部署，增加冗余性和魯棒性，但容易造成核心交換機壓力較大，易受到到來自各個區(qū)域終端的攻擊，導致網絡動蕩，網絡穩(wěn)定性下降。三層網絡架構，即全網嚴格分為核心、匯聚、接入三層，接入層主要負責接入控制、VLAN 劃分以及二層網絡的隔離與互通等功能；匯聚層設備作為各匯聚區(qū)域的網關，進行三層網絡

12、訪問控制，減輕核心交換壓力，分割網絡動蕩區(qū)域，使得局部的問題不影響全局，匯聚層之上通過三層接口與核心交換機進行互聯，運行動態(tài)或靜態(tài)路由協議，提高網絡自愈能力；核心層交換機主要負責高速的三層轉發(fā)，由于已在匯聚層上進行控制域劃分，此時核心層啟用的策略更少，性能更高，風險降低?；谄涓髯缘膬?yōu)勢，針對不同區(qū)域往往兩種架構共同使用，形成二三層混合架構。例如將醫(yī)技終端接入區(qū)與核心共同組成二層架構，而行政接入區(qū)則通過核心-匯聚-接入形成三成架構，將其網關下移至匯聚交換機，降低該區(qū)域對骨干網絡的影響。根據內外網融合的網絡架構畫出了拓撲圖：參照圖片對網絡架構的實現分析如下：1.接入層設計接入層是醫(yī)院信息平臺上所

13、有設備的邊緣接入網絡，是將終端接入網絡的邊緣，也是對終端用戶進行訪問控制和隔離的邊緣，是網絡安全邊緣前移和全局網絡安全的基礎。接入層網絡設備主要由二層以太網交換機和無線接入點等設備組成，其中二層以太網交換機主要是為有線設備提供網絡控制和接入。作為醫(yī)院信息平臺的安全接入設備，接入層交換機應選用智能網管型交換機，具備VLAN 劃分，端口隔離，安全地址綁定，抗攻擊，QoS，防雷擊等功能，支持標準的802.1x 訪問控制，支持標準的SNMP 簡單網絡管理協議，支持DHCP-Snooping 等功能，支持標準的RSTP（Rapid Spaning TreeProtocol），MSTP（Multi-Ser

14、vice Transfer Platform）生成樹協議。接入層的設計需要充分考慮設備的穩(wěn)定性、安全性、冗余性和高性能，上聯至數據中心的鏈路盡量使用雙鏈路上聯，通過生成樹協議生成無環(huán)拓撲，避免廣播風暴，保證終端設備穩(wěn)定，安全，高速的接入醫(yī)院信息網絡平臺。2.匯聚層設計匯聚層是連接接入層與核心層之間的網絡層，為接入層提供數據的匯聚，傳輸，管理，分發(fā)處理，集中接入層流量，再轉發(fā)至核心層的功能，是局域網中隔離動蕩的控制點，也是區(qū)域網絡流量上收的關鍵點。匯聚層為接入層提供基于策略的連接,如地址合并，協議過濾,路由服務,認證管理等。通過網段劃分(如VLAN)與網絡隔離可以防止某些網段的問題蔓延和影響到核

15、心層。匯聚層同時也可以提供接入層虛擬網之間的互連，控制和限制接入層對核心層的訪問，保證核心層的安全和穩(wěn)定。匯聚層設計為連接本地的邏輯中心，仍需要較高的性能和比較豐富的功能。匯聚層設備一般采用可管理的三層交換機或堆疊式交換機以達到帶寬和傳輸性能的要求。其設備性能較好，但價格高于接入層設備，而且對環(huán)境的要求也較高，對電磁輻射、溫度、濕度和空氣潔凈度等都有一定的要求。匯聚層設備之間以及匯聚層設備與核心層設備之間多采用光纖互聯，以提高系統的傳輸性能和吞吐量。用戶訪問控制一般會安排在在接入層，但也可以安排在匯聚層進行。在匯聚層實現安全控制和身份認證時，采用的是集中式的管理模式。當網絡規(guī)模較大時，可以設計

16、綜合安全管理策略，例如在接入層實現身份認證和MAC 地址綁定，在匯聚層實現流量控制和訪問權限約束。3.網絡核心層網絡核心層是醫(yī)院信息平臺網絡數據的骨干交換區(qū)域，各接入層數據經匯聚層匯聚后集中轉發(fā)至核心層進行高速交換。核心層的主要職為負責整個醫(yī)院信息平臺數據的高速轉發(fā)，相關的策略應該盡量較少。核心層由于是整個網絡的核心，從設備上來講，需要在考慮高性能，高穩(wěn)定性的同時，充分考慮設備引擎、業(yè)務線卡、電源、風扇等的冗余，同時需要具備的一定的抗攻擊能力，如中央處理器保護能力，基礎網絡保護能力；從架構上來講，需要充分考慮核心層設備間的冗余備份和負載均衡，利用MSTP/RSTP+VRRP 技術，自愈環(huán)網技術

17、，或者是通過更好的核心層設備的硬件虛擬化技術，實現設備級的冗余備份，同時，在設計時還應充分考慮網絡鏈路的冗余性和可靠性，提高網絡防災能力。具體的設備選型如下：1. 核心層設備建議選用高性能的萬兆三層交換機，通過千兆鏈路與匯聚層設備相連，通過萬兆鏈路進行核心層互聯。在設備選擇上，應充分考慮設備自身的冗余性，如電源冗余、引擎冗余、業(yè)務線卡冗余、所有線卡及電源支持熱拔插，同時應具備一定的自我保護機制，如中央處理器保護機制，基礎網絡保護機制等。在網絡規(guī)劃時，應充分考慮網絡架構的冗余性設計，建議采用兩臺或兩臺以上組成雙核心或多核心環(huán)網，核心之間可進行冗余互備以及負載分擔，減小由于單核心造成的設備壓力及單

18、點故障。2. 匯聚層設備建議選用性能較高，且具備豐富安全功能的全千兆三層交換機，通過千兆與接入交換機以及核心交換機相連，同時匯聚交換機建議具備萬兆擴展能力，方便后續(xù)網絡升級。匯聚層設備需具備一定的穩(wěn)定性，門診區(qū)域建議采用雙匯聚設備，保證網絡高可靠。3. 建議內網中心服務器區(qū)、外網中心服務器區(qū)、安全網絡控制區(qū)、數據災備區(qū)、醫(yī)技終端接入區(qū)、無線終端接入區(qū)采用全千兆二層交換機作為接入設備，其他接入區(qū)域采用百兆二層交換機，千兆上聯。接入層交換機應選用智能網管型交換機，具備VLAN 劃分，二層訪問控制列表，MSTP，RSTP，BPDU GUARD，BPDU FILTER，DHCP Snooping，安全地址綁定，802.1x 等功能。接入層交換機還應具備良好的防雷擊特性，由于醫(yī)院信息平臺對網絡穩(wěn)定性要求的特殊性，建議以太網接口具備高于國家標準的防雷擊能力。同時能在一定程度上抵抗網絡攻擊，如中央處理器保護，基礎網絡保護等。4. 出口設備應選擇高性能路由器或專用出