|
一、醫(yī)院的三層網(wǎng)絡(luò)架構(gòu)設(shè)計  1.接入層設(shè)計 接入層是醫(yī)院信息平臺上所有設(shè)備的邊緣接入網(wǎng)絡(luò)，是將終端接入網(wǎng)絡(luò)的邊緣，也是對終端用戶進行訪問控制和隔離的邊緣，是網(wǎng)絡(luò)安全邊緣前移和全局網(wǎng)絡(luò)安全的基礎(chǔ)。 接入層網(wǎng)絡(luò)設(shè)備主要由二層以太網(wǎng)交換機和無線接入點等設(shè)備組成，其中二層以太網(wǎng)交換機主要是為有線設(shè)備提供網(wǎng)絡(luò)控制和接入。 作為醫(yī)院信息平臺的安全接入設(shè)備，接入層交換機應選用智能網(wǎng)管型交換機，具備VLAN 劃分，端口隔離，安全地址綁定，抗攻擊，QoS，防雷擊等功能，支持標準的802.1x 訪問控制，支持標準的SNMP 簡單網(wǎng)絡(luò)管理協(xié)議，支持DHCP-Snooping 等功能，支持標準的RSTP，MSTP生成樹協(xié)議。 接入層的設(shè)計需要充分考慮設(shè)備的穩(wěn)定性、安全性、冗余性和高性能，上聯(lián)至數(shù)據(jù)中心的鏈路盡量使用雙鏈路上聯(lián)，通過生成樹協(xié)議生成無環(huán)拓撲，避免廣播風暴，保證終端設(shè)備穩(wěn)定，安全，高速的接入醫(yī)院信息網(wǎng)絡(luò)平臺。 2.匯聚層設(shè)計 匯聚層是連接接入層與核心層之間的網(wǎng)絡(luò)層，為接入層提供數(shù)據(jù)的匯聚，傳輸，管理，分發(fā)處理，集中接入層流量，再轉(zhuǎn)發(fā)至核心層的功能，是局域網(wǎng)中隔離動蕩的控制點，也是區(qū)域網(wǎng)絡(luò)流量上收的關(guān)鍵點。 匯聚層為接入層提供基于策略的連接,如地址合并，協(xié)議過濾,路由服務,認證管理等。通過網(wǎng)段劃分(如VLAN)與網(wǎng)絡(luò)隔離可以防止某些網(wǎng)段的問題蔓延和影響到核心層。匯聚層同時也可以提供接入層虛擬網(wǎng)之間的互連，控制和限制接入層對核心層的訪問，保證核心層的安全和穩(wěn)定。 匯聚層設(shè)計為連接本地的邏輯中心，仍需要較高的性能和比較豐富的功能。匯聚層設(shè)備一般采用可管理的三層交換機或堆疊式交換機以達到帶寬和傳輸性能的要求。其設(shè)備性能較好，但價格高于接入層設(shè)備，而且對環(huán)境的要求也較高，對電磁輻射、溫度、濕度和空氣潔凈度等都有一定的要求。 匯聚層設(shè)備之間以及匯聚層設(shè)備與核心層設(shè)備之間多采用光纖互聯(lián)，以提高系統(tǒng)的傳輸性能和吞吐量。 用戶訪問控制一般會安排在在接入層，但也可以安排在匯聚層進行。在匯聚層實現(xiàn)安全控制和身份認證時，采用的是集中式的管理模式。當網(wǎng)絡(luò)規(guī)模較大時，可以設(shè)計綜合安全管理策略，例如在接入層實現(xiàn)身份認證和MAC 地址綁定，在匯聚層實現(xiàn)流量控制和訪問權(quán)限約束。 3.網(wǎng)絡(luò)核心層 網(wǎng)絡(luò)核心層是醫(yī)院信息平臺網(wǎng)絡(luò)數(shù)據(jù)的骨干交換區(qū)域，各接入層數(shù)據(jù)經(jīng)匯聚層匯聚后集中轉(zhuǎn)發(fā)至核心層進行高速交換。 核心層的主要職為負責整個醫(yī)院信息平臺數(shù)據(jù)的高速轉(zhuǎn)發(fā)，相關(guān)的策略應該盡量較少。 核心層由于是整個網(wǎng)絡(luò)的核心，從設(shè)備上來講，需要在考慮高性能，高穩(wěn)定性的同時，充分考慮設(shè)備引擎、業(yè)務線卡、電源、風扇等的冗余，同時需要具備的一定的抗攻擊能力，如中央處理器保護能力，基礎(chǔ)網(wǎng)絡(luò)保護能力。 從架構(gòu)上來講，需要充分考慮核心層設(shè)備間的冗余備份和負載均衡，利用MSTP/RSTP+VRRP 技術(shù)，自愈環(huán)網(wǎng)技術(shù)，或者是通過更好的核心層設(shè)備的硬件虛擬化技術(shù)，實現(xiàn)設(shè)備級的冗余備份，同時，在設(shè)計時還應充分考慮網(wǎng)絡(luò)鏈路的冗余性和可靠性，提高網(wǎng)絡(luò)防災能力。 二、具體的設(shè)備選型如下： 1. 核心層設(shè)備建議選用高性能的萬兆三層交換機，通過千兆鏈路與匯聚層設(shè)備相連，通過萬兆鏈路進行核心層互聯(lián)。 在設(shè)備選擇上，應充分考慮設(shè)備自身的冗余性，如電源冗余、引擎冗余、業(yè)務線卡冗余、所有線卡及電源支持熱拔插，同時應具備一定的自我保護機制，如中央處理器保護機制，基礎(chǔ)網(wǎng)絡(luò)保護機制等。 在網(wǎng)絡(luò)規(guī)劃時，應充分考慮網(wǎng)絡(luò)架構(gòu)的冗余性設(shè)計，建議采用兩臺或兩臺以上組成雙核心或多核心環(huán)網(wǎng)，核心之間可進行冗余互備以及負載分擔，減小由于單核心造成的設(shè)備壓力及單點故障。 2. 匯聚層設(shè)備建議選用性能較高，且具備豐富安全功能的全千兆三層交換機，通過千兆與接入交換機以及核心交換機相連，同時匯聚交換機建議具備萬兆擴展能力，方便后續(xù)網(wǎng)絡(luò)升級。 匯聚層設(shè)備需具備一定的穩(wěn)定性，門診區(qū)域建議采用雙匯聚設(shè)備，保證網(wǎng)絡(luò)高可靠。 3. 接入層設(shè)備。建議內(nèi)網(wǎng)中心服務器區(qū)、外網(wǎng)中心服務器區(qū)、安全網(wǎng)絡(luò)控制區(qū)、數(shù)據(jù)災備區(qū)、醫(yī)技終端接入?yún)^(qū)、無線終端接入?yún)^(qū)采用全千兆二層交換機作為接入設(shè)備，其他接入?yún)^(qū)域采用百兆二層交換機，千兆上聯(lián)。 接入層交換機應選用智能網(wǎng)管型交換機，具備VLAN 劃分，二層訪問控制列表，MSTP，RSTP，BPDU GUARD，BPDU FILTER，DHCP Snooping，安全地址綁定，802.1x 等功能。 接入層交換機還應具備良好的防雷擊特性，由于醫(yī)院信息平臺對網(wǎng)絡(luò)穩(wěn)定性要求的特殊性，建議以太網(wǎng)接口具備高于國家標準的防雷擊能力。同時能在一定程度上抵抗網(wǎng)絡(luò)攻擊，如中央處理器保護，基礎(chǔ)網(wǎng)絡(luò)保護等。 4. 出口設(shè)備應選擇高性能路由器或?qū)Ｓ贸隹谠O(shè)備作為網(wǎng)絡(luò)出口，并添加防火墻進行域間網(wǎng)絡(luò)訪問控制。路由器應具備大容量、高性能的NAT轉(zhuǎn)換能力，能夠進行智能選路，并提供豐富的廣域網(wǎng)接口。除此之外，路由器還應具備較高的冗余性和抗網(wǎng)絡(luò)攻擊能力。防火墻作為域間網(wǎng)絡(luò)隔離點，需支持多種訪問控制策略的制定，以及高性能的數(shù)據(jù)轉(zhuǎn)發(fā)能力，避免成為網(wǎng)絡(luò)性能瓶頸。 出口設(shè)備應包含整合出口路由，防火墻，VPN，流控設(shè)備，上網(wǎng)行為管理的單一設(shè)備，或部分整合設(shè)備。 出口設(shè)備也可以使路由器，防火墻，VPN，流控設(shè)備，上網(wǎng)行為管理設(shè)備的組合。 出口路由應高性能路由器，保證院內(nèi)終端對互聯(lián)網(wǎng)的高速訪問，同時為外網(wǎng)訪問內(nèi)網(wǎng)WEB 服務器提供高速鏈路通道。 防火墻設(shè)備作為局域網(wǎng)和廣域網(wǎng)的分割點，其訪問控制功能至關(guān)重要，故防火墻需支持類型豐富的網(wǎng)絡(luò)訪問控制策略設(shè)置。 VPN 設(shè)備應選用可支持IPSECVPN和SSLVPN 的設(shè)備，保證VPN 接入方式的靈活性。流控設(shè)備應具備較高且較為精細的流量識別功能，可基于流量識別對網(wǎng)絡(luò)流量進行控制，保證網(wǎng)絡(luò)帶寬充分有效的利用。 上網(wǎng)行為管理設(shè)備，主要是通過URL 過濾庫的設(shè)置，規(guī)范員工上網(wǎng)行為，保證網(wǎng)絡(luò)安全，提升工作效率。 |
|
|
