【正文】 ACL，滿足金融等行業(yè)訪問權(quán)限嚴(yán)格控制的需求。 三平面安全保障機(jī)制 H3C S7500E 提供完善的安全防護(hù)機(jī)制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡(luò)的安全：在控制平面，內(nèi)置協(xié)議報文攻擊識別模塊，防止 TCN、 ARP 等協(xié) 議報文攻擊， OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗證，防止非法路由更新報文導(dǎo)致的網(wǎng)絡(luò)癱瘓；在管理平面， SNMPv3網(wǎng)管協(xié)議， SSH V2，基于 、 AAA/Radius的用戶身份認(rèn)證以及分級的用戶權(quán)限管理保證了設(shè)備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、 VLAN 、 MAC 和端口等多種組合精細(xì)綁定；支持 uRPF 單播反向路徑轉(zhuǎn)發(fā)，防止非法流量訪問網(wǎng)絡(luò)，采用最長匹配逐包轉(zhuǎn)發(fā)機(jī)制，有效抵御病毒的攻擊。 高性能 IPv4/IPv6 業(yè)務(wù)能力 H3C S7500E 支持 IPv4/IPv6 雙協(xié) 議棧 ,支持多種隧道技術(shù)，支持 IPv4/IPv6的組播技術(shù)，為用戶提供完善的 IPv4/IPv6 解決方案； H3C S7500E 采用分布式體系架構(gòu)，實現(xiàn) IPv4/IPv6 業(yè)務(wù)的線速無阻塞轉(zhuǎn)發(fā)； H3C S7500E 已經(jīng)通過了信息產(chǎn)業(yè)部的 IPv6 入網(wǎng)認(rèn)證和 IPv6 Ready 第二階段認(rèn)證，是成熟商用的 IPv6 產(chǎn)品。 H3C S7500E 可廣泛應(yīng)用于城域網(wǎng)、數(shù)據(jù)中心、園區(qū)網(wǎng)核心和匯聚等多種網(wǎng)絡(luò)環(huán)境，為用戶提供了有線無線一體 化、有源無源一體化的行業(yè)解決方案。 在全球市場， H3C 研發(fā)和生產(chǎn)的產(chǎn)品服務(wù)近百個國家和地區(qū)，客戶包括惠普、夢工廠、瑞士電信、 西班牙電信、英國沃達(dá)豐、巴西電信、法國國鐵、法國標(biāo)致雪鐵龍集團(tuán)、俄羅斯聯(lián)邦儲蓄銀行、澳大利亞昆士蘭政府、美國麻省理工學(xué)院、日本神戶大學(xué)、韓國三星電子等。 H3C 始終聚焦 IP 技術(shù)領(lǐng)域創(chuàng)新進(jìn)步，以覆蓋 IP 網(wǎng)絡(luò)、 IP 安全、 IP 多媒體及 IP 存儲的全面的產(chǎn)品線為積累逐步形成下一代數(shù)據(jù)中心解決方案、基礎(chǔ)網(wǎng)絡(luò)解決方案和多媒體通信解決方案三大解決方案集群，并迅速得到廣泛應(yīng)用，占領(lǐng)了 IT 發(fā)展潮流的制高點。目前公司有員工 4800 人，其中研發(fā)人員占 55％。從而自動得徹底防御 ARP 欺騙。 GSN 通過制定軟件的黑白名單，限制或允許工作人員安裝軟件，從而防止信息的外泄和系統(tǒng)的崩潰。 GSN 能夠完全禁止用戶非法外聯(lián)和非法接入，以及能夠禁止終端計算機(jī)使用外接端口（如 USB 接口、打印接口等）。 建立信息等級保護(hù)體系，分域分級保護(hù) 依照國家提出的信息等級保護(hù)條列， GSN 可根據(jù)網(wǎng)絡(luò)使 用者的任務(wù)和職務(wù)分工的不同，為其分配相應(yīng)的網(wǎng)絡(luò)信息使用權(quán)限，以保證使用普通員工的帳號不能訪問內(nèi)網(wǎng)核心業(yè)務(wù)系統(tǒng)和關(guān)鍵數(shù)據(jù)。實現(xiàn)樓層移動用戶的接入 ,同時采用 VLAN 功能以確保局網(wǎng)絡(luò)安全。無線局域網(wǎng)技術(shù)的不斷成熟和普及，使 WLAN 在全球醫(yī)療行業(yè)中的應(yīng)用已經(jīng)成為了一種趨勢。 管理、分析、響應(yīng)一體化 當(dāng)安全事件發(fā)生時， H3C 安全管理中心能夠迅速察覺、準(zhǔn)確定位，更重要的是能夠及時制定合理的、一致的、完備的安全策略， 在現(xiàn)有安全設(shè)施的基礎(chǔ)上 形成了 一個 智能的 安全防御體系，大幅度提高 了 用戶網(wǎng)絡(luò)的整體安全防御能力。所以外網(wǎng)的智能管理建設(shè)思想是在考慮設(shè)備、狀態(tài)、用戶統(tǒng)一管理的同時，強(qiáng)調(diào)對網(wǎng)內(nèi)用 戶對外訪問行為的一定記錄，以便出現(xiàn)安全事故時，可以提供相關(guān)記錄，以便核對。 外網(wǎng)終端安全準(zhǔn)入技術(shù) 設(shè)計 統(tǒng)計表明，在所有的安全事件中，有超過 70%是發(fā)生在網(wǎng)內(nèi)的，并且隨著部網(wǎng)絡(luò)的龐大化和復(fù)雜化，這一比例仍有增長的趨勢。 邊界安全技術(shù)建議 隨著醫(yī)院外部網(wǎng)絡(luò)上 IT 應(yīng)用的不斷增加以及網(wǎng)絡(luò)中設(shè)備的增加，網(wǎng)絡(luò)邊界安全成為最重要的安全問題之一，需要組合型的安全解決方案。 外網(wǎng)接入平臺建設(shè) 外網(wǎng)接入平臺提供以下功能： ? 連接互聯(lián)網(wǎng)； ? 防火墻保護(hù)內(nèi)部資源的安全； ? NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換），保護(hù)內(nèi)部網(wǎng)絡(luò)資源的安全，解決 IP地址不足問題。 核心層交換機(jī)跟接入層交換機(jī)之間的千兆鏈路可以根據(jù)鏈路狀況實行捆綁，從而實現(xiàn)帶寬的靈活擴(kuò)展。 網(wǎng)絡(luò)中心節(jié)點作為政務(wù)外網(wǎng)的心臟，必須提供全線速的數(shù)據(jù)交換，當(dāng)網(wǎng)絡(luò)流量較大時，對關(guān)鍵業(yè)務(wù)的服務(wù)質(zhì)量提供保障。能提供外部攻擊防范、 URL 過濾、應(yīng)用層過濾等功能，有效的保證網(wǎng)絡(luò)的安全。 外網(wǎng)出口需承擔(dān) IP 地址轉(zhuǎn)換、多出口策略路由、安全訪問控制和網(wǎng)絡(luò)行為管理與流量精細(xì)化控制。特別是考慮到今后骨干網(wǎng)絡(luò)可以平滑向萬兆以太網(wǎng)升級。網(wǎng)絡(luò)的控制功能、網(wǎng)絡(luò)的各種應(yīng)用應(yīng)盡量少在核心層上實施。樓層交換節(jié)點采用 2 48口千兆智能全線速接入交換機(jī)，接入交換機(jī)應(yīng)提供智能 的流分類和完善的 QoS特征。 接入層： 一個高性能的外網(wǎng)除了核心設(shè)備性能要求強(qiáng)勁 之外，最重要的一環(huán)是數(shù)量最大的接入交換機(jī)。 智能報表自動生成 網(wǎng)絡(luò)建設(shè)后實現(xiàn)多種控制，但我們需要對其進(jìn)行直觀的反映各方面工作，需要大量報表，智能報表系統(tǒng)將解決這一問題，生成符合實際應(yīng)用的職能化報表。 在此背景下，我們提出用 iMC（智能管理中心），來滿足醫(yī)院系統(tǒng)全局安全管理的需求， 將安全體系中各層次的安全產(chǎn)品、網(wǎng)絡(luò)設(shè)備、用戶終端等納入一個緊密的 “全局安全 管理平臺 ” 中，通過安全策略的集中部署、安全事件的深度感知與關(guān)聯(lián)分析以及安全部件的協(xié)同響應(yīng)，在現(xiàn)有安全設(shè)施的基礎(chǔ)上構(gòu)建一個 智能安全防御體系，大幅度提高 醫(yī)院系統(tǒng) 的整體安全防御能力 及管理能力 。同時 EAD 可以通過安全策略服務(wù)器與安全客戶端的配合，強(qiáng)制實施終端安全配置（如是否實時檢查郵件、注冊表、是否限制代理、是否限制雙網(wǎng)卡等），監(jiān)控用戶終端的安全事件（如查殺病毒、修改安全設(shè)置等）。不符合用戶安全策略的終端，將被限制訪問權(quán)限，只能訪問“隔離區(qū)”內(nèi)的病毒庫 /補丁服務(wù)器等用于系統(tǒng)修復(fù)的網(wǎng)絡(luò)資源。 EAD 將防病毒、補丁修 復(fù)等終端安全措施與網(wǎng)絡(luò)接入控制、訪問權(quán)限控制等網(wǎng)絡(luò)安全措施整合為一個聯(lián)動的安全體系，通過對網(wǎng)絡(luò)接入終端的檢查、隔離、修復(fù)、管理和監(jiān)控，使整個網(wǎng)絡(luò)變被動防御為主動防御、變單點防御為全面防御、變分散管理為集中策略管理，提升了網(wǎng)絡(luò)對病毒、蠕蟲等新興安全威脅的整體防御能力。 傳統(tǒng)上，在內(nèi)網(wǎng)是通過劃分 VLAN，配合 ACL 進(jìn)行訪問 控制，這雖然可以在一定程度上實現(xiàn)內(nèi)網(wǎng)訪問控制，卻難以做到比較精細(xì)的安全控制，同時也可能會影響到 VLAN 間用戶的訪問，從而影響網(wǎng)絡(luò)的使用效率。只有在 報文的轉(zhuǎn)發(fā)平面進(jìn)行安全技術(shù)的滲透，才真正體現(xiàn)出安全網(wǎng)絡(luò)的技術(shù)面貌，才可以真正宣稱網(wǎng)絡(luò)和安全是融為一體的。利用交換機(jī)開放式的硬件架構(gòu)，將安全模塊有機(jī)融合進(jìn)去，實現(xiàn)安全技術(shù)像免疫預(yù)防一樣注射到網(wǎng)絡(luò)中，實現(xiàn)了傳統(tǒng)核心交換機(jī)的安全機(jī)能的提升，大大增強(qiáng)了設(shè)備抗擊網(wǎng)絡(luò)風(fēng)險的能力，使網(wǎng)絡(luò)無縫地演變成安全的網(wǎng)絡(luò)。所以在 考慮本次安全網(wǎng)絡(luò)的部署上，首先需要考慮安全部件的簡單化融入到網(wǎng)絡(luò)中。 更未來的網(wǎng)絡(luò) —— 未來的 IP網(wǎng)絡(luò)是 IPv6網(wǎng)絡(luò)。能夠為用戶提供更高速，更安全，更可靠，更面向未來，更多選擇，更高性價比的千兆到桌面解決方案。具有極高的性價比為各類型網(wǎng)絡(luò)提供完善的端到端的服務(wù)質(zhì)量、豐富的安全設(shè)置和基于策略的網(wǎng)管，最大化滿足高速、融合、安全的 內(nèi) 網(wǎng)新需求；本方案中各接入層交換機(jī)通過千兆鏈路上聯(lián)到 核心層設(shè)備，對下聯(lián)的桌面設(shè)備提供千兆連接。方案中采用 2臺高性能的路由交換機(jī)，作為核心層路由交換設(shè)備來保證整個內(nèi)網(wǎng)的應(yīng)用需求。 網(wǎng)絡(luò)中心網(wǎng)絡(luò)建設(shè) 本方案中描述的核心層網(wǎng)絡(luò)有一個核心節(jié)點 —— 網(wǎng)絡(luò)中心節(jié)點。 出口處配置千兆高性能防火墻，通過將強(qiáng)大安全抵御功能、專業(yè) VPN 服務(wù)和智能網(wǎng)絡(luò)特性無縫集成在一個硬件平臺上，不但能為用戶提供廣泛和深入的安全防 護(hù)和安全連接功能，同時可以降低與安全相關(guān)的總體擁有成本以及部署的復(fù)雜程度，是網(wǎng)絡(luò)安全解決方案的理想選擇。 在各個區(qū)域中，由于其流量巨大、實時性要求高，為保證良好的辦公環(huán)境和投資保護(hù)，接入交換機(jī)應(yīng)全部采用 三層 交換 機(jī)。 星型結(jié)構(gòu)是指所 有的外圍接入用戶通過接入層的交換機(jī)雙鏈路歸屬到處于網(wǎng)絡(luò)中心的核心設(shè)備上。 整體說明： 整個網(wǎng)絡(luò)采用核心、接入兩個個層次， Inter的發(fā)展是迅猛的，因此在核心交換機(jī)的選擇上，建議選擇高性能的核心交換機(jī)，樓內(nèi)的接入點主要是實現(xiàn)樓內(nèi)的信息 的互通以及接入層的用戶接入。接入層交換機(jī)考慮到接入信息點數(shù)量較多，可以采用端口密度較高的接入層千兆交換機(jī)如2 48口交換機(jī)，以減少接入層的帶寬瓶頸 ，實現(xiàn)真正千兆到桌面。 ? 《 xx 中醫(yī)學(xué)院附屬針灸醫(yī)院 綜合 病房 大樓 智能化系統(tǒng)項目》招標(biāo)文件 ? 針灸醫(yī)院綜合病 房大樓平面圖 方案設(shè)計 內(nèi)網(wǎng)設(shè)計 內(nèi)網(wǎng)網(wǎng)絡(luò)拓?fù)鋱D及說明 核心層： 本次組網(wǎng)采用雙核心 2臺 萬兆支持 IPV6的核心 交換機(jī) 作為 內(nèi)網(wǎng) 核心設(shè)備 ， 并通過雙千兆光纖進(jìn)行互連。醫(yī)院中的網(wǎng)絡(luò)應(yīng)該是當(dāng)前先進(jìn)的，并能夠通過后續(xù)的升級不斷的支持新技術(shù)的網(wǎng)絡(luò)。 高可靠性 醫(yī)院網(wǎng)絡(luò)系統(tǒng)承載著各種重要數(shù)據(jù)，整個網(wǎng)絡(luò)系統(tǒng)應(yīng)具有高可靠性。 醫(yī)院網(wǎng)絡(luò)系統(tǒng)應(yīng)具有良好的安全性。因此，支持多種應(yīng)用：建設(shè)后的 xx 中醫(yī)學(xué)院附屬針灸醫(yī)院醫(yī)院網(wǎng)絡(luò)是融合多種應(yīng)用如數(shù)據(jù)、 IP 電話、視頻等的網(wǎng)絡(luò)，網(wǎng)絡(luò)在建設(shè)之初就應(yīng)該考慮的對多業(yè)務(wù)的支持。 整個網(wǎng)絡(luò)系統(tǒng)分為內(nèi)網(wǎng)、外網(wǎng)建設(shè)， 內(nèi)網(wǎng)定義為醫(yī)療專用網(wǎng)，外網(wǎng)定義為 inter應(yīng)用。 xx 中醫(yī)學(xué)院附屬針灸醫(yī)院 綜合大樓的計算機(jī)網(wǎng)絡(luò)平臺，是整個 xx 中醫(yī)學(xué)院附屬針灸醫(yī)院 綜合大樓信息化系統(tǒng)順利實施的基礎(chǔ)物理平臺，是應(yīng)用系統(tǒng)順暢運行的前提，平臺實施成敗關(guān)系到 xx 中醫(yī)學(xué)院附屬針灸醫(yī)院 綜合大樓整個信息化建設(shè)，計算機(jī)網(wǎng)絡(luò)平臺由智能化支持?jǐn)?shù)據(jù)、語音、視頻傳輸?shù)穆酚善?、交換機(jī)、防火墻及高性能大容量服務(wù)器組成，通過主干千兆、 千兆 /百 兆到桌面的網(wǎng)絡(luò)線路，實現(xiàn)醫(yī)療辦公自動化、視頻服務(wù)、領(lǐng)導(dǎo)決策支持及公眾信息服務(wù)等功能。但這些應(yīng)用大多停留在單項和事務(wù)管理一級的水平上，很少有真正建立了醫(yī)院全面的醫(yī)院信息系統(tǒng)（ HIS）。作為醫(yī)療衛(wèi)生保健事業(yè)前沿陣地的 大型醫(yī)院，直接擔(dān)負(fù)著治病救人的艱巨任務(wù)。 計算機(jī)網(wǎng)絡(luò)系統(tǒng) 系統(tǒng)概述 醫(yī)院是我國醫(yī)療衛(wèi)生事業(yè)的重要支柱。隨著信息科學(xué)和計算機(jī)應(yīng)用的發(fā)展，醫(yī)學(xué)和生命科學(xué)研究對電子計算機(jī)的依賴程度會日益加深，這將對 90 年代生命科學(xué)的研究和 21 世紀(jì)醫(yī)療衛(wèi)生保健事業(yè)的變革、發(fā)展起到重要作用。從八十年代以來，我國大型醫(yī)院普遍采用了電子信息處理技術(shù)來輔助醫(yī)院管理，取得了一定的成績。 然而，建立醫(yī)院網(wǎng)絡(luò)信息系統(tǒng)的一個首要任務(wù)就是必須首先建立醫(yī)院內(nèi)的計算機(jī)網(wǎng)絡(luò)系統(tǒng)，這將是支撐 HIS 的主要硬件環(huán)境，也是實現(xiàn)大型醫(yī)院計算機(jī)網(wǎng)絡(luò)綜合信息系統(tǒng)的基礎(chǔ)。 整個網(wǎng)絡(luò)系統(tǒng)按照標(biāo)準(zhǔn)網(wǎng)絡(luò)二層 結(jié)構(gòu)設(shè)計 : 核心層、接入層。 建設(shè)后的 xx 中醫(yī)學(xué)院附屬針灸醫(yī)院網(wǎng)絡(luò)在網(wǎng)絡(luò)設(shè)計方面應(yīng)充分滿足以下幾個方面： 高性能、多業(yè)務(wù) 高速網(wǎng)絡(luò)是醫(yī)院網(wǎng)絡(luò)發(fā)展的必然方向，網(wǎng)絡(luò)應(yīng)該運用當(dāng)今最先進(jìn)的技術(shù)，并且應(yīng)該滿 足今后若干年的性能需求。 高安全性 隨著 xx 中醫(yī)學(xué)院附屬針灸醫(yī)院醫(yī)院信息化建設(shè)的不斷深入，在醫(yī)院網(wǎng)絡(luò)迅速壯大并推動業(yè)務(wù)快速發(fā)展的同時，也使醫(yī)院面臨著更加嚴(yán)峻的挑 戰(zhàn)：網(wǎng)絡(luò)安全 與網(wǎng)絡(luò)管理日益成為關(guān)系到醫(yī)院可持續(xù)發(fā)展的重大因素。用戶認(rèn)證和安全檢查系統(tǒng)還應(yīng)該同時提供靈活的用戶接入控制策略，動態(tài)下發(fā)用戶的網(wǎng)絡(luò)使用權(quán)限。 可擴(kuò)展性和可升級性 系統(tǒng)要有可擴(kuò)展性和可升級性，隨著業(yè)務(wù)的增長和應(yīng)用水平的提高，網(wǎng)絡(luò)中的數(shù)據(jù)和信息流將按指數(shù)增長，需要網(wǎng)絡(luò)有很好的可擴(kuò)展性，并能隨著技術(shù)的發(fā)展不斷升級。 設(shè)計依據(jù) ? 《智能建筑設(shè)計標(biāo)準(zhǔn)》 （ GB/T 503142020） ? 《民用建筑電氣設(shè)計規(guī)范》 （ JGJ/T16－ 92） ? 《中華人民共和國計算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》 ? 《 FDDI 光纖分布式數(shù)據(jù)接口高速網(wǎng)絡(luò)標(biāo)準(zhǔn)》 ? 《 EIA 568A/568B 標(biāo)準(zhǔn)》 ? 《 IEEE 系列 標(biāo)準(zhǔn) 》 ? 其它有關(guān)國家及地方的通用標(biāo)準(zhǔn)和行規(guī)規(guī)范。接入交換機(jī)不僅要求保證線速的交換，同時要提供良好 的用戶認(rèn)證、管理和安全控制等功能， 保證內(nèi)網(wǎng)管理策略的一致性。具有極高的性價比為各類型網(wǎng)絡(luò)提供完善的端到端的服務(wù)質(zhì)量、豐富的安全 設(shè)置和基于策略的網(wǎng)管，最大化滿足高速、融合、安全的政務(wù)網(wǎng)新需求。核心層一直被認(rèn)為是真?zhèn)€網(wǎng)絡(luò)的核心，因此對核心層的設(shè)計以及網(wǎng)絡(luò)設(shè)備的要求十分嚴(yán)格。在本方案設(shè)計中，核心配置 2臺高性能的核心路由交換機(jī)，配置單引擎、雙電源、高速交換矩陣，硬件支持 IPv6，并提供高性能的 IPv6服務(wù)，實現(xiàn)高可用性、高性能的網(wǎng)絡(luò)核心。采用多核多線程處理器技術(shù)的匯聚層路由器，突破傳統(tǒng) CPU 處理器的性能瓶頸，具備高性能、易編程、靈活的 L4L7 層業(yè)務(wù)應(yīng)用等特點，對未來的新業(yè)務(wù)具備快速響應(yīng)能力和良好的適應(yīng)能力。提供郵件告警、攻擊日志、流日志和網(wǎng)絡(luò)管理監(jiān)控等功能，協(xié)助用戶進(jìn)行網(wǎng)絡(luò)管理。因此在核心節(jié)點的設(shè)備選型和結(jié)構(gòu)設(shè)計上必須考慮整體網(wǎng)絡(luò)的高性能和高可靠性。 樓層交換節(jié)點采用 2 48口千兆智能全線速接入交換機(jī)，接入交換機(jī)應(yīng)提供智能的流分類和完善的 QoS特征。無數(shù)的案例已經(jīng)證明，千兆的網(wǎng)絡(luò)的作用不僅是承載高帶寬的業(yè)務(wù)應(yīng)用，而是能夠為每個人提高工作效率，為每個用戶提高產(chǎn)值，帶來更多的經(jīng)濟(jì)效益。 更可靠的網(wǎng)絡(luò) —— 交換機(jī)具備鏈路級和設(shè)備級多重可靠性保護(hù)。不同廠家的安全設(shè)備互通和管