【正文】 為保證實際運(yùn) 行效果，建議以上外網(wǎng)出口功能分別由專用的網(wǎng)絡(luò)出口引擎、防火墻和專業(yè)的流量控制引擎實現(xiàn)。 出口配置千兆級別的高性能防火墻、路由器。 智能報表自動生成 網(wǎng)絡(luò)建設(shè)后實現(xiàn)多種控制，但我們需要對其進(jìn)行直觀的反映各方面工作，需要大量報表，智能報表系統(tǒng)將解決這一問題，生成符合實際應(yīng)用的職能化報表。一旦有用戶企圖使用非法外聯(lián)和非法接入， GSN 將立即隔離該終端用戶，禁止其使用網(wǎng)絡(luò)。 2020 年， H3C 在數(shù)據(jù)中心、廣域骨干網(wǎng)等高端市場取得巨大 進(jìn)展，贏得眾多高端客戶的親睞，在運(yùn)營商數(shù)據(jù)中心和城域網(wǎng)取得突破，取得渠道和客戶的廣泛信賴與認(rèn)可。 H3C S7500E 還支持內(nèi)置的高性能防火墻、異常流量清洗等模塊，將專業(yè)的安全融入到交換機(jī)之中。 智能彈性架構(gòu) LS3100EI 系列交換機(jī)支持 IRF2（第二代智能彈性架構(gòu)）技術(shù)，就是把多臺物理設(shè)備互相連接起來，使其虛擬為一臺邏輯設(shè)備，也就是說，用戶可以將這多臺設(shè)備看成一臺單一設(shè)備進(jìn)行管理和使用。 豐富的 QoS 策略 LS3100EI 系列交換機(jī)支持支持 L2（ Layer 2） ~L4（ Layer 4）包過濾功能，提供基于源 MAC 地址、目的 MAC 地址、源 IP 地址、目的 IP 地址、 TCP/UDP 端口號、協(xié)議類型、 VLAN 的流分類。 豐富的 VPN 特性 集成 IPSec、 L2TP、 GRE 等多種成熟 VPN 接入技術(shù)，保證移動用戶、合作伙伴和分支機(jī)構(gòu)安全、便捷的遠(yuǎn)程接入。 H3C SecPath F1000 系 列 防 火 墻 包 括 SecPath F1000C/SecPath F1000S/SecPath F1000A/SecPath F1000E 等四款產(chǎn)品，支持外部攻擊防范、內(nèi)網(wǎng)安全、流量監(jiān)控、郵件過濾、網(wǎng)頁過濾、應(yīng)用層過濾等功能，能夠有效的保證網(wǎng)絡(luò)的安全；采用 ASPF（ Application Specific Packet Filter）應(yīng)用狀態(tài)檢測技術(shù)，可對連接狀態(tài) 過程和異常命令進(jìn)行檢測；提供多種智能分析和管理手段，支持郵件告警，支持多種日志，提供網(wǎng)絡(luò)管理監(jiān)控，協(xié)助網(wǎng)絡(luò)管理員完成網(wǎng) 絡(luò)的安全管理；支持多種 VPN 業(yè)務(wù)，如 L2TP VPN、 GRE VPN 、 IPSec VPN、動態(tài)VPN 等；支持 RIP/OSPF/BGP/路由策略及策略路由；支持豐富的 QoS 特性，提供流量監(jiān)管、流量整形及多種隊列調(diào)度策略。能在一個計算機(jī)軟件平臺上進(jìn)行各個子系統(tǒng)的操作。當(dāng)前數(shù)字化投影顯示設(shè)備數(shù)字視頻矩陣的發(fā)展的確促進(jìn)了數(shù)字化視頻技術(shù)的推廣，但數(shù)字視頻矩陣所能提供的切換能力遠(yuǎn)不及模擬矩陣強(qiáng)大， 而投影設(shè)備和數(shù)字矩陣提供的圖像容量又很有限。數(shù)字監(jiān)控系統(tǒng)是一個基于網(wǎng)絡(luò)的開放性系統(tǒng)，使用功能基本都是由軟件來實現(xiàn)，因此被侵入的可能性更大，這也是整個網(wǎng)絡(luò)安全性課題。 xx 中醫(yī)學(xué)院附屬針灸醫(yī)院綜合病房大樓 作為一 個集多種功能為一體的多功能建筑體系，各種人員往來復(fù)雜，穿插于各個樓層的各種不同身份人員共同組成了非單一的 人流群體。且由于其必須在規(guī)定的時間內(nèi)布防與撤防的特性，導(dǎo)致在日常使用時產(chǎn)生了諸多的不便，從而也增加了管理人員的疏忽而導(dǎo)致的各種情況下誤報。如果說圖像的延遲還可以接受的話，那么控制信號的延遲就不能容忍，因為對云臺操作后從圖像上看到前端設(shè)備要在若干時間后才獲得響應(yīng)時不可想象的。即使有的產(chǎn)品號稱能夠做到 D1 格式（ 704576 ）時對于運(yùn)動的圖像也會產(chǎn)生細(xì)節(jié)分辨率不夠甚至拖尾現(xiàn)象。 監(jiān)控系統(tǒng)能與防盜報警系統(tǒng)聯(lián)動，能自動把報警現(xiàn)場圖像切換到指定的監(jiān)視器上顯示并進(jìn)行錄像。 iNode 智能客戶端采用開放的平臺化設(shè)計，可在多業(yè)務(wù)安全認(rèn)證的基礎(chǔ)上提供與 H3C 接入設(shè)備以及第三方終端安全軟件的智能聯(lián)動，實現(xiàn)對用戶終端的防病毒軟件、病毒庫版本、補(bǔ)丁安裝狀態(tài)、軟件使用情況、網(wǎng)絡(luò)配置狀態(tài)的協(xié)同控制；通過對接入終端的集中管理和監(jiān)控，確保只有符合企業(yè)安全策略的用戶終端才能接入網(wǎng)絡(luò)，從而大幅度提高網(wǎng)絡(luò)的 整體安全。提供郵件告警、攻擊日志、流日志和網(wǎng)絡(luò)管理監(jiān)控等功能，協(xié)助用戶進(jìn)行網(wǎng)絡(luò)管理?？梢栽?交換機(jī)上對 客戶端的版本和有效性進(jìn)行驗證，防止非法用戶登錄網(wǎng)絡(luò)。 產(chǎn)品特點 ： 高擴(kuò)展性保護(hù)投資 隨著用戶端速度不斷提高，用戶最終會使集群千兆鏈路達(dá)到飽和，而能夠擁有多條 10GE 鏈路將是我們的未來發(fā)展方向。 有線無線一體化，有源無源一體化 H3C S7500E 集成的無線控制模塊提供豐富的業(yè)務(wù)能力，包括精細(xì)的用戶控制管理、完善的 RF 管理及安全機(jī)制、快速漫游、超強(qiáng)的 QoS 和對 IPv6 的支持等；無線控制模塊通過與安 全策略服務(wù)器的聯(lián)動，實現(xiàn)對無線接入用戶的端點準(zhǔn)入防御，提高了整網(wǎng)的安全性。 H3C 每年將銷售額的 15％以上用于研發(fā)投入，在中國的北京、杭州和深圳設(shè)有研發(fā)機(jī)構(gòu)，在北京和杭州設(shè)有可靠性試驗室以及產(chǎn)品鑒定測試中心。 防止網(wǎng)絡(luò)數(shù)據(jù)竊聽 局域網(wǎng)內(nèi)部計算機(jī)和計算機(jī)之間以明文的形式傳遞數(shù)據(jù)，因此數(shù)據(jù)很容易遭 受到內(nèi)部用戶 或被黑客獲取控制權(quán)的電腦終端 的竊聽分析 。 在此背景下，我們提出用 iMC（智能管理中心），來滿足醫(yī)院系統(tǒng)全局安全管理的需求， 將安全體系中各層次的安全產(chǎn)品、網(wǎng)絡(luò)設(shè)備、用戶終端等納入一個緊密的 “全局安全 管理平臺 ” 中，通過安全策略的集中部署、安全事件的深度感知與關(guān)聯(lián)分析以及安全部件的協(xié)同響應(yīng)，在現(xiàn)有安全設(shè)施的基礎(chǔ)上構(gòu)建一個 智能安全防御體系，大幅度提高 醫(yī)院系統(tǒng) 的整體安全防御能力 及管理能力 。 接入層網(wǎng)絡(luò)建設(shè) 接入層網(wǎng)絡(luò)由樓層交換節(jié)點組成，接入層網(wǎng)絡(luò)應(yīng)該可以滿足各種客戶的接入需要，而且能夠?qū)崿F(xiàn)客戶化的接入策略，業(yè)務(wù) QoS保證，用戶接入訪問控制等等。在本方案設(shè)計中，核心配置 1臺高性能的核心路由交換機(jī)，配置雙引擎 、雙電源、高速交換矩陣，硬件支持 IPv6，并提供高性能的 IPv6服務(wù)，實現(xiàn)高可用性、高性能的網(wǎng)絡(luò)核心。 本次的智能管理系統(tǒng)建 設(shè)中，我們選用 IMC 管理平臺來作為整網(wǎng)智能管理的支撐，在平臺之上，后期可添加 NTA 網(wǎng)流分析、 UBA 行為審計、 WSM 無線管理、IAR 智能報表等功能組件，以實現(xiàn)全網(wǎng)智能管理的各功能。 EAD 通過安全客戶端、安全策略服務(wù)器、接入設(shè)備以及病毒庫服務(wù)器、補(bǔ)丁服務(wù)器的相互配合，可以將不符合安全要求的終端限制在“隔離區(qū)” 內(nèi)，防止“危險”終端對網(wǎng)絡(luò)安全的損害，避免“易感”終端受病毒、蠕蟲的攻擊。本次的嵌入安全設(shè)計中，我們將在 SecBlade 防火墻采用插卡的形式有機(jī)地融合到網(wǎng)絡(luò)核心交換機(jī) S7506E 中。 核心層交換機(jī)跟接入層交換機(jī)之間的千兆鏈路可以根據(jù)鏈路狀況實行捆綁，從而實現(xiàn)帶寬的靈活擴(kuò)展。星型結(jié)構(gòu)的優(yōu)點是結(jié)構(gòu)簡單，易于擴(kuò)容與維護(hù)，但對中心設(shè)備和鏈路有依賴性，中心設(shè)備必須保證高可靠性、高性能、支持豐富的應(yīng)用。 網(wǎng)絡(luò)易管理、易維護(hù) 醫(yī)院網(wǎng)絡(luò)系統(tǒng)規(guī)模大，需要網(wǎng)絡(luò)系統(tǒng)具有良好的可管理性，網(wǎng)管系統(tǒng)具有監(jiān)測、故障診斷、故障隔離、過濾設(shè)置等功能，以便于系統(tǒng)的管理和維護(hù)。 內(nèi)、外網(wǎng)物理隔離，千兆主干（具備萬兆擴(kuò)展能力）、千兆桌面接入， 以適應(yīng)醫(yī)院數(shù)據(jù)量龐大且形式復(fù)雜的個性化特點，同時實現(xiàn)整個網(wǎng)絡(luò)的冗余備份和 負(fù)載均衡 ，滿足醫(yī)院群樓結(jié)構(gòu)和網(wǎng)絡(luò)安全的需要 (單點故障不影響整網(wǎng)業(yè)務(wù)） ,建成的網(wǎng)絡(luò)系統(tǒng)將達(dá)到高性能、高可靠性的技術(shù)性能，且便于今后業(yè)務(wù)擴(kuò) 展。大力應(yīng)用電子信息技術(shù)改進(jìn)傳統(tǒng)的醫(yī)院管理模式，是提高醫(yī)療技術(shù)水平和醫(yī)院管理水平，加速實現(xiàn)我國醫(yī)院管理現(xiàn)代化的一個重要途徑，也是到本世紀(jì)末我國醫(yī)療衛(wèi)生事業(yè)發(fā)展的一個十分迫切的任務(wù)。網(wǎng)絡(luò)上承載著各種不同的復(fù)雜應(yīng)用，需要對不同部門、群組用戶的訪問權(quán)限進(jìn)行控制、不同業(yè)務(wù)間的網(wǎng)絡(luò)傳輸也需要安全隔離，這種隔離指的是訪問、傳輸、應(yīng)用端到端的隔離?？紤]將雙核心交換機(jī)熱備份、接入層 交換機(jī)雙歸屬作為醫(yī)院網(wǎng)絡(luò)的基本要求。網(wǎng)絡(luò)的控制功能、網(wǎng)絡(luò)的各種應(yīng)用應(yīng)盡量少在核心層上實施。另外作為整個網(wǎng)絡(luò)的交換中心，在保證高性能、無阻塞交換的同時，還必須保證穩(wěn)定可靠的運(yùn)行。 內(nèi)網(wǎng)安全防護(hù)技術(shù) 設(shè)計 部署獨立的安全設(shè)備無疑增加了安全網(wǎng)絡(luò)實施的成本，另外增大了對網(wǎng)絡(luò)管理的難度，也增加了網(wǎng)絡(luò)安全部署的復(fù)雜度。如何在內(nèi)網(wǎng)實現(xiàn)更精細(xì)更高效率的訪問控制是內(nèi)網(wǎng)安全建設(shè)必須要解決的問題。其基本功能包括： 組件的模塊化 架構(gòu) 各功能部件以模塊化方式組成，架構(gòu)簡單明晰，易于擴(kuò)展，醫(yī)院系統(tǒng)網(wǎng)絡(luò)中可根據(jù)實際情況進(jìn)行組件的選配。 星型結(jié)構(gòu)是指所有的外圍接入用戶通過接入層的交換機(jī)通過雙鏈路歸屬到處于網(wǎng)絡(luò)中心的核心設(shè)備上。因此在核心節(jié)點的設(shè)備選型和結(jié)構(gòu)設(shè)計上必須考慮整體網(wǎng)絡(luò)的高性能和高可靠性。 所以在本次建設(shè)中，在外部網(wǎng)也部署一套端點準(zhǔn)入防御系統(tǒng)（ EAD），以便對外部網(wǎng)用戶進(jìn)行安全策略下發(fā)，訪問權(quán)限控制、以及補(bǔ)丁下發(fā)、病毒防護(hù)。 網(wǎng)絡(luò)安全 設(shè)計 網(wǎng)絡(luò)安全設(shè)計在前面內(nèi)、外網(wǎng)設(shè)計時也做了簡單描述，主要是針對我方此次選用的設(shè)備 在安全上進(jìn)行了闡述，下面就針灸醫(yī)院計算機(jī)網(wǎng)絡(luò)系統(tǒng)影響網(wǎng)絡(luò)安全的各個因素以及防范措施進(jìn)行一個設(shè)計闡述： xx 中醫(yī)學(xué)院附屬針灸醫(yī)院 內(nèi) 、外 網(wǎng)網(wǎng)絡(luò)安全建設(shè)的內(nèi)容主要是防御各種網(wǎng)絡(luò)病毒如 ARP 欺騙、各種原因的異常流量對核心區(qū)的沖擊如線路老化短路或因員工不小心造成的網(wǎng)絡(luò)環(huán)路、來自互聯(lián)網(wǎng)的黑客入侵并被植入木馬成為傀儡機(jī)進(jìn)行重要信息的竊取等。 設(shè)備廠家介紹 杭州華三通信技術(shù)有限公司（簡稱 H3C）， 致力于 IP 技術(shù)與產(chǎn)品的研究、開發(fā)、生產(chǎn)、銷售及服務(wù)。 全面的 MPLS、 VPLS 業(yè)務(wù)能力 H3C S7500E 所有產(chǎn)品均支持 MultiVRF 特性，可以作為 MCE 設(shè)備 使用；支持三層的 MPLS VPN 和二層的 MPLS VPN（ Martini、 Kompella）；支持 MPLS OAM 特性，方便用戶的管理和維護(hù)；與 H3C MPLS VPN Manager 配合，實現(xiàn)圖形化的 MPLS部署與維護(hù)。支持基于硬件的豐富的 OAM 故障檢測機(jī)制，實現(xiàn)毫秒級鏈路故障檢測。因此，IRF 技術(shù)能夠輕易的將設(shè)備的交換能力、用戶端 口的密度擴(kuò)大數(shù)倍，從而大幅度提高了設(shè)備的性能。 SecBlade FW 集成防火墻、 VPN、內(nèi)容過濾和 NAT 地址轉(zhuǎn)換等功能，提升了網(wǎng)絡(luò)設(shè)備的安全業(yè)務(wù)能力，為用戶提供全面的安全防護(hù)。 H3C IMC EAD 安安 全全 策策 略略 組組 件件 EAD 安全策略組件可基于 iMC 平臺進(jìn)行部署，并且可以與 iMC 網(wǎng)絡(luò)設(shè)備管理和其他業(yè)務(wù)管理功能相融合，使得用戶管理操作更加簡單，管理能力更加強(qiáng)大。 根據(jù)建設(shè)部及 xx 省相關(guān)規(guī)范、參照公安部安全行業(yè)有關(guān)規(guī)定及實際情況， xx 中醫(yī)學(xué)院附屬針灸醫(yī)院綜合病房大樓建筑智能化工程的安全防范系統(tǒng)要滿足 當(dāng)嫌疑者侵入防范區(qū)域時，保安人員應(yīng)當(dāng)通過保安系統(tǒng)了解他的活動，因此，本次項目 安全防范 系統(tǒng)主要包括以下子系統(tǒng)： 視頻 監(jiān)控系統(tǒng) 和 防盜報警系統(tǒng) 兩個子系統(tǒng)。在忽略信號傳輸惡化前提下，如果直接連接到模 擬切換器或監(jiān)視器將不 會有 更多的損失，例如一般常用的 CCD 靶面像素 752582 的彩色攝像機(jī)對應(yīng)水平 460 至 480 線清晰度，無論是監(jiān)視靜止圖像還是運(yùn)動圖像，在高于 450 線清晰度的專業(yè)監(jiān)視器基本上可以反映現(xiàn)場圖像的原貌。 數(shù)字化系統(tǒng)的延遲就不容易被忽略，從系統(tǒng)結(jié)構(gòu)上看可能傳輸?shù)姆绞脚c模擬系統(tǒng)選擇的相同，但數(shù)字網(wǎng)絡(luò)化控制系統(tǒng)需要依賴已經(jīng)建設(shè)好的網(wǎng)絡(luò)系統(tǒng)，無論是 LAN，還是 WAN，網(wǎng)絡(luò)設(shè)備固有的延遲會累加到數(shù)字化監(jiān)控系統(tǒng)中。嚴(yán)密的布防也為日后大樓內(nèi)入住人員的管理和使用帶來不便。 工程重點防范部位和一般防范部位分析 根據(jù)圖紙資料可以了解到： xx 中醫(yī)學(xué)院附屬針灸醫(yī)院綜合病房大樓 由地下 1層、 樓上 19 層。與模擬視頻磁帶錄像機(jī)相比，數(shù)字視頻記錄具有清晰度高、索引方便、磨損小、容量大等優(yōu)點，在以前的佐證和可修改等方面的缺陷也正在逐步地得到克服。在使用相同的高質(zhì)量前端設(shè)備后，控制系統(tǒng)的可靠性已經(jīng)基本成為整個系統(tǒng)可靠性的衡量標(biāo) 準(zhǔn)。為了方便日后記錄查詢、傳輸，圖像記錄方式應(yīng)考慮采用數(shù)字記錄方式。安全防范技術(shù)、安全防范系統(tǒng) 、安全防范工程也是近 20 年來開始面向社會、步入民用的一個新的技術(shù)領(lǐng)域。 先進(jìn)的虛擬防火墻 支持先進(jìn)的虛擬防火墻技術(shù)，通過在同一臺物理設(shè)備上劃分多個邏輯的防火墻實例來 實現(xiàn)對用戶多個業(yè)務(wù)獨立安全策略部署的需求。支持出、入兩個方向的端口鏡像，用于對指定端口上的報文進(jìn)行監(jiān)控，將端口上的數(shù)據(jù)包復(fù)制到監(jiān)控 端口，以進(jìn)行網(wǎng)絡(luò)檢測和故障排除。 彈性擴(kuò)展 可以按照用戶需求實現(xiàn)彈性擴(kuò)展，保證用戶投資。 增強(qiáng)的 ACL 特性 H3C S7500E 系列產(chǎn)品支持強(qiáng)大的 ACL 能力：支持標(biāo)準(zhǔn)和擴(kuò)展 ACL；支持基于VLAN 的 ACL，方便用戶配置，節(jié)省 ACL 資源；支持出方向和入方向的 ACL，滿足金融等行業(yè)訪問權(quán)限嚴(yán)格控制的需求。 在全球市場， H3C 研發(fā)和生產(chǎn)的產(chǎn)品服務(wù)近百個國家和地區(qū)，客戶包括惠普、夢工廠、瑞士電信、 西班牙電信、英國沃達(dá)豐、巴西電信、法國國鐵、法國標(biāo)致雪鐵龍集團(tuán)、俄羅斯聯(lián)邦儲蓄銀行、澳大利亞昆士蘭政府、美國麻省理工學(xué)院、日本神戶大學(xué)、韓國三星電子等。 GSN 通過制定軟件的黑白名單，限制或允許工作人員安裝軟件，從而防止信息的外泄和系統(tǒng)的崩潰。無線局域網(wǎng)技術(shù)的不斷成熟和普及，使 WLAN 在全球醫(yī)療行業(yè)中的應(yīng)用已經(jīng)成為了一種趨勢。 邊界安全技術(shù)建議