【文章內(nèi)容簡(jiǎn)介】 3）VLAN名稱(chēng)：VLAN50康復(fù)大樓1）4層共80臺(tái)2）信息點(diǎn)數(shù)量：803）VLAN名稱(chēng)：VLAN60民生醫(yī)院VLAN劃分如表32所示。表32 VLAN劃分區(qū)域信息點(diǎn)VLAN名稱(chēng)服務(wù)器區(qū)5VLAN10行政辦公區(qū)108VLAN20醫(yī)療綜合大樓150VLAN30綜合住院大樓10VLAN40物資供應(yīng)大樓3VLAN50體檢康復(fù)大樓80VLAN60同時(shí)，我們將在Cisco Catalyst 3825 交換機(jī)上，進(jìn)行基于端口的VLAN劃分。IP尋址設(shè)計(jì)正如在制定交通規(guī)則并決定在哪里設(shè)置交通信號(hào)燈和策略之前，需要定義有哪些街道和為建筑在街道兩旁的房屋指定命名和編號(hào)規(guī)則。在計(jì)算機(jī)網(wǎng)絡(luò)規(guī)劃和設(shè)計(jì)中，也需要建立尋址。IP地址的合理規(guī)劃是網(wǎng)絡(luò)設(shè)計(jì)中的重要環(huán)節(jié)，對(duì)于比較大型的網(wǎng)絡(luò)而言尤其重要。IP地址規(guī)劃的好壞不僅影響網(wǎng)絡(luò)路由協(xié)議算法的效率、網(wǎng)絡(luò)性能、網(wǎng)絡(luò)管理、網(wǎng)絡(luò)擴(kuò)展，還直接影響應(yīng)用的進(jìn)一步發(fā)展。關(guān)于IP地址規(guī)劃應(yīng)遵循以下原則：IP地址的唯一性即IP地址是區(qū)分網(wǎng)絡(luò)主機(jī)的唯一標(biāo)識(shí)，同一個(gè)網(wǎng)絡(luò)中不能有相同的IP地址，否則就不會(huì)有可靠的路由選擇方式把包發(fā)送到指定的目標(biāo)地址。IP地址規(guī)劃的簡(jiǎn)單性IP地址的規(guī)劃應(yīng)本著簡(jiǎn)單的原則，避免在網(wǎng)絡(luò)主干采用復(fù)雜的網(wǎng)絡(luò)掩碼形式。IP地址規(guī)劃的層次性IP地址在規(guī)劃時(shí)，應(yīng)考慮到網(wǎng)絡(luò)中的子網(wǎng)，以及子網(wǎng)中計(jì)算機(jī)的數(shù)量，這樣才能確定IP地址的類(lèi)型和子網(wǎng)掩碼。IP地址的連續(xù)性。IP地址規(guī)劃的可擴(kuò)展性IP地址規(guī)劃的靈活性網(wǎng)絡(luò)的安全性IP地址根據(jù)需要采用靜態(tài)或動(dòng)態(tài)分配根據(jù)以上原則，結(jié)合邳州人民醫(yī)院的實(shí)際情況，IP地址規(guī)劃如下：服務(wù)器區(qū)IP地址規(guī)劃作用：用于給各個(gè)服務(wù)器分配IP地址。范圍：掩碼：辦公區(qū)作用：用于給各個(gè)辦公室電腦分配IP地址。范圍：掩碼：綜合門(mén)診區(qū)作用：用于給各個(gè)多媒體教室電腦分配IP地址。范圍：掩碼：科研實(shí)驗(yàn)區(qū)作用：用于給各個(gè)實(shí)驗(yàn)室電腦分配IP地址。范圍：掩碼：綜合住院區(qū)作用：用于給教師電腦分配IP地址。范圍：掩碼：民生醫(yī)院網(wǎng)絡(luò)IP地址規(guī)劃如表33所示。表33 IP地址規(guī)劃列表區(qū)域IP范圍子網(wǎng)掩碼網(wǎng)關(guān)服務(wù)器區(qū)：Web服務(wù)器FTP服務(wù)器Email服務(wù)器路由器(內(nèi))（外）行政辦公區(qū)醫(yī)療綜合區(qū)體檢康復(fù)大樓綜合住院區(qū)物資供應(yīng)大樓以終端用戶來(lái)分析。假設(shè)按職能或業(yè)務(wù)分成三個(gè)部門(mén)DDD3，各包含若干計(jì)算機(jī)（或服務(wù)器），一個(gè)共用服務(wù)器SERVER。信息流主要集中在SERVER上，不在網(wǎng)絡(luò)層上將它和其他部門(mén)分開(kāi)，通過(guò)授權(quán)就能訪問(wèn)；其中的某個(gè)部門(mén)的某些計(jì)算機(jī)（例如管理者）可以不經(jīng)過(guò)路由訪問(wèn)跨部門(mén)的計(jì)算機(jī)。邏輯上屬于一個(gè)部門(mén)的計(jì)算機(jī)（服務(wù)器在一個(gè)VLAN內(nèi)；邏輯上屬于多個(gè)部門(mén)的計(jì)算機(jī)（服務(wù)器）在多個(gè)VLAN上（例如共用服務(wù)器SERVER或管理臺(tái)席）。設(shè)置VLAN首先明確需求，根據(jù)具體運(yùn)用的需求將聯(lián)網(wǎng)的用戶劃分為幾個(gè)組，明確組與組之間的互通關(guān)系。如上圖的示例，假設(shè)互通關(guān)系需求下表所示。　　　　　　　　　　　　　互通關(guān)系需求表計(jì)算機(jī)臺(tái)席部門(mén)說(shuō)明AD1可與D1和D3的F互訪問(wèn)BD1同上CD1同上DD2可與D2和D3的F互訪問(wèn)ED2同上FD3可與DDD3的互訪問(wèn)JD3可與D3和D2互訪問(wèn)HD3可與D3互訪問(wèn)ID3同上SERVER可被所有計(jì)算機(jī)訪問(wèn)直觀說(shuō)來(lái)，劃分VLAN就是將連接到網(wǎng)絡(luò)上的計(jì)算機(jī)劃分為幾個(gè)組，同組的計(jì)算機(jī)之間的互通需求相同，所有連網(wǎng)的計(jì)算機(jī)劃分為下面三個(gè)組，實(shí)現(xiàn)三個(gè)VLAN。如下表所示。VLAN劃分列表組包含的計(jì)算機(jī)D1A、B、CD2D、ED3F、J、H、ISERVERSERVER 為VLAN分配ID在交換機(jī)上劃分不同VLAN的標(biāo)志就是各個(gè)VLAN的VLAN　ID（　VID）不同。理論上說(shuō)，每一個(gè)VLAN應(yīng)該分配不同的ID，但在實(shí)際應(yīng)用中，如果我們將多個(gè)VLAN分配同樣的ID，在某些特定的條件下是允許的（如兩個(gè)慮擬局域網(wǎng)的實(shí)現(xiàn)在存在交叉點(diǎn)，即任何一臺(tái)交換機(jī)上都不需要同時(shí)實(shí)現(xiàn)的虛擬網(wǎng)）?？梢岳孟旅娴谋砀駚?lái)分析。網(wǎng)絡(luò)需求分析:組VLANID交換機(jī)1交換機(jī)2交換機(jī)3D11YESNONOD22YESNONOD33YESYESYESD44NOYESNOSERVER5YESYESYES注：表中YES：表示在該交換機(jī)上實(shí)現(xiàn)；NO：不在該交換機(jī)上實(shí)現(xiàn)。同一職能業(yè)務(wù)部門(mén)內(nèi)部可以互訪問(wèn)；跨部門(mén)的訪問(wèn)需要經(jīng)過(guò)核心交換機(jī)的授權(quán)；共用信息被所有的計(jì)算機(jī)訪問(wèn)；其中的某些計(jì)算機(jī)（例如管理）有特別權(quán)限。同時(shí)，達(dá)到提高局域內(nèi)部通信性能、靈活控制訪問(wèn)權(quán)限以提高安全性的目標(biāo) VPN組網(wǎng)方案為了更加完善和提高醫(yī)療服務(wù)和管理的效率，為病人提供快捷的各種醫(yī)療咨詢和服務(wù)，將門(mén)診部和手術(shù)住院部的兩個(gè)獨(dú)立信息化的網(wǎng)絡(luò)加以合并，讓各種醫(yī)療信息達(dá)到同步共享。對(duì)于VPN網(wǎng)絡(luò)接入設(shè)備的總體應(yīng)用需求如下：實(shí)時(shí)、穩(wěn)定的VPN連機(jī)質(zhì)量：將以前獨(dú)立的兩個(gè)網(wǎng)絡(luò)用VPN設(shè)備連接起來(lái)，門(mén)診部和住院部?jī)商幎夹枰S時(shí)準(zhǔn)確地獲取所需數(shù)據(jù)，維持穩(wěn)定不中斷的連機(jī)質(zhì)量，改善獲取各數(shù)據(jù)所花費(fèi)的冗長(zhǎng)時(shí)間。而在實(shí)際操作上也需要符合簡(jiǎn)易方便的設(shè)計(jì)，能夠相對(duì)減輕網(wǎng)管維護(hù)的負(fù)擔(dān)?！　【邆浜?jiǎn)易操作、彈性配置等特性：由于考慮到兩個(gè)機(jī)構(gòu)的網(wǎng)絡(luò)拓?fù)湫再|(zhì)、內(nèi)網(wǎng)用戶數(shù)量可能不相同，相應(yīng)網(wǎng)絡(luò)管理與解決設(shè)備維護(hù)的復(fù)雜程序也不會(huì)低。因此，VPN網(wǎng)絡(luò)接入設(shè)備必須具備一定的簡(jiǎn)易程度與高靈活度等特性?！　「叨刃畔踩裕簩?duì)于醫(yī)療衛(wèi)生信息來(lái)說(shuō)，有很多內(nèi)部機(jī)密與患者的個(gè)人隱私等資料，需要得到保護(hù)。為了確保內(nèi)部信息的機(jī)密性，避免數(shù)據(jù)被竊取或偵聽(tīng)，造成不可估計(jì)的損失，因此，院領(lǐng)導(dǎo)對(duì)于VPN網(wǎng)絡(luò)接入設(shè)備的信息傳輸?shù)陌踩允种匾暋！　∮休^好的兼容性：因辦公需要，現(xiàn)在該醫(yī)院內(nèi)部同時(shí)使用ERP、財(cái)務(wù)結(jié)算等多種管理軟件。因此，對(duì)于VPN網(wǎng)絡(luò)接入設(shè)備還必須有較強(qiáng)的兼容性，不僅要能融合一些應(yīng)用軟件，更要能其他VPN設(shè)備相通?！　「鶕?jù)上述的各項(xiàng)需求，醫(yī)院相關(guān)負(fù)責(zé)人在經(jīng)過(guò)多方了解與對(duì)比后，選擇了高度性價(jià)比優(yōu)勢(shì)的多WAN VPN防火墻廠商俠諾科技，為其規(guī)劃了整體的VPN組網(wǎng)方案。其具體的組網(wǎng)方案拓樸下：　　組網(wǎng)方案網(wǎng)絡(luò)設(shè)備選型：由于醫(yī)院內(nèi)部網(wǎng)絡(luò)的規(guī)模較大，考慮其帶機(jī)量與網(wǎng)絡(luò)屬性，因此兩處都采用Qno俠諾企業(yè)級(jí)QVM VPN防火墻，做為服務(wù)器中心端接入設(shè)備，既支持PPTP、IPSec VPN、SmartLink VPN、QnoKey IPSec客戶端密鑰等連機(jī)方式，還滿足了外點(diǎn)多種VPN彈性配置需求，實(shí)現(xiàn)中心端與各分點(diǎn)建構(gòu)實(shí)時(shí)、穩(wěn)定、安全的互連VPN網(wǎng)絡(luò)系統(tǒng)?！　martLink VPN快速設(shè)定：對(duì)于一般傳統(tǒng)的IPSecVPN設(shè)定，沒(méi)有太多專(zhuān)業(yè)知識(shí)的工作人員，常會(huì)因?yàn)槎噙_(dá)20幾個(gè)繁雜步驟而頭痛。而Qno俠諾QVM系列VPN防火墻設(shè)備所特有的SmartLink VPN功能，將大部份的設(shè)定參數(shù)的工作交由VPN網(wǎng)關(guān)自動(dòng)完成，用戶只需要輸中心端服務(wù)器IP地址、用戶名、密碼三個(gè)參數(shù)，即可完成超快速VPN連機(jī)設(shè)定，現(xiàn)在就算是遠(yuǎn)在分部的工作人員也可以輕松上手進(jìn)行VPN連機(jī)設(shè)定了?！　?qiáng)大防火墻安全功能：對(duì)于來(lái)自外網(wǎng)的諸多病毒、財(cái)務(wù)賬號(hào)意外泄露、計(jì)算機(jī)被非法使用、惡意的內(nèi)網(wǎng)攻擊等安全防患，都不容小覬。目前，最多的攻擊形式仍以ARP攻擊居多，Qno俠諾QVM系列 VPN防火墻設(shè)備都具有內(nèi)建的防制ARP功能，憑借自動(dòng)檢視封包的機(jī)制，偵測(cè)過(guò)濾可疑的封包，做為防制ARP攻擊的第一道防線?？纱钆銲P /MAC雙向綁定，在路由器端以內(nèi)網(wǎng)PC端進(jìn)行IP/MAC綁定，即可達(dá)到防堵ARP無(wú)漏洞的效果?？紤]到要綁定全部工作人員PC端的IP/MAC有一定的難度，Qno俠諾近期特別提供了免費(fèi)ARP自動(dòng)綁定軟件，幫助工作人員有針對(duì)性的選擇套用綁定程序，達(dá)到雙向綁定的目的?！　≈悄軒捁芾恚荷贁?shù)工作人員會(huì)在上班時(shí)間網(wǎng)上炒股、MSN/聊天、網(wǎng)上下載電影等私事，不但經(jīng)常造成帶寬資源被占用，工作效率也會(huì)受到影響。Qno俠諾獨(dú)有的Smart QoS智能型帶寬管理功能，簡(jiǎn)化用戶配置，自動(dòng)針對(duì)實(shí)際網(wǎng)絡(luò)帶寬使用情況管控帶寬占用，有效的控制用戶越權(quán)占用上/下載帶寬資源，可設(shè)置啟用時(shí)間及流量門(mén)檻，自動(dòng)啟動(dòng)智能QoS，達(dá)成最大帶寬使用率，保持網(wǎng)絡(luò)的暢通?！　》€(wěn)定、快速的VPN連機(jī)質(zhì)量：Qno俠諾QVM VPN防火墻系列，具有指定路由功能，可保障VPN使用帶寬與優(yōu)先權(quán)，進(jìn)一步穩(wěn)定VPN連機(jī)質(zhì)量。此外，俠諾QVM VPN防火墻系列均具備多個(gè)WAN接口，可同時(shí)接入多條ISP線路，可增加帶寬滿足更多外點(diǎn)VPN連機(jī)以及內(nèi)網(wǎng)的計(jì)算機(jī)使用，還可同時(shí)運(yùn)用VPN備援設(shè)定功能，避免當(dāng)ISP不穩(wěn)定或掉線時(shí)，VPN連機(jī)也隨之中斷聯(lián)機(jī)，造成無(wú)形的損失與傷害，有效提高VPN設(shè)備的進(jìn)一步穩(wěn)定?！　『?jiǎn)單而方便的配置及管理：Qno俠諾QVM VPN防火墻系列產(chǎn)品均為 Web中文配置頁(yè)面，沒(méi)有太多專(zhuān)業(yè)網(wǎng)絡(luò)管理知識(shí)的網(wǎng)絡(luò)人員就可輕易進(jìn)行配置。即使是不懂網(wǎng)絡(luò)的人，經(jīng)過(guò)簡(jiǎn)單培訓(xùn)，也可進(jìn)行操作。大大解決了用戶缺少專(zhuān)業(yè)技術(shù)網(wǎng)管的后顧之憂?！　‘a(chǎn)品規(guī)格兼容性強(qiáng)大：Qno俠諾QVM VPN防火墻系列產(chǎn)品，均通過(guò)了VPNC ( 國(guó)際VPN認(rèn)證機(jī)構(gòu) ) 認(rèn)證。因此，俠諾產(chǎn)品與大廠的VPN設(shè)備不便可以互通，還可以兼容多種應(yīng)用軟件，更不會(huì)存在與其他廠商的設(shè)備無(wú)法進(jìn)行VPN聯(lián)機(jī)的問(wèn)題。：　　多WAN可彈性增加帶寬：Qno俠諾QVM VPN防火墻系列產(chǎn)品均支持帶寬匯聚，多WAN口接入，可供企業(yè)彈性配置運(yùn)用。方便在未來(lái)的網(wǎng)絡(luò)擴(kuò)展中，申請(qǐng)多條線路的應(yīng)用。進(jìn)而實(shí)現(xiàn)多WAN備援、 VPN與公眾線路分流等效果。由此可見(jiàn)，多WAN端口給日后網(wǎng)絡(luò)升級(jí)預(yù)留了空間，讓升級(jí)不是問(wèn)題?！　〔呗月酚山鉀QVPN跨網(wǎng)瓶頸：由于國(guó)內(nèi)長(zhǎng)期存在電信、網(wǎng)通互連不互通的問(wèn)題，許多企業(yè)建立VPN時(shí)會(huì)發(fā)生跨ISP網(wǎng)絡(luò)時(shí)帶寬不足，導(dǎo)致VPN不穩(wěn)定或易于掉線。而Qno俠諾QVM VPN防火墻系列產(chǎn)品的多WAN口設(shè)計(jì)，可搭配策略路由的設(shè)定，讓不同ISP外點(diǎn)可直接連到對(duì)應(yīng)VPN服務(wù)器入口，在未來(lái)即可很好的解決此問(wèn)題。若未來(lái)該用戶需要在云南省乃至全國(guó)范圍內(nèi)開(kāi)設(shè)分院，VPN跨網(wǎng)瓶頸問(wèn)題將得到輕松解決。 醫(yī)院網(wǎng)絡(luò)安全解決方案的設(shè)計(jì) 　　本文研究的醫(yī)院網(wǎng)絡(luò)安全解決方案是采用基于主動(dòng)策略的醫(yī)院網(wǎng)絡(luò)安全系統(tǒng),它的主導(dǎo)思想是圍繞著P2DR模型思