【文章內(nèi)容簡介】 致系統(tǒng)運行的不確定因素增加，可靠性降低， “宕機”時間變長且?guī)淼膿p失越來越大，而往往由于平時對網(wǎng)管的忽略，缺乏受過專業(yè)培訓的網(wǎng)絡(luò)管理人員，也缺乏綜合的網(wǎng)管解決方案，因而發(fā)生問題時無從下手，這才意識到網(wǎng)管的重要。作為一套考慮完善、可靠性要求極高的系統(tǒng)，當然不希望有“亡羊補牢”的情況發(fā)生，因此網(wǎng)絡(luò)管理是網(wǎng)絡(luò)設(shè)計必不可少的考慮因素之一，從設(shè)備本身操作系統(tǒng)所具備的一些網(wǎng)管功能，到簡單的網(wǎng)絡(luò)管理工具，甚而功能強大的大型管理系統(tǒng)，用戶可根據(jù)自身的實際網(wǎng)絡(luò)應用和資金安排，循序漸進，逐步實現(xiàn)全面網(wǎng)絡(luò)管理功能。與傳統(tǒng)的單一應用網(wǎng)絡(luò)不同，醫(yī)院信息網(wǎng)絡(luò)是一個集成了視頻和數(shù)據(jù)的新型網(wǎng)絡(luò)體系。在這樣的一個集成環(huán)境中，網(wǎng)絡(luò)從承載單一的數(shù)據(jù)到多種不同的應用，如何合理利用帶寬資源，保障關(guān)鍵性業(yè)務 QoS 等管理要求成為網(wǎng)絡(luò)規(guī)劃管理人員不能回避的問題，網(wǎng)絡(luò)管理系統(tǒng)必須提供有效的性能監(jiān)控與流量收集什邡市人民醫(yī)院醫(yī)院新大樓網(wǎng)絡(luò)方案 分析的網(wǎng)絡(luò)工具幫助網(wǎng)絡(luò)管理人員優(yōu)化網(wǎng)絡(luò)性能，準確地進行網(wǎng)絡(luò)規(guī)劃。多種業(yè)務的集成要求勢必帶來網(wǎng)絡(luò)硬件環(huán)境的變化。從單一的路由器與交換機的互連到集合了路由器，交換機，IP PHONE，語音網(wǎng)關(guān)，視頻設(shè)備等多樣設(shè)備的互連，設(shè)備管理和配置的直觀性，靈活性對網(wǎng)絡(luò)管理的效率至關(guān)重要。. 什邡市人民醫(yī)院網(wǎng)絡(luò)方案簡介. 1 此次方案設(shè)計拓樸如下圖：外網(wǎng)：內(nèi)網(wǎng)：什邡市人民醫(yī)院醫(yī)院新大樓網(wǎng)絡(luò)方案 . 方案設(shè)計思想： 充分考慮醫(yī)院網(wǎng)絡(luò)建設(shè)的特點，結(jié)合什邡市人民醫(yī)院的實際情況。我們建議從下面幾個方面設(shè)計來保證什邡市人民醫(yī)院整個網(wǎng)絡(luò)的高可靠性，高可用性，易擴展性，開放性，安全性，可管理性和實用性。 對于什邡市人民醫(yī)院新大樓的核心交換機設(shè)計我們使用 H3C 公司的高端新款模塊式路由交換機 S7506。該交換機是杭州華三通信技術(shù)有限公司（以下簡稱 H3C 公司）面向融合業(yè)務網(wǎng)絡(luò)推出的新一代高端核心多業(yè)務路由交換機，該產(chǎn)品基于 H3C 公司自適應安全網(wǎng)絡(luò)的技術(shù)理念，在提供穩(wěn)定、可靠、安全的高性能 L2/L3 層交換服務基礎(chǔ)上，進一步提供了業(yè)務流分析、基于策略的QOS、可控組播等智能的業(yè)務優(yōu)化手段，從而為企業(yè) IT 系統(tǒng)構(gòu)建面向業(yè)務的網(wǎng)絡(luò)平臺，實現(xiàn)通信整合，數(shù)據(jù)整合奠定了基礎(chǔ)。H3C S7500 系列交換機作為 H3C 公司自適應安全網(wǎng)絡(luò)的核心產(chǎn)品之一，可廣泛的適用于 IP城域網(wǎng)、大型企業(yè)園區(qū)網(wǎng)、中小型企業(yè)辦公網(wǎng)絡(luò)的核心層和匯聚層，同時其也可以作為以太無源光網(wǎng)絡(luò)（EPON）的光線路終端（OLT）設(shè)備，為用戶提供多種業(yè)務接入、交換、路由一體化的安全融合網(wǎng)絡(luò)解決方案。接入交換機設(shè)計什邡市人民醫(yī)院醫(yī)院新大樓網(wǎng)絡(luò)方案 H3C 的 S3600SI 系列我們采用 H3C 的 S3600SI 系列, S3600SI 系列交換機是 H3C 公司基于IToIP 理念設(shè)計和開發(fā)的智能彈性以太網(wǎng)交換機。系統(tǒng)采用創(chuàng)新的 IRF 技術(shù)，在安全可靠、多業(yè)務融合、易管理和維護等方面為用戶提供全新的技術(shù)特性和解決方案，是理想的辦公網(wǎng)、業(yè)務網(wǎng)和駐地網(wǎng)的匯聚、接入交換機以及中小企業(yè)、分支機構(gòu)的核心交換機。傳統(tǒng)行業(yè)和園區(qū)網(wǎng)采用 DHCP 技術(shù)后極大簡化了網(wǎng)絡(luò)地址的分配和管理。但同時，在一個不安全的園區(qū)網(wǎng)中（如校園網(wǎng)），存在惡意地址欺騙、擅自修改 IP 地址、私設(shè) DHCP Server 等安全事件和隱患。H3C S3600 系列交換機提供 DHCP Snooping（偵聽）功能，通過建立和維護 DHCP Snooping 綁定表實現(xiàn)偵聽接入用戶的 MAC 地址、IP 地址、租用期、VLANID 接口等信息，解決了 DHCP 用戶的 IP 和端口跟蹤定位問題。同時對不符合綁定表項的非法報文（ARP 欺騙報文、擅自修改 IP 地址的報文）直接丟棄，保證 DHCP環(huán)境的真實性和一致性。同時利用 DHCP Snooping 的信任端口特性可以保證DHCP Server 的合法性。H3C S3600 系列交換機還支持特有的 ARP 入侵檢測功能，可有效防止黑客或攻擊者通過 ARP 報文實施日趨盛行的“ARP 欺騙攻擊”，對不符合 DHCP Snooping 動態(tài)綁定表或手工配置的靜態(tài)綁定表的非法 ARP 欺騙報文直接丟棄。同時支持 IP Source Check 特性，防止包括 MAC 欺騙、IP 欺騙、MAC/IP 欺騙在內(nèi)的非法地址仿冒，以及大流量地址仿冒帶來的 DoS 攻擊。多業(yè)務融合時能按業(yè)務類型大致分成數(shù)據(jù)、語音、視頻、多媒體等，不同的業(yè)務對基礎(chǔ)網(wǎng)絡(luò)的要求,比如帶寬、優(yōu)先級、延時、端到端的 QoS 保證等，如果這些都需要手工進行設(shè)置和調(diào)整,那么網(wǎng)絡(luò)的適應能力無從談起，因此 IToIP的基礎(chǔ)網(wǎng)絡(luò)應該是對業(yè)務變化自動感知和自動適應的系統(tǒng)，對業(yè)務需要的網(wǎng)絡(luò)參數(shù)能夠自動生成、自動下發(fā)、自動調(diào)整和自動優(yōu)化。H3C S3600 系列交換機除了支持高可靠性的 IRF 技術(shù)以外，還支持傳統(tǒng)的STP/RSTP/MSTP 和 Smart Link 二層鏈路保護技術(shù)，極大提高了鏈路的冗余備份，提高容錯能力，保證網(wǎng)絡(luò)的穩(wěn)定運行。 支持 VRRP 虛擬路由冗余協(xié)議，與其他三層交換機構(gòu)建 VRRP 備份組。構(gòu)建故障時的冗余路由拓撲結(jié)構(gòu)，保持通訊的連續(xù)性和可靠性，有效保障網(wǎng)絡(luò)穩(wěn)定。支持 ECMP（等價路由），通過配置多條等值路徑實現(xiàn)上行路由的冗余備份和負載分擔。采用交流/直流雙輸入設(shè)計，設(shè)備既可以采用交流電源輸入，也可以直流電源輸入，二者之間熱備份。H3C S5100EI 系列什邡市人民醫(yī)院醫(yī)院新大樓網(wǎng)絡(luò)方案 在醫(yī)療設(shè)備接入層我們選用了 H3C S5100EI 系列，H3C S5100EI 系列以太網(wǎng)交換機是 H3C 技術(shù)有限公司自主開發(fā)的千兆三層以太網(wǎng)交換機，廣泛應用于企業(yè)網(wǎng)和園區(qū)網(wǎng)的匯聚層及接入層。提供靈活的千兆以太網(wǎng)端口的接入密度和萬兆上行、增強的安全防御能力、豐富的業(yè)務特性、統(tǒng)一的集群配置，為用戶提供高性能、低成本、可網(wǎng)管的千兆到桌面的解決方案，是千兆接入的理想選擇。在過去的幾年中，組播或視頻點播、帶大附件的電子郵件、文件傳輸器、按需備份和恢復、CRM/ERP 以及 Web 和 Java 工具等多種應用都成為吞噬帶寬的殺手，千兆位以太網(wǎng)逐漸延伸到桌面已經(jīng)成為最迫切的需要之一。用戶需要大容量帶寬的語音、視頻、多媒體等的應用，網(wǎng)絡(luò)的價值正在快速顯現(xiàn)。一些協(xié)作的應用開始在企業(yè)嶄露頭角，真正的提高企業(yè)的效率，例如在醫(yī)療行業(yè)的會診、視頻/廣告制作、制造業(yè)的設(shè)計/加工、游戲領(lǐng)域、網(wǎng)格計算、科研協(xié)作等，諸如此類的應用在消耗大量帶寬的同時，也在追求用戶的滿意度。人們對應用的要求已經(jīng)不僅僅是有，而且要好。這都需要以消耗帶寬資源作為代價?；阢~纜的千兆以太網(wǎng)可以將更多的應用從低速鏈路中解放出來，并且為業(yè)務創(chuàng)新提供了一個嶄新的平臺。對更高帶寬的各種需求催生新一代千兆接入交換機，H3C 公司的 S5100 產(chǎn)品的推出，正是為了滿足這一需求。H3C S5100EI 系列千兆以太網(wǎng)交換機提供靈活的 16/24/48 個10/100/1000M 自適應電口接入密度；并且支持復用的 SFP 插槽，充分考慮用戶的帶寬升級的實際情況，既可以支持千兆光模塊，也可以支持百兆光模塊，保護用戶投資。其中 S5100CEI 機型支持最多 2 個可擴展的萬兆接口，并且支持40G 帶寬的堆疊。該系列硬件支持最大 136Gbps 交換容量，保證所有端口線速交換。H3C S5100EI 系列交換機采用專利技術(shù)允許交換機利用專用互聯(lián)電纜實現(xiàn)多達 16 臺設(shè)備的堆疊，支持不同端口設(shè)備的混合堆疊。具有即插即用、單一IP 管理。同時大大降低系統(tǒng)擴展的成本，保護了投資的經(jīng)濟性。H3C S5100EI 系列交換機支持 EAD（端點準入防御） 、支持特有的 ARP 入侵檢測功能，可有效防止黑客或攻擊者通過 ARP 報文實施網(wǎng)絡(luò)中逐漸盛行的“中間人”攻擊，對不符合 DHCP Snooping 動態(tài)綁定表或手工配置的靜態(tài)綁定表的非法 ARP 欺騙報文直接丟棄、支持端口安全特性族可以有效防范基于MAC 地址的攻擊、同時具有強大硬件 ACL 能力，能深度識別報文，支持L2~L4 包過濾功能，提供基于源 MAC 地址、目的 MAC、源 IP 地址、目的 IP地址、IP 協(xié)議類型、物理端口、VLAN、等定義 ACL，并且支持基于硬件的IPv6 報文過濾，以便交換機進行后續(xù)的處理等。通過 FTP、TFTP 可以實現(xiàn)設(shè)備的遠程升級，支持 SNMP v1/v2/v3，可支持 Open View 等通用網(wǎng)管平臺，以及 iMC 智能管理中心。支持 CLI 命令行，Web 網(wǎng)管，TELNET，HGMP 集群管理，使設(shè)備管理更方便。并且支持 等加密方式，使得管理更加安全。什邡市人民醫(yī)院醫(yī)院新大樓網(wǎng)絡(luò)方案 網(wǎng)絡(luò)拓撲的設(shè)計在網(wǎng)絡(luò)的拓撲設(shè)計中，我們遵守了如下原則：拓撲可靠性在各網(wǎng)絡(luò)的拓撲設(shè)計中應遵循 N1 的電路可靠性原則。N1 的電路可靠性：拓撲中去掉任何 1 條鏈路，不影響節(jié)點的連通性。這就要求每個節(jié)點至少有兩條不相關(guān)的鏈路與其他節(jié)點相連。擴展性網(wǎng)絡(luò)鏈路和節(jié)點的增加、減少以及修改應不影響網(wǎng)絡(luò)的總體拓撲遵循此原則，本次規(guī)劃設(shè)計中采用如下結(jié)構(gòu)： 內(nèi)外網(wǎng)核心使用交換機 LS7506，并同時配備華三的防火墻模塊，服務器通過網(wǎng)卡核心交換機。 康復中心、傳染病房樓、高壓氧倉、液氧站、門診醫(yī)技病房綜合樓各樓樓層接入節(jié)點使用 LS3600SI 交換機或 S5500 交換機作為樓層接入交換機，實現(xiàn)千兆上行接入核心交換機，并使用 MSTP 二次協(xié)議和 VRRP 三層路由協(xié)議實現(xiàn)整網(wǎng)冗余和分擔流量。 對于服務器系統(tǒng)的接入設(shè)計服務器眾多，且后期需要增加大量服務器，需要有一定的擴展性。因此我們設(shè)計把服務器放置在核心交換機一個樓層。此外服務器都使用千兆的網(wǎng)卡分別連接 S7506，使用 VRRP 作冗余，最大化保障服務器在網(wǎng)絡(luò)上的實時在線。同時保證服務器和核心交換機的千兆帶寬接入。. VLAN 解決方案在現(xiàn)代大型的網(wǎng)絡(luò)應用中，為了建立起各類網(wǎng)絡(luò)用戶具有安全的、獨立的廣播域或者組播域，我們可以將交換機上的端口組合成一個一個的虛擬局域網(wǎng)（VLAN） ，通過設(shè)置 VLAN 我們達到了限制廣播包的傳播范圍和降低廣播包的影響，所有以太網(wǎng)數(shù)據(jù)包，如：點播（unicast） ， 組播（multicast ） ，廣播（broadcast） ，以及未知（unknown）的數(shù)據(jù)包，都將只在 VLAN 內(nèi)傳送，這樣在一定程度上可以提高網(wǎng)絡(luò)的安全性。另外人們也經(jīng)常需要對現(xiàn)有的網(wǎng)絡(luò)拓撲結(jié)構(gòu)進行一些簡單的或小量的改變，什邡市人民醫(yī)院醫(yī)院新大樓網(wǎng)絡(luò)方案 同時又不需要網(wǎng)絡(luò)中的工作站發(fā)生物理上的移動或者網(wǎng)絡(luò)線路連接上的變動，我們采用 H3C 的 S7500 E 核心路由交換機和 S310026cSI 太網(wǎng)交換機提供的豐富的 VLAN 功能，實現(xiàn)對用戶工作站的 VLAN 設(shè)置改動，就將工作站從一個VLAN 移到了另一個 VLAN，以達到使網(wǎng)絡(luò)節(jié)點的移動變換增加變得非常靈活和容易。根據(jù)什邡市人民醫(yī)院新大樓網(wǎng)絡(luò)系統(tǒng)工程的具體情況，我們建議用戶可以從以下幾個方面進行網(wǎng)絡(luò)內(nèi)部 VLAN 系統(tǒng)的規(guī)劃和設(shè)計： 基于端口的 VLAN 劃分根據(jù)大樓內(nèi)部各個不同的功能區(qū)域現(xiàn)有的網(wǎng)絡(luò)用戶分布情況，我們可以采用基于各個接入交換機的物理端口劃分 VLAN 的解決方案，以一個單獨單位或者一個特定的用戶群為一個 VLAN，作為一個子網(wǎng)，從而實現(xiàn)相互之間的隔離。H3C S7502E 能支持大量的 VLAN 數(shù)量劃分，最大到 4096 個 VLAN,對以后的網(wǎng)絡(luò)擴容和用戶急劇增加有獨到的處理能力。并且 S7502E 支持 QinQ，即雙層的 幀。這樣我們可以配置這兩個連接到骨干網(wǎng)絡(luò)的千兆以太網(wǎng)端口是上連端口。于是所有的在這個 VLAN 里面的廣播包和未知目的地的 Unicast 包都不會去到VLAN 的其他任何端口，它們只會到這個 VLAN 的上連端口出去，每個客戶都不會收到其他客戶的廣播或者匿名包，這樣就避免的在客戶端的用戶用類似網(wǎng)絡(luò)鄰居或者其他廣播的方式發(fā)現(xiàn)對方，也避免了各個單位和接入端所出現(xiàn)的不必要或者惡意的廣播風暴，保護了網(wǎng)絡(luò)的安全。. IP 地址的規(guī)劃方案設(shè)計網(wǎng)絡(luò)核心層由信息中心的骨干交換機組成，未來的網(wǎng)絡(luò)建設(shè)會以圍繞核心節(jié)點進行擴展，建立各個接入層結(jié)構(gòu)。對于已有的 IP 地址分配，在新的網(wǎng)絡(luò)建設(shè)中采用以下原則。 地址規(guī)劃的基本思想通常合理的地址規(guī)劃是使連續(xù)的地址盡量集中在一個區(qū)域內(nèi)。因此，核心層應象一個區(qū)域或一個節(jié)點一樣，被分配一段連續(xù)的地址。更進一步，連接進什邡市人民醫(yī)院醫(yī)院新大樓網(wǎng)絡(luò)方案 某一區(qū)域的節(jié)點的 IP 地址范圍應集中在該區(qū)域的地址范圍附近。地址規(guī)劃時充分考慮 CIDR 和 VLSM 的設(shè)計思想。保證 IP 地址的最大利用率的同時方便今后業(yè)務的擴展。 IP 地址的分配計劃對于原合法地址的分配。建議什邡市人民醫(yī)院分配給新的 IP 地址段。