【文章內(nèi)容簡(jiǎn)介】 上終接的，也能看作僅在另一臺(tái)交換機(jī)上終接。 VSS 1440的系統(tǒng)虛擬化技術(shù)將多個(gè) Cisco Catalyst 6500系列交換機(jī)整合為單一虛擬交換機(jī)，將系統(tǒng)帶寬容量擴(kuò)展到 Tbps。 VSS 成員通過虛擬交換鏈路（ VSL）連接。 VSL在虛擬交換機(jī)成員之間使用標(biāo)準(zhǔn)萬兆以太網(wǎng)連接（多達(dá) 8條，以提供冗余性） 。通過在 72010G或 WSX670810G模塊的任意 福建黎明紀(jì)元信息技術(shù)有限公司 端口上使用萬兆以太網(wǎng)上行鏈路，即能形成 VSL。除在 VSS成員間進(jìn)行控制通信外， VSL也能傳輸普通用戶流量。 使用 VSS技術(shù)在可靠性和可管理性方面優(yōu)勢(shì)如下： ? 對(duì)兩臺(tái)核心交換機(jī)實(shí)現(xiàn)單管理點(diǎn)，包括配置文件和單一網(wǎng)關(guān) IP地址（無需 HSRP/ VRRP/GLBP），即邏輯上可以認(rèn)為是一臺(tái)設(shè)備； ? 多機(jī)箱以太捆綁 （ MEC）創(chuàng)建了簡(jiǎn)單的無環(huán)路拓?fù)浣Y(jié)構(gòu)，匯聚層到核心的連接以及核心之間的連接不再依靠生成樹協(xié)議（ STP），而是直接按照以太捆綁通道來實(shí)現(xiàn)；鏈路的收斂不再 需要經(jīng)過漫長(zhǎng)的生成樹收斂過程，而是使用（ 或 PAgP）能在一秒內(nèi)完成 L2鏈路恢復(fù)； ? 將系統(tǒng)帶寬容量擴(kuò)展到 Tbps：通過使用冗余 Cisco Catalyst 650系列交換機(jī)上所有可用的 L2帶寬，提供自動(dòng)、精確的負(fù)載均衡。 Cisco VSS 1440消除了因園區(qū)中不對(duì)稱路由造成的單播洪泛現(xiàn)象，并能最大限度地發(fā)揮虛擬交換機(jī)中的所有萬兆以太網(wǎng)端口的作用。 IP SLA技術(shù)： IP SLA服務(wù)等級(jí)協(xié)議技術(shù)是思科領(lǐng)先的技術(shù)，并集成內(nèi)嵌在大多數(shù)采用思科 IOS的設(shè)備，包括思科 3560交換機(jī)。 通過 IP SLA，能夠?qū)崟r(shí)收集網(wǎng)絡(luò)性能信息：響應(yīng)時(shí)間、單向延遲、抖動(dòng)、丟包、語音質(zhì)量數(shù)據(jù)及其它網(wǎng)絡(luò)統(tǒng)計(jì)數(shù)據(jù)。用戶能夠以持續(xù)、可靠、可預(yù)測(cè)的方式測(cè)量網(wǎng)絡(luò)性能，并主動(dòng)監(jiān)控網(wǎng)絡(luò)狀態(tài)。 利用 IP SLA，企業(yè)不但能自動(dòng)執(zhí)行服務(wù)水平監(jiān)控，使 IP服務(wù)水平得到保證，還能主動(dòng)檢查網(wǎng)絡(luò)運(yùn)營(yíng)情況，并準(zhǔn)確測(cè)量網(wǎng)絡(luò)性能。主動(dòng)監(jiān)控能夠持續(xù)測(cè)量網(wǎng)絡(luò)中多條路徑之間的網(wǎng)絡(luò)性能，并提供持續(xù)性能基線。 用戶在實(shí)際使用網(wǎng)絡(luò)的過程中不論出任何問題，都是反映網(wǎng)絡(luò)不行。在終端用戶理解上，無論是網(wǎng)絡(luò)連通性問題、還是服務(wù)器問題、還是應(yīng)用軟件問題他們都認(rèn)為是網(wǎng)絡(luò)平臺(tái)出 問題，他們天然認(rèn)為網(wǎng)絡(luò)就是代表一切。通過使用 IP SLA，就能實(shí)時(shí)地監(jiān)控每一個(gè)終端用戶到所有訪問線路及服務(wù)器設(shè)備上的延時(shí)、抖動(dòng)、丟包、擁擠的狀況，也能實(shí)時(shí)模擬終端用戶訪問相應(yīng)服務(wù)器，確定服務(wù)器的回應(yīng)時(shí)間，從而分析出當(dāng)用戶反映網(wǎng)絡(luò)有問題時(shí)，究竟是網(wǎng)絡(luò)設(shè)備問題、還是某段線路問題、還是服務(wù)器的問題，并能整理出完整的報(bào)告。 福建黎明紀(jì)元信息技術(shù)有限公司 （圖）思科 IOS IP SLA生命周期 EEM內(nèi)嵌事件管理 技術(shù)： 內(nèi)嵌事件管理器（ EEM）是集成在思科 IOS路由器和交換機(jī)（包括 3560交換機(jī)）中的一個(gè)非常有用的功能。 EEM是一種事件檢測(cè)和 恢復(fù)工具，可為用戶提供客戶化的安全、可靠性等方面的增強(qiáng)能力。通過內(nèi)嵌的大量事件檢測(cè)工具， 例如內(nèi)存過高，線路誤碼太大，時(shí)間到等事件觸發(fā)后， EEM將自動(dòng)執(zhí)行事先定義好的行為，例如執(zhí)行一段代碼，或發(fā)送通知，切換引擎等來自動(dòng)修復(fù)網(wǎng)絡(luò)故障，由此實(shí)現(xiàn)對(duì)高可靠性的保障。 通過 EEM，可以為網(wǎng)絡(luò)設(shè)備賦予更多的智能，提高管理效率，降低管理成本。 EEM適用范圍非常廣泛，例如： ? 當(dāng)內(nèi)存占有率到 95%，將流量交換到另一臺(tái)交換機(jī)； ? 當(dāng)鏈路錯(cuò)誤高但是沒有中斷時(shí)，關(guān)閉該鏈路，使用冗余鏈路； ? 需要在晚上 12:00使用更高級(jí)別 ACL，第二天 上班又使用普通 ACL等等。 ERSPAN技術(shù)： 在日常網(wǎng)絡(luò)管理中，有時(shí)需要使用 IDS或流量監(jiān)控設(shè)備來分析處理流量，這是就需要使用交換機(jī)上的一個(gè)功能：端口鏡像（ SPAN）來捕獲網(wǎng)絡(luò)流量。有時(shí)需要監(jiān)控遠(yuǎn)端流量，將 IDS設(shè)備或流量監(jiān)控設(shè)備帶到遠(yuǎn)端不太現(xiàn)實(shí)，這時(shí)就需要采用遠(yuǎn)程端口鏡像功能，對(duì)于 福建黎明紀(jì)元信息技術(shù)有限公司 中間全部是二層的局域網(wǎng)環(huán)境，使用的是 RSPAN功能。如果中間是三層的路由環(huán)境，則要使用 ERSPAN技術(shù)，需要利用到思科 6500交換機(jī)上的 GRE功能才能實(shí)現(xiàn)。 通過 SPAN、RSPAN和 ERSPAN功能的有機(jī)結(jié)合，網(wǎng)管人員在網(wǎng)絡(luò)中 心就可以方便的監(jiān)控網(wǎng)絡(luò)中任意點(diǎn)的網(wǎng)絡(luò)流量，從而有效管理網(wǎng)絡(luò)，保障整體可靠性。 3. 建立醫(yī)療數(shù)據(jù)中心 的存儲(chǔ)整合和數(shù)據(jù)災(zāi)備（詳見本文第五部分：醫(yī)療級(jí)數(shù)據(jù)中心解決方案） 思科高可靠醫(yī)療級(jí)網(wǎng)絡(luò)基礎(chǔ)設(shè)施解決方案設(shè)備 參考 ? 核心層（兩臺(tái)） 6500系列交換機(jī) 4500系列交換機(jī) ? 匯聚層 （兩臺(tái)或者一臺(tái)） 4500系列交換機(jī) 3750系列交換機(jī) 3560系列交換機(jī) ? 接入層 （若干臺(tái)） 3750系列交換機(jī) 3560系列交換機(jī) 2960系列交換機(jī) ? 數(shù)據(jù)中心交換機(jī) （兩臺(tái)或者多臺(tái)） ： Catalyst 4900交換機(jī) Catalyst 3750交換機(jī) Catalyst 3560交換機(jī) 詳細(xì)信息歡迎垂詢思科區(qū)域 醫(yī)療行業(yè)客戶經(jīng)理 和 醫(yī)療行業(yè)客戶 技術(shù)支持系統(tǒng)工程師，或參考思科網(wǎng)站： 福建黎明紀(jì)元信息技術(shù)有限公司 ? English： ? 中文： 思科 高可靠 醫(yī)療級(jí)網(wǎng)絡(luò) 基礎(chǔ)設(shè)施解決方案客戶 成功案例舉例 華西醫(yī)院 早在 2020 年，華西醫(yī)院就已經(jīng)完成了醫(yī)院園區(qū)網(wǎng)絡(luò)的階段性建設(shè) ，形成了以百兆為主、千兆為輔的光纖主干網(wǎng)。整個(gè)網(wǎng)絡(luò)接入了近千臺(tái)客戶終端，支持以數(shù)據(jù)傳輸為主的醫(yī)院信息系統(tǒng)、辦公系統(tǒng)的運(yùn)行，也為工作人員、學(xué)生和部分家屬區(qū)提供互聯(lián)網(wǎng)接入。 在之前的網(wǎng)絡(luò)建設(shè)過程中，華西醫(yī)院一直采用思科的路由器、交換機(jī)和防火墻等多種網(wǎng)絡(luò)設(shè)備。華西醫(yī)院信息化負(fù)責(zé)人黃主任表示： “思科在整個(gè)過程中給了華西醫(yī)院大力的支持，包括針對(duì)醫(yī)院的需求組織工程師上門系統(tǒng)講解，幫助醫(yī)院的工程技術(shù)人員更好的認(rèn)識(shí)、了解、選擇、配置思科的產(chǎn)品并應(yīng)用于管理。 ”良好的合作關(guān)系促成了進(jìn)一步的協(xié)作，思科被華西醫(yī)院選定為其規(guī)劃并部署 更高性能的醫(yī)院骨干網(wǎng)絡(luò)架構(gòu)。 基于思科提供的骨干網(wǎng)，華西醫(yī)院將部署 PACS 系統(tǒng)等高信息吞吐量的解決方案。華西醫(yī)院信息化負(fù)責(zé)人黃主任表示： “面對(duì)危急病人，我們將可以保證在他被送進(jìn)手術(shù)室之前，他的檢驗(yàn)片子就已被送到醫(yī)生的電腦上，這使我們可以對(duì)他展開 ?爭(zhēng)分奪秒 ?的搶救工作。 ”。思科根據(jù)其需求特點(diǎn)，核心網(wǎng)絡(luò)采用配以萬兆端口的兩臺(tái) Cisco 6509交換機(jī)，各大樓主要匯聚層交換機(jī)采用 Cisco 4507R，配以雙萬兆引擎和雙電源冗余。為了保證網(wǎng)絡(luò)安全性，中心機(jī)房?jī)膳_(tái)核心交換機(jī)上配置了 IDS模塊，以實(shí)現(xiàn)實(shí)時(shí)入侵檢測(cè)。同 時(shí)，該網(wǎng)絡(luò)通過使用思 科安全監(jiān)控和響應(yīng)系統(tǒng) (CSMARS)實(shí)現(xiàn)安全信息收集和攻擊路徑實(shí)時(shí)分析。在網(wǎng)絡(luò)出口，還應(yīng)用了 SCE流量分析監(jiān)控設(shè)備。 上海第二醫(yī)科大學(xué)附屬瑞金醫(yī)院 上海瑞金醫(yī)院原是國(guó)內(nèi)著名的三級(jí)甲等綜合性教學(xué)醫(yī)院，在醫(yī)療、教學(xué)、科研、管理等方面在全國(guó)衛(wèi)生系統(tǒng)名列前茅。作為全國(guó)醫(yī)療衛(wèi)生行業(yè)的領(lǐng)先醫(yī)院，瑞金醫(yī)院自 1985年以來，就不斷投入計(jì)算機(jī)輔助管理系統(tǒng)的建設(shè)，較早實(shí)施了 HIS、 PACS 等核心醫(yī)療應(yīng)用，對(duì)整體網(wǎng)絡(luò)提出了更高的要求。 福建黎明紀(jì)元信息技術(shù)有限公司 瑞金醫(yī)院采用 3 臺(tái) Cisco 7600 和 1 臺(tái) Catalyst 6500， 分別分布在 2 棟不同的樓宇中，形成全院的網(wǎng)絡(luò)核心，并實(shí)現(xiàn)異樓雙核心冗余備份。此外還采用了多臺(tái) Catalyst4500、Catalyst3750、 Catalyst3500作為匯聚層交換機(jī)。全院匯聚和骨干之間通過路由連接，提高了網(wǎng)絡(luò)的可靠性。 在 PACS 網(wǎng)絡(luò)中全部采用千兆接入交換機(jī)。存儲(chǔ)設(shè)備采用光纖通道存儲(chǔ)局域網(wǎng)絡(luò)（ SAN）和光纖網(wǎng)絡(luò)存儲(chǔ)（ NAS），以保證醫(yī)院對(duì)大容量、高速度、高可靠擴(kuò)充性的數(shù)據(jù)存儲(chǔ)要求。 另外，瑞金醫(yī)院還在病房、急診樓中部署了思科無線產(chǎn)品，為病人、醫(yī)生提供更便捷的醫(yī)療服務(wù)。 上海瑞金醫(yī)院信息中心 認(rèn)為，之所以一直選擇思科，除了因?yàn)槠洚a(chǎn)品具有高性能、高可靠性、高安全性等因素外，更主要的是看重思科的綜合實(shí)力和品牌。在當(dāng)前國(guó)際上 IT 公司之間兼并收購頻繁的情況下，如果所選擇的供應(yīng)商被收購，其產(chǎn)品的后續(xù)研發(fā)和服務(wù)就有可能脫節(jié)，投資得不到保護(hù)。而選擇有實(shí)力、財(cái)務(wù)穩(wěn)健的思科系統(tǒng)公司，這方面的風(fēng)險(xiǎn)可以控制到最小。 北醫(yī)三院 1998 年北醫(yī)三院首次部署全院園區(qū)網(wǎng)絡(luò)就采用了思科系統(tǒng)公司的網(wǎng)絡(luò)設(shè)備， 2020年再次擴(kuò)容時(shí)仍然選擇思科。最近，北醫(yī)三樓又對(duì)網(wǎng)絡(luò)進(jìn)行擴(kuò)容升級(jí)改造，北醫(yī)三院第三次牽手思科。 “我們與思科有良好的互動(dòng)和 相互了解， ”沈韜介紹， “更主要的是思科的綜合實(shí)力、品牌和產(chǎn)品支持讓我們現(xiàn)有的投資能夠得到可靠保障。 ” 思科的網(wǎng)絡(luò)解決方案以千兆以太網(wǎng)為主干、百兆到桌面，保證了醫(yī)院高速度、高可靠性的數(shù)據(jù)傳輸要求。在安全方面，思科多層次深度防護(hù)的自防御安全系統(tǒng)解決方案，既能對(duì)醫(yī)療網(wǎng)絡(luò)提供全面的安全防護(hù)，又不會(huì)因性能損失造成瓶頸。對(duì)北醫(yī)三院以后的應(yīng)用規(guī)模，網(wǎng)絡(luò)解決方案具有充分的后續(xù)擴(kuò)容能力。只需通過簡(jiǎn)單地添加模塊或軟件升級(jí)，即可實(shí)現(xiàn)平滑升級(jí)到高密度萬兆性能，升級(jí)到高性能防火墻等功能。 “我們現(xiàn)有的網(wǎng)絡(luò)平臺(tái)可以滿足未來至少 3 到 5 年內(nèi) 業(yè)務(wù)擴(kuò)展的需求。 ” 沈韜主任說。 福建黎明紀(jì)元信息技術(shù)有限公司 二． 醫(yī)療級(jí)網(wǎng)絡(luò)安全 保障 解決方案 醫(yī)院網(wǎng)絡(luò)安 全現(xiàn) 狀 及挑戰(zhàn) 現(xiàn)階段，醫(yī)院信息系統(tǒng)正在變成醫(yī)療體系結(jié)構(gòu)中不可或缺的基礎(chǔ)架構(gòu)。該架構(gòu)的網(wǎng)絡(luò)安全和數(shù)據(jù)可用性變得異常重要。任何的網(wǎng)絡(luò)不可達(dá)或數(shù)據(jù)丟失輕則降低患者的滿意度，影響醫(yī)院的信譽(yù)，重則引起醫(yī)患糾紛、法律問題或社會(huì)問題。和其它行業(yè)的信息系統(tǒng)一樣，醫(yī)療信息系統(tǒng)在日常運(yùn)行中面臨各種安全風(fēng)險(xiǎn)帶來的安全應(yīng)用事故。 各醫(yī)院在網(wǎng)絡(luò)和應(yīng)用系統(tǒng)保護(hù)方面分別采取了很多安全措施，例如在每個(gè)網(wǎng)絡(luò)、應(yīng)用系統(tǒng)分別部署了防火墻、訪問控制設(shè)備，采取了備份、負(fù)載 均衡、硬件冗余等安全措施；也可能實(shí)現(xiàn)了區(qū)域性的集中防病毒，實(shí)現(xiàn)了病毒庫的升級(jí)和防病毒客戶端的監(jiān)控和管理；采用系統(tǒng)賬號(hào)管理、防病毒等方面具有一定流程。但在網(wǎng)絡(luò)安全管理方面的流程相對(duì)比較薄弱，需要進(jìn)一步進(jìn)行加強(qiáng)；另外主要業(yè)務(wù)應(yīng)用人員安全意識(shí)有待加強(qiáng)，日常業(yè)務(wù)處理中存在一定非安全操作情況，終端使用和接入情況復(fù)雜。這可以說是現(xiàn)階段具有代表性的網(wǎng)絡(luò)安全建設(shè)和使用的現(xiàn)狀，不僅僅是在醫(yī)院。從另一個(gè)角度來看，單純依靠網(wǎng)絡(luò)安全技術(shù)的革新，不可能完全解決網(wǎng)絡(luò)安全的隱患，很難從根本上克服網(wǎng)絡(luò)安全問題，我們首先來分析目前醫(yī)院網(wǎng)絡(luò)環(huán) 境所面臨的安全威脅究竟是什么，這也是我們最關(guān)心的安全問題： ? 網(wǎng)絡(luò)安全管理體系不完善，需要通過實(shí)施策略對(duì)流程進(jìn)行細(xì)化，其它體系也需要按照網(wǎng)絡(luò)安全管理體系和流程要求不斷完善其內(nèi)容。 ? 在物理與環(huán)境安全、系統(tǒng)和網(wǎng)絡(luò)安全管理、系統(tǒng)接入控制方面仍然存在一定差距，在安全策略、安全組織、人員管理、資產(chǎn)分類控制、安全審計(jì)方面存在明顯不足。 ? 防病毒系統(tǒng)沒有實(shí)現(xiàn)整體統(tǒng)一，存在防病毒的局部能力不足。 ? 歷史原因造成網(wǎng)絡(luò)自身安全防護(hù)不足，大量的第二層的攻擊（如 MAC地址泛洪、DHCP服務(wù)器欺騙、 ARP欺騙、 IP/MAC欺騙）讓 網(wǎng)絡(luò)失效或者通過獲取諸如密 福建黎明紀(jì)元信息技術(shù)有限公司 碼這樣的敏感信息而危及網(wǎng)絡(luò)用戶的安全。而傳統(tǒng)的 IP/MAC/Port綁定技術(shù)復(fù)雜而且效率較低。 ? 沒有部署針對(duì)服務(wù)器 /主機(jī)的安全保護(hù)，而大量的基于 Web的應(yīng)用導(dǎo)致病毒或非法攻擊，甚至于非法 copy等，無法保護(hù)業(yè)務(wù)數(shù)據(jù)的安全。而針對(duì)醫(yī)院來說，業(yè)務(wù)數(shù)據(jù)就是核心，這點(diǎn)尤其重要。 ? 網(wǎng)絡(luò)、應(yīng)用系統(tǒng)防護(hù)上雖然采取了防火墻等安全產(chǎn)品和硬件冗余等安全措施，但安全產(chǎn)品之間無法實(shí)現(xiàn)聯(lián)動(dòng)，安全信息無法挖掘，安全防護(hù)效果低，投資重復(fù)，存在一定程度的安全孤島現(xiàn)象。另外，安全產(chǎn)品部署不均衡，各個(gè)系統(tǒng)部署了多個(gè)安 全產(chǎn)品，但在系統(tǒng)邊界存在安全空白，沒有形成縱深的安全防護(hù)。 ? 對(duì)終端管理沒有統(tǒng)一策略，操作系統(tǒng)版本、操作系統(tǒng)補(bǔ)丁等沒有統(tǒng)一的標(biāo)準(zhǔn)和管理。 ? 沒有應(yīng)急響應(yīng)流程和業(yè)務(wù)持續(xù)性計(jì)劃，發(fā)生安全事件后的處理和恢復(fù)流程不足，對(duì)可能造成的業(yè)務(wù)中斷沒有緊急預(yù)案。 綜上所述，網(wǎng)絡(luò)安全問題越演越烈，不僅僅是一個(gè)單獨(dú)的設(shè)備能防御的，在技術(shù)上也陷入了被動(dòng)應(yīng)付的局面。思科自防御網(wǎng)絡(luò)的出現(xiàn)，為醫(yī)院