【文章內容簡介】 系統(tǒng)之間的信息交流和信息資源共享，實現(xiàn)內部局域網(wǎng)與 Inter 以及區(qū)衛(wèi)生所專網(wǎng)的連接。支持辦公自動化、信息傳播、疾病控制和有關智能化系統(tǒng)等運行平臺。二 . 需 求 分 析南京市衛(wèi)生局局域網(wǎng)建成后將以局域網(wǎng)為基礎，承載衛(wèi)生局內部 OA 系統(tǒng)、衛(wèi)生應急指揮系統(tǒng)、疾病控制與疾病信息傳遞系統(tǒng)、視頻監(jiān)控系統(tǒng)、視頻會議系統(tǒng)、遠程教學系統(tǒng)、IT 服務與管理系統(tǒng)及對外網(wǎng)站。該網(wǎng)絡建成后需要與互聯(lián)網(wǎng)連接同時要與南京市政務網(wǎng)連接，并下帶 18 個下屬機構（下屬機構不在本次考慮中） 。系統(tǒng)結構如圖 綜合布線局域網(wǎng)絡O A系統(tǒng)衛(wèi)生應急指揮系統(tǒng)疾病控制與疾病信息傳遞系統(tǒng)視頻監(jiān)控系統(tǒng)視頻會議系統(tǒng)遠程教學系統(tǒng)I T服務與管理系統(tǒng)對外網(wǎng)站圖 衛(wèi)生部信息系統(tǒng)結構圖鑒于以上用戶需求，此次局域網(wǎng)建設需達到一下要求：? 確保網(wǎng)絡的高可用性、高可靠性和高效率，核心交換機和匯聚層交換機具有高交換速率、大吞吐量，保證衛(wèi)生局的各項工作穩(wěn)定正常。? 著力于網(wǎng)絡的安全性，禁止非法接入，構筑一道全方位的立體安全屏障。? 確保為用戶提供針對不同信息系統(tǒng)和網(wǎng)絡安全等級需要的綜合性企業(yè)安全策略和計劃。? 確保采用的產(chǎn)品符合中華人民共和國有關信息安全的法律和規(guī)范。三 . 設 計 思 路1. 總體設計原則網(wǎng)絡系統(tǒng)的建設和設計，要從南京市衛(wèi)生局信息化建設的實際需要出發(fā)，緊緊圍繞衛(wèi)生醫(yī)療業(yè)務系統(tǒng)的應用需求和發(fā)展；采用成熟的先進技術，把握主流技術的發(fā)展方向，不僅要考慮到將來的需求，還將為系統(tǒng)的擴充留有余地。這兩者的完善結合是在設計本系統(tǒng)方案時的思考和遵循的原則，即：滿足用戶需求、照顧長遠利益、保護用戶的投資，以及促進與適應南京市衛(wèi)生局的信息化發(fā)展。基于以上考慮我們在網(wǎng)絡設計時遵循以下原則： 先進性原則為保證衛(wèi)生局網(wǎng)絡建設方案適應信息化的發(fā)展，達到規(guī)劃的預期目的，必須保證技術的先進性，特別是核心交換機和匯聚層交換機具有很高的交換速率和大吞吐量，必須保證南京市衛(wèi)生局的各項工作穩(wěn)定正常。 實用性原則在保證技術先進的前提下，還應強調系統(tǒng)的應用性和性價比，針對衛(wèi)生局的網(wǎng)絡現(xiàn)狀和發(fā)展趨勢，做出最切合實際、最符合的網(wǎng)絡建設方案。 安全性原則安全是網(wǎng)絡的基礎，也是保障正常工作的前提，所以網(wǎng)絡建設方案的核心是安全第一，本次網(wǎng)絡建設應著力于網(wǎng)絡的安全性，如禁止非法接入、雙機熱備、負載均衡、VLAN 的設置等，在網(wǎng)絡設計及產(chǎn)品選擇上注重安全性，構筑一道全方位的立體安全屏障。 擴展性原則考慮到信息化的發(fā)展，此系統(tǒng)應具有很強的開放性與擴展性，選擇開放式設計的產(chǎn)品或技術，滿足信息交互的需要，同時充分考慮產(chǎn)品的可擴展性，滿足不斷發(fā)展變化的業(yè)務和技術需求。2. 總體功能。 、RIP、OSPF 等路由協(xié)議，支持多條撥號訪問、多種接入方式。有接通 Inter 公網(wǎng)和區(qū)衛(wèi)生系統(tǒng)專網(wǎng)的端口。：配置 100M 防火墻，吞吐量不低于 100Mbps，具備NAS、VPN（吞吐量不低于 40Mbps） ，圖形化配置方式，有日志管理功能。、具備傳輸語音、視頻、數(shù)據(jù)的三網(wǎng)合一功能，因此需要較高的 QoS 性能；、會議和學術交流、辦公自動化、物業(yè)管理、互聯(lián)網(wǎng)應用(諸如遠程教學、流媒體應用、音視頻會議、FTP 以及遠程信息交換)及文體娛樂等方面的應用。、服務器、數(shù)據(jù)、語音總配線架等。涉及的網(wǎng)絡功能包括網(wǎng)絡運行管理、網(wǎng)絡信息管理、網(wǎng)絡安全管理、局域網(wǎng)數(shù)據(jù)中心四個方面。網(wǎng)絡中心機房電源由變電所提供兩路380V~/50Hz 電源，在機房經(jīng)雙電源自動切換裝置由兩路 40KVA 在線式 UPS不間斷電源供給,一路供給核心網(wǎng)絡設備及服務器存儲集群,另一路專門供給兩臺一主一備的精密制冷空調。并要預留 80kva 電源線纜以備日后擴容需要。7．網(wǎng)絡信息中心機房中服務器存儲系統(tǒng)要求加入 KVM 切換系統(tǒng),與新加裝機柜配套配置 KVM 切換器,要求帶顯示設備及輸入設備,可控制該機柜內所有服 KVM 連接入環(huán)境監(jiān)測系統(tǒng),使得我信息中心操作人員可在管理區(qū)直接進行服務器操作,而不用進入設備區(qū).四 . 網(wǎng) 絡 建 設局域網(wǎng)作為網(wǎng)絡的數(shù)據(jù)交互中心，其擴展的重要性、安全性、冗余性、可靠性以及所承載的巨大數(shù)據(jù)流量的轉發(fā)性能對網(wǎng)絡的拓撲結構、 、設備選擇和技術實施等方面要求非常高，必需全面體現(xiàn)出該網(wǎng)絡結構的高可靠性、高擴展性、高安全性，從而確保網(wǎng)絡的穩(wěn)定運轉，滿足業(yè)務處理的需求。1. 網(wǎng)絡拓撲圖圖 網(wǎng)絡拓撲圖2. 網(wǎng)絡層次整個南京市衛(wèi)生局局域網(wǎng)可劃分為以下二部分： 核心層選用思科 4507 交換機作為核心交換機，使用光纖連接到匯聚層交換機，以實現(xiàn)核心設備的高冗余性、高可靠性及網(wǎng)絡的高擴展性的需求。核心層功能：核心層是網(wǎng)絡的高速骨干必需最大現(xiàn)代的實現(xiàn)數(shù)據(jù)線性轉發(fā)并具備高可靠性。設備選擇：選用思科 4507 交換機作為構成局域網(wǎng)的核心，以達到高可靠性的連接，配備 11 個光纖模塊與接入交換機相連。 接入層南京市衛(wèi)生局新樓投入使用后，每個信息點通過相鄰的接入交換機接入局域網(wǎng)，各樓層的接入交換機通過匯聚交換機相連形成一個統(tǒng)一的、便于管理的、高速的獨立傳輸單元。接入層功能：承載終端設備所有數(shù)據(jù)流量的轉發(fā)及與中心設備的數(shù)據(jù)交互。設備選擇：接入層交換機采用思科 2960 設備，9 臺 48 口交換機，2 臺 24口交換機，每臺交換機配備 1 個光模塊，通過光纖與匯聚層交換機連接。3. 交換機的具體部署 信息點分布序號 樓層 數(shù)據(jù)信息點 實際使用點數(shù) 光纖點北辦公樓1 4F 94 46 12 3F 94 46 13 2F 94 46 14 1F 94 46 15 1F 10 10 1南辦公樓1 5F 62 40 12 4F 62 40 13 3F 62 40 14 2F 62 40 15 1F 69 40 16 1F 3 3 1合計數(shù)據(jù)點 706 397 11表 信息點分布 交換機部署1) 網(wǎng)絡機柜在南樓、北樓每層豎井內各放置一架標準 19 英寸網(wǎng)絡機柜，機柜內放置100 端口配線架。2) 接入交換機在北樓 4 層，南樓 5 層豎井內網(wǎng)絡機柜中各安裝 1臺 48 口思科 2960 交換機，每臺交換機配備 1 個單模光模塊與核心交換機連接，滿足每層信息點數(shù)量的需求。在南、北樓地下一層豎井內網(wǎng)絡機柜中各安裝 1 臺 24 口思科 2960 交換機，每臺交換機配備 1 個單模光模塊與核心交換機連接，滿足每層信息點數(shù)量的需求。3) 核心交換機在網(wǎng)絡機房（位于南樓 2 層）安裝思科 4507 設備作為核心交換機，選擇單模光口，分別與大樓豎井內的二層交換機連接，同時為網(wǎng)絡中心的服務器提供接入。4. 局域網(wǎng)中其他設備及軟件其他網(wǎng)絡設備包括路由器、防火墻、服務器及相關軟件等，均放置在南樓2 層網(wǎng)絡機房內 路由器路由器采用思科 2821 設備最為局域網(wǎng)的出口，支持靜態(tài)路由、RIP、OSPF等路由協(xié)議，支持多條撥號訪問、多種接入方式。配置 4 各快速以太網(wǎng)接口，與 Inter 及南京市政務網(wǎng)連接。 防火墻采用 ASA5520 設備作為網(wǎng)絡防火墻，配置 100M 防火墻，吞吐量不低于100Mbps，具備 NAS、VPN（吞吐量不低于 40Mbps） ，圖形化配置方式，有日志管理功能。 服務器共設置 7 臺服務器滿足南京市局域網(wǎng)內各種業(yè)務系統(tǒng)的支撐，分別為DHCP/FTP 服務器、WWW/DNS 服務器、OA 服務器、電子郵件服務器、網(wǎng)絡管理服務器、會議錄播服務器、防病毒服務器。服務器采用惠普 ML150 設備。 軟件每臺服務器上均安裝相應的功能軟件，操作系統(tǒng)統(tǒng)一采用 windows server 2022，殺毒軟件采用與南京市政務網(wǎng)統(tǒng)一的 KILL 系統(tǒng)。5. VLAN劃分在網(wǎng)絡內進行 VLAN 劃分的目的主要是為了抑制廣播風暴，提高網(wǎng)絡運行效率，同時還可以根據(jù)需求對不同的類型的用戶進行隔離，配合相應的地址分配策略，提高網(wǎng)絡安全性。為進一步加強網(wǎng)絡的安全性和可管理性，需要指定嚴格的整體網(wǎng)絡 VLAN 劃分方案，使網(wǎng)絡具有管理、身份認證、控制網(wǎng)絡流量、IP 地址綁定等功能。 VLAN 劃分的四種策略1) 基于端口的 VLAN 劃分基于端口的 VLAN 劃分是最簡單、最有效的 VLAN 劃分方法。該方法只需要網(wǎng)絡管理員針對網(wǎng)絡設備的交換端口進行重新分配租戶在不同的邏輯網(wǎng)段中即可。2) 基于 MAC 地址的 VLAN基于 MAC 地址的 VLAN 劃分其實就是基于工作站、服務器的 VLAN 組合。適用于較小的網(wǎng)絡規(guī)模。3) 基于路由的 VLAN 劃分路由協(xié)議工作在七層協(xié)