【文章內(nèi)容簡介】 （3） 、網(wǎng)絡的訪問終結(jié)于共享數(shù)據(jù)的特定位置，因為接入層用戶需要通過網(wǎng)絡最終訪問位于網(wǎng)絡另一端的共享服務器，而多個用戶同時訪問遠端的同一醫(yī)院綜合樓弱電及系統(tǒng)集成工程項目計算機網(wǎng)絡系統(tǒng)設計方案第 13 頁臺服務器或者存在訪問網(wǎng)絡的其他節(jié)點的服務器，就需要這幾個用戶爭搶網(wǎng)絡帶寬，使接入層瓶頸提升到核心層，造成核心層資源的浪費。并且根據(jù)網(wǎng)絡流量的分析得出用戶的訪問方向是不規(guī)則的，網(wǎng)絡一定會出現(xiàn)閑置的帶寬的現(xiàn)象，如何規(guī)劃路由將非常重要。（4） 、網(wǎng)絡流量和網(wǎng)絡流向是寬帶網(wǎng)絡的一個新瓶頸。對于寬帶網(wǎng)絡接入，接入層網(wǎng)絡的通常是以新 2/8 原則來劃分的，其中有20%的流量是在接入層交換機的內(nèi)部進行交換的，而 80%的網(wǎng)絡流量是通過上聯(lián)出口訪問其他的網(wǎng)絡設備。這里，就涉及到網(wǎng)絡產(chǎn)生流量后，網(wǎng)絡流向的問題，網(wǎng)絡流向直接造成網(wǎng)絡對于流量和流向所產(chǎn)生的網(wǎng)絡瓶頸。（5） 、網(wǎng)絡用戶是局域網(wǎng)用戶，實際接入的用戶就是一個網(wǎng)絡，那么對于不同網(wǎng)絡之間的互訪的安全性控制更是由為重要，同時各個不同的機關對本機關內(nèi)部流通的部分文件是要求要有絕對的安全性的，對其他部門的用戶的訪問是分為很多的不同的級別的。 系統(tǒng)設計目前，HIS 系統(tǒng)在很多醫(yī)院已經(jīng)部署，很多傳統(tǒng)業(yè)務都逐漸遷移到網(wǎng)絡上，對網(wǎng)絡的性能、安全和穩(wěn)定提出了很高的要求，主要體現(xiàn)在以下幾個方面：1）可靠迅速的響應以提供更好的醫(yī)療服務一般大醫(yī)院每天的門診量很大， HIS 系統(tǒng)每天對后臺數(shù)據(jù)庫的調(diào)用非常頻繁，會產(chǎn)生很大的數(shù)據(jù)流量，如果這種訪問流量出了問題而導致無法正常進行收費和醫(yī)療診斷，會產(chǎn)生嚴重的社會后果，因此醫(yī)院對網(wǎng)絡的訪問性能有很高的要求。2）安全的業(yè)務數(shù)據(jù)保證醫(yī)院正常對外服務在醫(yī)院的業(yè)務系統(tǒng)中保存著大量患者的健康信息和過程費用信息，這些數(shù)據(jù)無論對患者還是醫(yī)院都非常關鍵，需要嚴格保密，因此如何保護這些數(shù)據(jù)，對醫(yī)院有著重大的意義。3）高效的管理推動系統(tǒng)的穩(wěn)定，提高維護的效果HIS 經(jīng)過幾年的建設，已經(jīng)初具規(guī)模。如何管好整個醫(yī)院的業(yè)務系統(tǒng)，包括用戶、服務器、數(shù)據(jù)庫、存儲設備和網(wǎng)絡等，提高醫(yī)院管理效率，保證醫(yī)院網(wǎng)絡的正常運轉(zhuǎn)已經(jīng)成為醫(yī)院急需解決的大問題。醫(yī)院綜合樓弱電及系統(tǒng)集成工程項目計算機網(wǎng)絡系統(tǒng)設計方案第 14 頁4）醫(yī)院數(shù)據(jù)的安全存儲醫(yī)院需要存儲包括病人信息、病案信息、費用信息和影像等數(shù)據(jù)，對數(shù)據(jù)存儲的安全性和擴展性要求非常高。5）區(qū)域醫(yī)療的建設為了在區(qū)域范圍內(nèi)實現(xiàn)遠程會診、網(wǎng)上學術研討等業(yè)務，迫切需要醫(yī)院之間的資源共享。 系統(tǒng)內(nèi)網(wǎng)設計 內(nèi)網(wǎng)建設需求內(nèi)網(wǎng)是醫(yī)院核心網(wǎng)絡系統(tǒng)，用于開展日常醫(yī)療業(yè)務（HIS、LIS、PACS、財務、體檢系統(tǒng)等）的內(nèi)部局域網(wǎng)，系統(tǒng)應穩(wěn)定、實用和安全，具有高寬帶、大容量和高速率等特點，并具備將來擴容和帶寬升級的條件。? 醫(yī)院網(wǎng)絡建設需求：實現(xiàn)千兆主干，桌面接入實現(xiàn) 100/1000M 自適應（傳輸圖像的桌面直接實現(xiàn) 1000M 接入）；配備的網(wǎng)管軟件應提供可視的形象化的圖形界面，對整個網(wǎng)絡中網(wǎng)絡產(chǎn)品的全部端口進行監(jiān)視和管理；核心交換機與匯聚接入交換機互聯(lián)采用雙星型結(jié)構(gòu)；外科樓、門診樓布置無線 AP，可為無線查房，病人上網(wǎng)提供接入服務；由于醫(yī)療行業(yè)的特殊性，醫(yī)護人員和病患者之間需要頻繁地在院內(nèi)移動、同時處理大量的信息，要求網(wǎng)絡具備可移動性、傳輸速率高等特點。同時考慮到醫(yī)院業(yè)務量的增加，網(wǎng)絡需要留出足夠余地擴容而不影響醫(yī)院正常的工作。? 網(wǎng)絡應用設計要求：院內(nèi)核心網(wǎng)絡系統(tǒng) HIS、PACS 和 LIS、體檢系統(tǒng)等應用分別單獨組網(wǎng)。以子網(wǎng)的形式組成醫(yī)院的整體網(wǎng)絡。各網(wǎng)絡功能獨立應用，信息互通，資源共享；當任何一個子網(wǎng)出現(xiàn)故障，都不會影響到其他子網(wǎng)的使用。傳輸動態(tài)圖像的部門有：放射影像科、PET/CT、核磁共振 MRI、介入放射科 DSA、B 超室、心超室、腦超室、心電圖室、肌電圖室、胃腸鏡室、內(nèi)窺鏡室、重癥監(jiān)護室（ICU、CCU 等） 、手術室、麻醉科、視頻示教室和會議室等。醫(yī)院綜合樓弱電及系統(tǒng)集成工程項目計算機網(wǎng)絡系統(tǒng)設計方案第 15 頁為了更好地服務于醫(yī)療科研工作，需要將各類監(jiān)護治療儀器上的各項生命體征等信息以數(shù)字化手段采集并且保存下來，在需要時，可隨時還原。因此，考慮將醫(yī)院所有的監(jiān)護儀器和大型設備都聯(lián)網(wǎng)。 內(nèi)網(wǎng)設計及規(guī)劃內(nèi)網(wǎng)是整個醫(yī)院的核心網(wǎng)絡，開展醫(yī)院日常重要的醫(yī)療業(yè)務，對網(wǎng)絡的可靠性、穩(wěn)定性要求非常高，本次設計的網(wǎng)絡按照千兆帶寬（可擴展萬兆交換平臺） ，內(nèi)網(wǎng)核心交換機雙機冗余、負載分擔。網(wǎng)內(nèi)拓撲設計采用二級雙星型架構(gòu)，分為核心層、接入層。核心層位于機房網(wǎng)絡的中心，負責全網(wǎng)的路由交換，并與各服務器、存儲等核心醫(yī)院應用相連；接入層位于各大樓內(nèi)的樓層，負責直接接入桌面系統(tǒng)，本次內(nèi)網(wǎng)采用千兆雙絞線到桌面，與核心層進行千兆光纖連接。 核心交換機由兩臺 S7510E 組成雙星型網(wǎng)絡，當任意一條鏈輪或任意一臺設備出現(xiàn)問題時，保證網(wǎng)絡正常運行；醫(yī)院綜合樓弱電及系統(tǒng)集成工程項目計算機網(wǎng)絡系統(tǒng)設計方案第 16 頁匯聚層采用 S5120EI 匯聚交換機，通過雙千兆光纖與核心交換機互聯(lián)，保證鏈路的可靠，千兆與接入層交換機互聯(lián)。接入層，千兆位以太網(wǎng)逐漸延伸到桌面已經(jīng)成為最迫切的需要之一，在諸如醫(yī)療行業(yè)的會診、醫(yī)療影像、醫(yī)療科研協(xié)作等，應用在消耗大量帶寬的同時，也在追求終端用戶的滿意度，基于雙絞線的千兆以太網(wǎng)可以將更多的應用從低速鏈路中解放出來，并且為醫(yī)務工作者創(chuàng)新提供了一個嶄新高效能工作平臺。無線：考慮到整體的無線接入點數(shù)量很多，建議使用 Fit AP 加 AC 控制器的方式，AC 控制器部署在核心交換機，以 AC 無線控制器插卡的方式公用核心交換機的資源，做到有線、無線一體化的融合網(wǎng)絡解決方案，采用瘦 AP 組網(wǎng)方式，醫(yī)護人員在使用無線網(wǎng)絡中能做到無縫漫游。管理：智能管理中心 iMC，具備網(wǎng)絡拓撲、網(wǎng)絡性能、網(wǎng)絡配置、網(wǎng)絡安全、網(wǎng)絡告警、網(wǎng)絡業(yè)務的統(tǒng)一管理，同時在其上可以配置有多種業(yè)務管理組件，本次配置有線無線一體化管理組件 WSM，方便管理大規(guī)模的無線管理網(wǎng)絡；端點準入解決方案(EAD)在身份接入基礎上，支持安全狀態(tài)評估、網(wǎng)絡安全威脅定位、安全事件感知及保護措施執(zhí)行等，預防因未打補丁、病毒泛濫、ARP 攻擊、異常流量、非法軟件安裝和運行等因素可能帶來的安全威脅，并可根據(jù)終端的安全狀態(tài)實現(xiàn)終端 VIP、Guest、隔離、下線等多種控制策略。從端點接入上保證每一個接入網(wǎng)絡的終端的安全，從而保證網(wǎng)絡安全。 系統(tǒng)外網(wǎng)設計 外網(wǎng)建設需求實現(xiàn)千兆主干，桌面接入實現(xiàn) 100/1000M 自適應（傳輸圖像的桌面直接實現(xiàn) 1000M 接入）；核心交換機與接入交換機互聯(lián)采用星型結(jié)構(gòu)；防問互聯(lián)網(wǎng)時采用一定的安全手段，如防火墻和 IDS；能夠提供強大的網(wǎng)絡防問控制，路由功能。 外網(wǎng)設計及規(guī)劃由于外網(wǎng)主要用于醫(yī)院 OA 辦公、圖書館信息查詢，外網(wǎng)相對于內(nèi)網(wǎng)來說可靠性要求相對級別次低一級，初期按照采單核心交換機、雙引擎、百兆接入到醫(yī)院綜合樓弱電及系統(tǒng)集成工程項目計算機網(wǎng)絡系統(tǒng)設計方案第 17 頁桌面設計，采用接入直接到核心的簡潔二層結(jié)構(gòu)，根據(jù)用戶后期細化可靠性需求、鏈路冗余性需求后，再做進一步調(diào)整。在接入層，選用 H3C S5120 系列千兆交換機，H3C S5120EI 系列交換機具備豐富的業(yè)務特性，提供 IPv6 轉(zhuǎn)發(fā)功能以及最多 4 個 10GE 擴展接口。通過H3C 特有的 IRF（智能彈性架構(gòu)）功能，用戶能夠簡化對網(wǎng)絡的管理。S5120EI系列千兆以太網(wǎng)交換機定位為千兆接入，同時還可以用于數(shù)據(jù)中心服務器群的連接。在核心層，選用 S7506E 作為外網(wǎng)的核心交換機，S7500E 作為高端多業(yè)務路由交換機，融合了 MPLS、IPv網(wǎng)絡安全、無線、無源光網(wǎng)絡等多種業(yè)務，提供不間斷轉(zhuǎn)發(fā)、優(yōu)雅重啟、環(huán)網(wǎng)保護等多種高可靠技術，在提高用戶生產(chǎn)效率的同時，保證了網(wǎng)絡最大正常運行時間，從而降低了客戶的總擁有成本（TCO） 。在網(wǎng)絡出口處部署網(wǎng)神千兆防火墻，網(wǎng)神企業(yè)級千兆防火墻 SecGate 3600G7T 是一款接口數(shù)目多、配置靈活、網(wǎng)絡適應性好的千兆防火墻產(chǎn)品。產(chǎn)品基于自主開發(fā)的 SecOS，在高性能硬件平臺的支撐下，處理能力可達 4Gbps； 醫(yī)院綜合樓弱電及系統(tǒng)集成工程項目計算機網(wǎng)絡系統(tǒng)設計方案第 18 頁在出口路由器上采用 H3C MSR5060，該系列產(chǎn)品可以為大型分支機構(gòu)提供高性能、多業(yè)務的一體化網(wǎng)絡方案，也可以作為大中型企業(yè)的核心網(wǎng)絡設備，完成數(shù)據(jù)、語音、視頻等多種流量的廣域網(wǎng)交互。MSR50 針對安全數(shù)據(jù)連接進行設計，采用內(nèi)置硬件加密功能的 CPU 和主板上內(nèi)置的硬件加密引擎，大大提高產(chǎn)品的數(shù)據(jù)加密性能，同時節(jié)省接口插槽。另外，MSR 50 系列路由器還通過集成以太網(wǎng)交換模塊提供二層數(shù)據(jù)交換功能，實現(xiàn)了真正的路由交換一體化解決方案。5 產(chǎn)品選型 核心交換機選型核心交換機選用 H3C 的 S7500E 系列交換機有如下特點：一、豐富的業(yè)務，適應融合業(yè)務網(wǎng)絡發(fā)展趨勢全面的 MPLS 業(yè)務能力H3C S7500E 所有產(chǎn)品均支持 MultiVRF 特性，可以做為 MCE 設備使用；支持三層的 MPLS VPN 和二層的 MPLS VPN（Martini 、Kompella 等） ，可擴展支持 VPLS 技術；支持 MPLS OAM 特性，方便用戶的管理和維護；支持 VPN組播；與 H3C MPLS VPN Manager 配合，實現(xiàn)圖形化的 MPLS 部署與維護。 線速的 IPv4/IPv6 業(yè)務能力H3C S7500E 支持 IPv4/IPv6 雙協(xié)議棧,支持多種隧道技術，支持 IPv4/IPv6的組播技術，為用戶提供完善的 IPv4/IPv6 解決方案；H3C S7500E 采用分布式體系架構(gòu)，實現(xiàn) IPv4/IPv6 業(yè)務的線速無阻塞轉(zhuǎn)發(fā)； H3C S7500E 已經(jīng)通過了信息產(chǎn)業(yè)部的 IPv6 入網(wǎng)認證和 IPv6 Ready 第二階段金色認證，是成熟商用的IPv6 產(chǎn)品。有線無線一體化，有源無源一體化H3C S7500E 集成的無線控制模塊提供豐富的業(yè)務能力，包括精細的用戶控制管理、完善的 RF 管理及安全機制、快速漫游、超強的 QoS 和對 IPV6 的支持等；無線控制模塊通過與安全策略服務器的聯(lián)動，實現(xiàn)對無線接入用戶的端點準入防御，提高了整網(wǎng)的安全性。H3C S7500E 是業(yè)界最高密度的以太網(wǎng)無源光網(wǎng)絡（EPON）設備，單臺最大可接入 10240 個 FTTH 用戶；H3C S7500E 是高可靠的 EPON 系統(tǒng)，采用分醫(yī)院綜合樓弱電及系統(tǒng)集成工程項目計算機網(wǎng)絡系統(tǒng)設計方案第 19 頁布式體系結(jié)構(gòu)、模塊化設計，主控板冗余熱備份、無源背板、冗余電源支持雙路供電，具有電信級可靠性。支持 Portal 認證H3C S7500E 支持大容量的 Portal 認證功能，可以在數(shù)千用戶的局域網(wǎng)中做為 EAD 網(wǎng)關設備，為全網(wǎng)用戶提供 EAD 安全認證功能；可以在大中型的校園網(wǎng)中擔任匯聚/核心設備的同時，為學生宿舍區(qū)的認證計費提供 Portal 認證功能。二、靈活的配置，適應各種應用場景配線間融合業(yè)務網(wǎng)絡的最佳選擇H3C S7500E 針對配線間的需求定制開發(fā)了 SA 板卡，單臺設備可以提供480 個千兆線速接口和 4 個萬兆線速接口。H3C S7500E 支持端點準入防御解決方案，解決終端安全問題；內(nèi)置 2800W 電源直接提供 PoE 功能，對 IP 語音和無線接入提供良好的支持。政府電力城域網(wǎng)邊緣和匯聚的最佳選擇H3C S7500E 支持 MultiVRF 特性，為用戶提供高可靠高性能的 MCE 設備；通過配置 Salience VITurbo 引擎，可以提供集中式 MPLS 業(yè)務功能，適合在城域網(wǎng)邊緣作為高性價 PE 設備使用；通過配置 EA 類板卡，可以提供分布式線速的 MPLS 業(yè)務功能，適合在城域網(wǎng)匯聚層作為高性能的 PE 使用。IPv6 網(wǎng)絡的最佳選擇H3C S7500E 所有 Salience VI 引擎都可以提供集中式 IPv6 功能，H3C S7500E 針對 IPv4/IPv6 高性能的要求還開發(fā)了分布式 IPv4/IPv6 轉(zhuǎn)發(fā)的 SC 板卡，在整機滿配置狀態(tài)下實現(xiàn)線速無收斂，為高校用戶提供了高性能低成本的雙棧匯聚核心設備，同時也滿足其他行業(yè)用戶 IPv6 Ready 的需求。三、全方位的安全保障，抵御多種網(wǎng)絡安全威脅三平面安全保障機制H3C S7500E 提供完善的安全防護機制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡的安全：在控制平面，內(nèi)置協(xié)議報文攻擊識別模塊，防止 TCN、ARP等協(xié)議報文攻擊，OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗證，防止非法路由更新報文導致的網(wǎng)絡癱瘓；在管理平面，SNMPv3 網(wǎng)管協(xié)議， SSH V2，基于醫(yī)院綜合樓弱電及系統(tǒng)集成工程項目計算機網(wǎng)絡系統(tǒng)設計方案第 20 頁、AAA/Radius 的用戶身份認證以及分級的用戶權限管理保證了設備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、VLAN 、MAC 和端口等多種組合精細綁定；支持 uRPF 單播反向路徑轉(zhuǎn)發(fā)，防止非法流量訪問網(wǎng)絡，采用最長匹配逐包轉(zhuǎn)發(fā)機制，有效抵御病毒的攻擊。H3C S7500E 還支持內(nèi)置的高性能防火墻、異常流量清洗等模塊，將專業(yè)的安全融入到交換機之中。有線無線全面支持 EADH3C S7500E 是 EAD 端點準入防御解決