【文章內容簡介】 EEE ：Link AggregationRFC2401：Security Architechure for the Internet ProtocolRFC 2475：DiffServ 架構設計1. 總體邏輯架構設計圖表5網(wǎng)絡總體邏輯架構圖根據(jù)網(wǎng)絡覆蓋范圍及所承載的業(yè)務需求，基于安全隔離及網(wǎng)絡性能的原則，整體上XX醫(yī)院項目設計兩張網(wǎng)絡:一張內外網(wǎng)統(tǒng)一網(wǎng)絡，一張安防監(jiān)控獨立網(wǎng)絡。l 內外網(wǎng)統(tǒng)一網(wǎng)絡整體設計為一張物理網(wǎng)絡，虛擬隔離為內部辦公網(wǎng)絡、數(shù)據(jù)中心網(wǎng)絡以及外網(wǎng)（Internet訪問網(wǎng)絡）。用戶接入部分采用接入、匯聚、核心三層網(wǎng)絡設計，易于業(yè)務擴展；數(shù)據(jù)中心部分采用接入+核心二層網(wǎng)絡，便于數(shù)據(jù)的高效傳輸。該網(wǎng)絡設計為有線無線統(tǒng)一接入，根據(jù)用戶需求，“有線接入”部分僅供醫(yī)生訪問內網(wǎng)進行辦公，即“有線接入”與數(shù)據(jù)中心網(wǎng)絡互通；同一個AP可同時提供內網(wǎng)接入和外網(wǎng)接入，內外網(wǎng)安全隔離；經(jīng)過授權認證的終端可接入內網(wǎng)進行訪問，也可按需訪問Internet；而非內部授權的終端僅能訪問“Internet”；系統(tǒng)可限制是否允許非授權終端接入網(wǎng)絡。l 安防監(jiān)控獨立網(wǎng)絡安防監(jiān)控網(wǎng)絡主要承載實時的視頻數(shù)據(jù)流，因醫(yī)院存在多棟大樓，依然采用接入、匯聚、核心的三層網(wǎng)絡設計。該網(wǎng)絡也可以在未來根據(jù)需要疊加上新的業(yè)務。2. 總體物理架構設計l 內外網(wǎng)統(tǒng)一網(wǎng)絡圖表6總體網(wǎng)絡物理架構針對本項目，采用“萬兆骨干、千兆桌面接入”的高性能網(wǎng)絡設計。參考如下組網(wǎng)圖：圖表7業(yè)務網(wǎng)絡組網(wǎng)圖網(wǎng)絡設計為“萬兆到接入、千兆到桌面”，滿足大數(shù)據(jù)量訪問及交換需求。采用星型拓撲結構，其中內外網(wǎng)核心交換機以及數(shù)據(jù)中心核心/接入交換機均部署在信息中心機房，主干萬兆光纖網(wǎng)絡分別連接到醫(yī)技樓、住院樓的匯聚交換機，各大樓的匯聚交換機再通過萬兆光纖連接到各樓層的接入交換機。考慮到業(yè)務的冗余可靠性要求，每個接入層交換機通過冗余光纜上聯(lián)到2臺匯聚交換機，匯聚交換機冗余連接到核心交換機，構成全院可靠冗余的網(wǎng)絡架構，滿足醫(yī)院高可靠性網(wǎng)絡的需求。內外與外網(wǎng)（Internet）網(wǎng)絡物理設備合一，采用VPN技術進行業(yè)務隔離。無線AP同時提供內外及外網(wǎng)的業(yè)務接入，對內外流量和外網(wǎng)流量分別分流到不同的VPN管道進行隔離。根據(jù)項目需求，詳細設計及設備選型如下：216。 邊界路由器NE40EX3：出口邊界的主要功能是提供外部的互訪，包括對接社保/醫(yī)衛(wèi)、出差員工、居民的一般訪問等，邊界路由器需要具備豐富的接口類型（10GE LAN/WAN、STM、E1/T1等）以及協(xié)議對接能力（BGP、OSPF、ISIS、RIP、靜態(tài)路由、MPLS TE/VPN、VPLS、IPv4/IPv6互通等），以滿足各種對接需求和未來業(yè)務發(fā)展；推薦選華為NE40EX3作為邊界路由器。 2臺NE40EX3采用熱備雙路由器設計，NE40E提供業(yè)界領先的400G交換平臺，業(yè)界第一個支持端到端200ms倒換保護功能，以及BFDamp。OAM等多種網(wǎng)絡保護手段，主要應用在IP骨干網(wǎng)、IP城域網(wǎng)以及其他各種大型IP 網(wǎng)絡的邊緣位置。NE40E基于分布式的硬件轉發(fā)和無阻塞交換技術，具有良好的線速轉發(fā)性能，優(yōu)異的擴展能力，完善的QoS機制和強大的業(yè)務處理能力。NE40E基于最新的可擴展400G平臺，實現(xiàn)到400G/slot的平滑擴展，且兼容現(xiàn)網(wǎng)所有線卡，最大限度保護客戶的投資。NE40E具有強大的匯聚接入能力，憑借豐富的特性支持，可以靈活部署L2VPN、L3VPN、組播、組播VPN、MPLS TE、QoS等，實現(xiàn)業(yè)務運營級的可靠承載；同時，NE40E全面支持IPv6，可以實現(xiàn)IPv4到IPv6的平滑過渡。因此，NE40E可以靈活應用在IP/MPLS網(wǎng)絡的邊緣、核心，可以簡化網(wǎng)絡結構，提供豐富的業(yè)務類型和可靠的服務質量，是IP/MPLS承載網(wǎng)向寬帶化、安全化、業(yè)務化、智能化發(fā)展的重要源動力。216。 內外網(wǎng)核心S9700：網(wǎng)絡的骨干，必須能夠提供高速數(shù)據(jù)交換和路由快速收斂，要求具有較高的可靠性、穩(wěn)定性和易擴展性等。另外需要保證核心層交換機具有大容量的端口密度和未來擴展功能，保證核心層服務器區(qū)域業(yè)務的高速交換。根據(jù)項目需求，推薦選擇S9700作為核心交換機。2臺S97核心提供高可靠性。Huawei S9700系列交換機是華為公司面向下一代園區(qū)網(wǎng)核心和數(shù)據(jù)中心業(yè)務匯聚而專門設計開發(fā)的高端智能T比特核心路由交換機。該產(chǎn)品采用先進的多層交換架構，提供持續(xù)的帶寬升級能力，支持40GE和100GE以太網(wǎng)標準。該產(chǎn)品基于華為公司自主研發(fā)的通用路由平臺VRP開發(fā)，在提供高性能的L2/L3層交換服務基礎上，進一步融合了MPLS VPN、硬件IPV桌面云、視頻會議、無線等多種網(wǎng)絡業(yè)務，提供不間斷升級、不間斷轉發(fā)、硬件OAM/BFD、環(huán)網(wǎng)保護等多種高可靠技術，在提高用戶生產(chǎn)效率的同時，保證了網(wǎng)絡最大正常運行時間，從而降低了客戶的總擁有成本（TCO）。216。 匯聚S7700：提供接入交換機的匯聚功能，實現(xiàn)接入交換機之間的數(shù)據(jù)高速轉發(fā)，為保證數(shù)據(jù)的快速轉發(fā)、減少網(wǎng)絡瓶頸，接入交換機與匯聚交換機之間使用萬兆光纖互聯(lián)，需要此設備能夠提供大量的萬兆接口，并保證未來的擴容需求。根據(jù)項目需求，推薦選擇S7700框式交換機作為萬兆匯聚交換機。醫(yī)技樓及住院樓分別部署2臺，共計4臺；S7700系列是華為公司面向下一代企業(yè)網(wǎng)絡架構而推出的新一代高端智能路由交換機。該產(chǎn)品基于華為公司智能多層交換的技術理念，在提供穩(wěn)定、可靠、安全的高性能L2~L4層交換服務基礎上，進一步提供MPLS VPN、業(yè)務流分析、完善的QOS策略、可控組播、資源負載均衡、一體化安全等智能業(yè)務優(yōu)化手段，同時具備超強擴展性和可靠性。S7700系列廣泛適用于園區(qū)網(wǎng)絡、數(shù)據(jù)中心核心/匯聚節(jié)點，可對無線、話音、視頻和數(shù)據(jù)融合網(wǎng)絡進行先進的控制，幫助企業(yè)構建交換路由一體化的端到端融合網(wǎng)絡。216。 接入S5700：接入層提供PC、物理終端等設備的接入功能，完成接入級的數(shù)據(jù)交換，具備網(wǎng)絡安全、QoS策略；當路由協(xié)議應用于這一層時，具備快速收斂和易于擴展等特點；推薦選型S5700作為接入交換機。醫(yī)技樓提供166臺28口S5700，住院樓提供54臺28口S5700，共計220臺；AP采用POE網(wǎng)線供電，本項目共計提供59臺POE交換機。S5700系列全千兆企業(yè)交換機，是華為公司為滿足大帶寬接入和以太多業(yè)務匯聚而推出的新一代綠色節(jié)能的全千兆高性能以太交換機。它基于新一代高性能硬件和華為公司統(tǒng)一的VRP平臺，具備大容量、高密度千兆端口，可提供萬兆上行，充分滿足企業(yè)用戶的園區(qū)網(wǎng)接入、匯聚、IDC千兆接入以及千兆到桌面等多種應用場景。該系列交換機融合了可靠、安全、綠色環(huán)保等先進技術，采用簡單便利的安裝維護手段，幫助客戶減輕網(wǎng)絡規(guī)劃、建設和維護的壓力，助力企業(yè)搭建面向未來的IT網(wǎng)絡。216。 數(shù)據(jù)中心核心S9700：為部署服務器和應用系統(tǒng)的區(qū)域提供核心交換服務。為提供靈活的擴展性，數(shù)據(jù)中心核心與內外核心分開設計，采用10GE光纖連接。216。 服務器接入S5700：服務器接入交換機上行設計為10GE，提供GE接入能力。本項目預計共提供服務器接入交換機13臺，采用28口S5700千兆接入交換機。l 安防監(jiān)控獨立網(wǎng)絡圖表8視頻監(jiān)控組網(wǎng)圖視頻監(jiān)控網(wǎng)絡承載實時的視頻監(jiān)控流量，為了與醫(yī)院的正常業(yè)務互不影響，單獨組網(wǎng)?？紤]到安防網(wǎng)接入設備的特殊性，網(wǎng)絡中存在大量的IP攝像機，接入層采用全千兆POE供電接入交換機。根據(jù)項目規(guī)模，本次預計設備數(shù)量如圖所示：攝像頭接入交換機S57：設計為千兆接入，40臺，覆蓋各個樓層，部分樓層采用相鄰樓層的交換機提供接入；采用4臺S57做匯聚交換機，采用萬兆匯聚到2臺S77。3. 網(wǎng)絡性能設計圖表9網(wǎng)絡性能說明l 流量總計主要對下行方向流量進行預計，上行方向流量低于下行（如沒有電視流量）；并且在極端的假設各系統(tǒng)在工作時間以非常高的概率同時工作，并且要求保障每位操作者的操作體驗：閱片快速響應、視頻不卡不頓等。整體而言：對A段核心段帶寬訴求：影像784+工作/語音988+視頻856+電視280 = 2908Mbps，約為3Gbps。對匯聚的B段：共兩對匯聚設備，；伴有其他少量部門間的橫向流量；對接入交換機的C段，除固定的電視帶寬280Mbps外，其他帶寬根據(jù)分布位置的不同而不確定性較大；整體而言占用大約在500~600Mbps左右。此段以及單個接入點的帶寬D段主要需要滿足突發(fā)峰值流量訴求，比如單個閱片請求，瞬間帶寬可達幾百兆甚至上G，這樣可以滿足更快的體驗。本次網(wǎng)絡設計為圖示的G段為10Gbps帶寬，服務器接入及桌面接入為1Gbps；能充分滿足當前業(yè)務需求，并提供了恰當?shù)哪芰M足未來擴展。詳細流量分析參見下面的單獨分析。l PACS影像部分帶寬需求醫(yī)學影像的閱片需要高速的網(wǎng)絡帶寬來保證流暢的閱讀感受，避免等待成為瓶頸。一般用戶對于交互性的操作有嚴格的時間要求，避免感受到不暢。從用戶感受出發(fā)，一般要求單次請求點擊到系統(tǒng)完成響應到呈現(xiàn)應在3s以內；這里假設系統(tǒng)的處理時間極短，那么網(wǎng)絡最長的響應時間即為3秒。一般PACS中一般DR影像為16MB/張；單個終端一次閱片要求的端到端的網(wǎng)絡帶寬要求為：(16MB*8bit/B) / (3s) = ；單個CR約8MB/張，；其他胃腸鏡、B超等影像一般1MB/張，但使用頻率更高，按滿足1秒的響應速度算，則單次閱讀帶寬要求為8Mbps。全院在醫(yī)技樓B1層有X射線影像設備有20多臺，在醫(yī)技L2層有內窺鏡20多臺，住院樓B1有超聲設備等20多臺；其中，DR/CR6分別6臺，即全院按6臺DR、6臺CR、近50臺其他影像設備計算。假設每臺設備對于一個閱片終端，最為極端的情況下這些終端在同時發(fā)起閱片的請求，那么這些流量最終會匯聚到核心交換機之上，在這種嚴格條件下：216。 核心交換的網(wǎng)絡帶寬的訴求為：6*+6*+50*8 = 784Mbps；216。 匯聚交換機帶寬訴求：醫(yī)技樓設備偏多，約500Mbps，住院樓約為284Mbps；216。 對接入交換機，主要集中在三個設備樓層，從圖上分布情況看，需求最大的交換機可能對接6臺設備，則最大帶寬要求為6* = 256Mbps；其他接入交換機則基本不承受該流量。l 工作/語音流量工作和語音流量一般按全院平均進行計算。其中語音電腦工作主要是醫(yī)學文本傳遞、醫(yī)學文檔傳輸，而單路音頻流量低于64Kbps，接入側的千兆接入完全滿足要求；主要考慮這些流量對核心層的影響。全院當前3000語音終端，1500臺電腦；，在工作期間醫(yī)院電話大于一般用戶使用率，即可認為全院峰值呼叫約為600個，對核心帶寬訴求低于64Kbps*600 約38Mbps。日常辦公中，按日常開機1000臺計算，設同時有大文件傳輸（占用10Mbps）的電腦占1成，假設其中一半經(jīng)過核心網(wǎng)絡；則共需要帶寬100*10Mbps* = 500Mbps。其余電腦一般評價占用幾百K帶寬，約為900* = 450Mbps；核心帶寬共計38+500+450 = 988Mbps。l 視頻會議/會診全院當前建設的視頻會議/會診終端設備約107個，由于終端資源寶貴，工作時間占有率很高，特別是遠程會診等長期占用。按80%設備同時占用計算，每終端使用8Mbps高清視頻。則對核心交換設備的流量訴求為107**8 = 856Mbps按流量評價分配到匯聚進行計算，4臺匯聚設備每臺約為214Mbps。l 電視流量當前設計為全院45個標清頻道，10個高清頻道；采用直播（組播），暫不提供點播；標清4Mbps，高清8Mbps。則疊加于接入交換機以上到數(shù)據(jù)中心網(wǎng)絡的每條鏈路的固定占用帶寬為：45*4+10*8 = 280Mbps。l 視頻監(jiān)控網(wǎng)流量對于視頻監(jiān)控部分，則網(wǎng)絡流量相對簡單。全院近1000個標清攝像頭，較為均勻的分布在各樓層各位置；每個帶寬2Mbps，則：核心段流量為2Gbps，2對匯聚交換機，每對提供1Gbps能力。當前設計為接入交換機千兆下行，千兆上行；匯聚交換機以上為10G核心，滿足業(yè)務要求。目前僅按攝像頭數(shù)量配置了視頻監(jiān)控接入交換機，未來在該網(wǎng)上新增增值業(yè)務，僅需要新增接入交換機，即可滿足要求，具備良好的擴展性。4. 可靠性設計首先設備本身要通過部件的冗余設計來保證高可靠性，具有電信級5個9的可靠性要求，需要網(wǎng)絡設備支持：216。 主控1:1備份216。 交換網(wǎng)1+1/1:1兩種方式216。 DC電源1+1備份；AC電源1+1/2+2備份216。 模塊化的風扇設計，高端配置支持單風扇失效216。 無源背板，高可靠性216。 獨立的設備監(jiān)控單元，和主控解耦216。 所有模塊支持熱插拔216。 完善的告警功能216。 設備管理1:1備份華為S57/S77/S97/路由器等設備完整支持上述特性。其次需要通過網(wǎng)絡的可靠性設計來保障整網(wǎng)的可靠性，以實現(xiàn)對于設備本身的節(jié)點故障進行快速感知，實現(xiàn)流量的快速切換，提高可靠性。傳統(tǒng)的手段是采用VRRP協(xié)議故障檢測、主備切換等，但是切換時間比較長。華為支持框式交換機的集群CSS（Cluster Switch System），能夠把多臺物理設備連接在一起，對外表現(xiàn)為一臺邏輯設備，從功能和管理方面，都可以作為一臺設備來看待。單節(jié)點物理設備的故障，邏輯設備能夠快速感知，并快速將流量切換到UP狀態(tài)的鏈路上，減少丟包時間，具有更高的可靠性。采用華為S97/S77系列交換機CSS技術，對園區(qū)核心網(wǎng)絡，有如下優(yōu)勢：l 簡化管理和配置首先，集群后需要管理的設備節(jié)點減少一半以上。其次，組網(wǎng)變得簡潔，不需要配置復雜的協(xié)議，包括STP/SmartLink/VRRP等。l 快速的故障收斂鏈路故障收斂時間可以控制在10ms,大大降低了網(wǎng)絡鏈路/節(jié)點的故障對業(yè)務的影響。l 帶寬利用率高鏈路采用Trunk的方式，帶寬利用率可以達到100%。l 擴容方便隨著業(yè)務的增加，當網(wǎng)絡需要擴容時，如果采用集群方式，只需要增加新設備即可，不需要更改網(wǎng)絡配置。能做到平滑擴容，很好的保護了用戶投資。目前，業(yè)界有兩種集群的方式。l 一種是業(yè)務板集群（采用業(yè)務