精选-构建安全稳固的医院业务数据中心网络平台-579

1、构建安全稳固的医院业务数据中心网络平台1.概述1.1. 医院信息化发展趋势经历了 20多年发展，中国的医院信息化已从早期的单机单用户应用转变为部门级 和全院级管理信息系统应用；从以财务、药品和管理为中心,转向以支持临床业务和电 子病历应用为中心；从局限在医院内部应用,发展到区域医疗信息化应用，取得了长足 的进步，但与发达国家相比，整体水平上还存在一定差距。当前适逢医改大潮，很多医 院都将加大对信息化投入,医院的信息化水平提升迎来了新的契机；同时,信息化建设可以优化医院的就诊流程,减少患者排队挂号等候时间，实现挂号、检验、交费、取药等一站式、无胶片、无纸化服务,简化看病流程,杜绝”三长一短”现象

2、,有效解决了 群众”看病难”问题,医院的整体诊疗水平也将得到进一步的提升。1.2. 医院数据中心基础网络建设现状从国外及国内发达地区的医院信息化建设的经验来看，医院的信息化已进入数据中 心建设的阶段,OA系统、MIS系统、HIS系统、PACS等逐渐由独立建设走向融合， 由此带来的变化是,网络基础平台也从简单的数据业务承载逐步发展到数据、语音、视 讯等多业务承载（如图1所示），传统医院基础网络架构设计方法已经无法满足新业务 的需求,主要问题体现在以下几个方面：1 网络稳定可靠性需要加强,医院业务的可靠性除依赖于服务器可靠和数据存储可靠外,更依赖于网络的稳定可靠。早期医院网络设计已经很难满足各业务

3、系统对可靠性 的要求。2.网络平台缺乏智能性,无业务识别能力，不能对关键业务应用提供端到端的高质 量数据传输的有效保证,医院通常采用的设备升级、链路带宽升级等简单方式使得网络 建设、运营、管理成本大幅度上升,而网络资源的利用率却在大幅度下降。3.现有网络资源很难通过灵活有效的策略调整实现业务与网络的充分融合，随看医 院业务类型的不断增加,多种业务如何合理的部署在同一张网络上,彼此独立又互相融 合,成为当前医院网络需要解决的重要问题。由于现有网络设计的局限性,医院用户对 新业务部署的体验感不佳,新业务的部署面临巨大管理压力。4 .医院网络中的安全设备组件多且庞杂，但各组件独立工作，传输安全、网络

4、安全、 数据安全、业务安全层面相互分离，难以有效兼顾,医院的安全漏洞处处存在。随看电 子病历的广泛应用，一旦电子病历出现泄密或者被恶意篡改，都会给医院带来严重的医 患纠纷,网络安全已经成为医院新一代网络建设的关注重点。5.网络的管理控制功能薄弱,单纯设备网络管理已经不能满足医院信息化发展的需 要。如何对网络、无线、安全、存储及语音视频实现智能的、统一融合的管理，已成为 当前医院网络管理发展的新方向。数字化医院临床倍息系统管理信息系统图医院信息系统组成因此，我们必须改变,以建设新一代数据中心的思路设计医院的基础网络,以确保 医院业务稳定、可靠、高效运行。2.构建稳定可靠的新一代医院业务数据中心医

5、院各信息系统功能明确，种类繁多，各信息系统的稳定可靠的运行才能保证医院 业务正常运转，但信息系统的稳定可靠运行的前提是需要构建一张安全、稳定可靠的承 载网络，如何创建一个安全、可靠、灵活、高效、集成的业务融合网络架构，需要引起 医院信息化工作者高度关注。作为IT产品技术和解决方案的领导者,医疗信息化重要 的参与者,H3C在对医院信息化充分理解的基础上，提出了构建稳定可靠的新一代医 院业务数据中心的建设模式。新一代医院业务数据中心网络架构设计主要针对传统IP网络的可靠性低、网络资 源自动适应性差、网络缺乏立体安全性而提出的,其目标是以医院业务应用为主体,以 不断发展完善的智能网络技术、安全技术和

6、灵活的资源调度为基础,以灵活实用的管理 控制为手段,为医院用户提供端到端品质保证的融合数据、语音、视频等多业务的网络 基础架构。稳定可靠的新一代医院业务数据中心网络架构如下（图2 ）:Internet社送医亓医宇专強H3CMSRRouter万兆 千療 百兆 :聚合H3CSecPaihFireWall专科分院破中心H3L IPSA H3CS9500D51250(1sSOOO 做控中心S58D0/S5500E门诊楼S75MES/500ESt)V0MUUtS5120S5120无娱查房 诡程me 俚症监揑千兆劉卓面 系统 PACS程*9冗余 擬冗余 IRF苍木 症用远理医疗 哋AN-手术中心卡渝叫彎皺

7、楼廿S580；S55D0FS5120图2新一代医院数据中心网络平台手柚悝 于木记曇 安全厉护 *EAD WLAN防火爛 EAD 血AN規勿会汶 号叫中也H3C的新一代医院业务数据中心方案针对医院各应用系统业务的不同要求，采用先进的数据中心设计思路,稳固可靠的网络架构体系,全新结构的核心交换设备、运用IRF （智能弹性构架）虚拟化技术、EAD端点准入方案、IPS等多种网络安全技术，为 医院客户构建一个高带宽、安全可靠、多业务承载、易扩展、易管理的网络基础平台。2.1.网络的高可靠性设计网络系统的稳定可靠是医院各应用系统正常运行的关键保障,通过对网络设备的选 择、网络架构的设计及先进技术的应用,可

8、以全方位保证了网络的稳定可靠。在网络设 备选取上特别是关键节点设备选取上,选用高可靠性网络设备；在架构设计上,选择合 理的拓扑结构,制定适当的网络冗余备份策略，确保了网络具有极高的故瞳自愈能力;在新技术的应用上,H3C IRF （智能弹性架构）通过虚拟化技术实现端到端网络负载分担和冗余备份功能,最大限度地保证医院业务系统的稳定可靠的运行。2.1.1. 先进的网络构架保证网络可靠性在网络架构设计上,采用标准的三层架构构设计或扁平化的二层架构如图3所示）, 三层架构分为核心层、汇聚层和接入层,二层架构则简化了其中的汇聚层,分为核心层 和接入层,各医院根据具体的网络部署情况,采用适合的设计架构。层次

9、化的网络架构设计,不但有效的解决了传统网络结构凌乱、维护复杂等问题， 更利于各层不同的策略制定,同时增强了网络的可扩展性。各层交换机之间均采用双归 属双链路方式连接,避免了网络系统的单点故障,旦其中一条上连链路出现故障,故 障链路的数据流便能迅速的切换到另一条链路上,不会出现医院业务的中断,这种组网 方式极大提高了网络的可靠性。凌乱结构二层扁平结构标准三层结构图3医院网络结构化设计2.1.2. IRF （智能弹性架构）虚拟化技术保证网络可靠性IRF智能弹性架构技术的应用也为整网的稳定可靠提供了重要保证。利用IRF智能 弹性架构虚拟技术，可实现多台物理交换机虚拟成一台逻辑交换机,所有交换机具有统

10、 的IP、一致的转发表项和统一的管理界面，同时支持跨设备的链路聚合，提高了链 路带宽。在核心层,双核心交换机通过使用IRF技术逻辑上虚拟为一台设备,简化管理 和降低维护难度,最大限度保证了核心设备可靠；在汇聚层和接入层,交换机通过IRF 技术把多台设备变成逻辑上的一台设备，可将传统的跨设备双链路的主备工作模式转变 为跨设备链路捆绑负载分担模式，这不仅提高了网络的骨干带宽，而且提升了网络可靠 性。H3C的IRF智能弹性框架技术能在提升网络性能、可靠性的同时,还能降低网络 建设成本和维护成本,并为将来的平滑扩展奠定良好基础。传统网络部署IRF网络图4 IRF部署效果传统网络部署呈环路结构（如图4所

11、示），启用VRRP和MSTP导致设计复杂,各条链路交织,路由设计也相对复杂,旦某一条链路出现故障，由于路由恢复存在收敛 时间,必将引起整网的路由震荡,给医院业务会带来瞬时影响。通过部署H3C IRF弹 性智能架构技术,多个网络节点虚拟化为一个节点,实现端到端的虚拟化,简化了组网 结构,避免了 VLAN + MSTP+VRRP的复杂组网，同时，单个节点、链路出现故障不会 引起整网的路由震荡，保证了医院各项业务的顺利开展。2.1.3. 电信级设备保证网络可靠性在网络设备选取上,新一代医院数据中心网络平台所采用的网络设备均采用电信级 可靠性设计,核心交换机和汇聚交换机均支持冗余配置,支持冗余主备交换

12、引筆，主备 交换引拿之间的切换不影响数据的转发,核心交换机以及汇聚交换机关键部件如电源、 风扇等冗余配置,背板采用无源背板,所有单板都支持在线热插拔。核心交换机可采用 具有先进多级矩阵交换架构和CLOS转发机制的新一代交换机，支持创新设计的在线状 态检测机制,从而实现零业务中断。业务板卡交换网板业务板卡S 5 CLOS多级交换网架构采用CLOS多级交换网架构交换机，业务板卡和后面的每块交换网板都物理相连（如 图5所示丄所有数据包实现无阻塞交换。在可靠性方面有如下两大优势：大幅度减少构建无阻塞交换结构所需要的交叉点,从而减少故障点,増强交换结 构的可靠性。交换单元的交换路径完全独立,不会彼此干扰

13、，从而不需要复杂的集中控制器来 协调各交换单元的交换,进一步增强可靠性和可扩展性。2.2.多业务融合设计目前很多医院的基础网络采用内网和外网分开建设方式，内网承载医院内部业务系 统（如HIS、PACS等），外网则通常承载WEB/FTP等服务，同时满足医院上Internet 需求。随看医院业务发展,网上挂号等新业务需求越来越明显，内、外网划分界限也愈 发模糊；而运行在内网上的门诊业务管理、住院管理、药品管理、财务管理等业务系统 彼此独立又相互存在联系。在保证网络安全的前提下，如何打破内、外网划分的局限, 并保证各内网业务系统相互隔离，控制互访是当前医院面临的问题。H3C结合多年的 医疗行业经验和

14、技术积累，提出了多业务融合的解决方案，在一套物理网络上虚拟出多 套私有网络资源，实现各业务系统逻辑隔离，控制互访,很好的解决了这一问题。多业 务融合解决方案分为接入控制设计和通道隔离设计两部分,具体如下：2.2.1. 接入控制设计接入控制能够保证网络访问的安全和接入用户正确获得访问相关资源的权限，医院 多业务融合方案接入控制采用H3C的EAD认证系统，通过认证的医院用户才能获得对 相关资源的访问和使用;并通过中央服务器和客户端的配合，监控接入用户的安全状态, 如操作系统补丁、防火墙是否启动、补丁状态、是否携带病毒等（如图5所示）从而保 证了接入端的安全。VLAN对应VPNVLAN11VPN1V

15、LAN22VPN2VLAN33VPN3VLAN44VPN4PE:用户名：密码下发VLAN用户名1:密码VLAN11用户名2:密码VLAN22用户名3:密码VLAN33用户名密码VLAN44CAMS:图5医院用户接入控制设计2.2.2. 通道隔离设计在业务逻辑隔离的设计上，通过MPLS VPN技术对医院各系统的业务和各科室的用户进行安全隔离,提高数据传输保密性和安全性，同时,通过RT属性控制各VPN 通道间的业务互访,为医院业务传输提供端到端的安全保证（如图6所示）。医遞据中心MPLS L3 VFN提供端 到端的业势隔离能 力，并且通过RT屈性 控制VPN间业务互访MPLS VPNi磺图6端到端

16、的医院业务逻辑隔离2.3. 网络平台安全设计医院业务数据中心建设不是简单的医院管理流程计算机化，而是以病人信息的共享 为核心,包括医院各个科室之间、医院之间、医院与社区、医疗保险、卫生行政等部门 的信息共享,最大限度地方便病人就医、方便医院一线医护人员工作、方便各类管理人 员分析决策，但信息共享也同时带来了安全隐患，由于医院业务对信息化依赖越来高, 旦出现安全问题,往往会给医院的运营造成沉重打击，传统安全方案大都是多个安全 产品简单堆彻,缺乏统一安全管理,安全设备无法相互配合,安全漏洞无法得到及时弥 补,根本无法解决信息安全问题。H3C针对医院不同区域的安全防护需求,针对性的提出了内网控制（I

17、NC）解决方 案,医院数据中心（DCP ）安全保护解决方案，网络边界防护（NBP ）解决方案，这些 解决方案相互融合，多个安全产品之间通过统一的安全策略中心实现信息共享和联动, 从而为医院提供全局的安全防护能力。2.3.1.医院内网控制（INC）解决方案安全堡垒最容易从内部攻破,医院用户对内网安全建设日益关注，但是即使采取了 各种防御措施,众多医院用户仍然经常被下面安全问题所困扰：1、网络入口已部署了防病毒网关，内网为何仍然蠕虫 病毒泛滥2、如何识别从内网发起的攻击并加以控制H3C内网控制解决方案能彻底解决上述问题，方案由安全管理平台、安全防护设 备和终端软件组成。通过终端软件接入并由安全管理

18、平台进行身份认证和终端安全状态 评估，确保每一个接入端点的安全，预防内网病毒、蠕虫的泛滥；安全防护设备则对发 现的内网攻击逬行阻断，同时上报安全管理平台；安全管理平台分析后与网络和安全设 备联动,控制攻击来源，避免威胁的再次发生,并且为用户提供整网安全审计报告。通 过点（接入端点控制X线（安全事件联动）、面（统一安全管理）相结合的立体防护, 为医院用户提供最有效的内网安全解决方案（如图7所示1InternetSecPathlPSSecCentor送更備中 iMC安全停H甲台SecSIade图7 H3C医院内网解决方案医院用户在接入网络之前龙须要通过身份认证，要求用户输入用户名、密码信息， 身份

19、认证通过后,EAD客户端还会检查用户计算机的安全状态，包括计算机操作系统 补丁安装是否合格、病毒库定义是否合格、是否启动防病毒软件、是否安装了非法软件、 是否只启用符合其身份的应用软件只有通过安全认证，计算机才能正常接入到网络 中开始工作，安全状态检查只要有一条不能满足要求，该计算机将被安全隔离到隔离区, 并在隔离区内自动安装系统补丁、防病毒软件、卸载非法软件等。除了提供用户安全认证，EAD解决方案还可实现基于用户的权限管理,不同用户 能访问的应用服务器各不相同，并可根据内网、外网划分为两大类用户，实现内网用户 禁止访问Internet,而外网用户可以访问Internet,但不能访问HIS系统

20、，部分用户， 如院长、信息中心人员则同时具有内网、夕卜网访问权限。2.3.2. 医院数据中心（DCP）安全保护解决方案医院数据中心的安全保护是在医院信息系统安全中占有举足轻重的地位，一旦数据 中心的数据安全被被破坏,病人信息外泄、医院工作人员信息外泄、医院相关信息外泄 等,后果都是非常严重，其影响恶劣程度可想而知。所以，医院数据中心安全重要性不 言而喻。通过以下安全防护手段保证医院数据中心安全（如图8所示11、在核心交换机或服务器汇聚交换机上部署防火墙插卡 在核心交换机或服务器汇聚交换机上插入防火墙插卡,管理方便维护简单 在核心交换机或服务器汇聚交换机防火墙插卡上将所有服务器根据服务类 型、安

21、全级别重要程度不同,进行虚拟安全域划分2、在核心交换机或服务器汇聚交换机上部署IPS插卡 在核心交换机或服务器汇聚交换机IPS插卡上设置针对服务器的安全防御 策略,对所有访问服务器的流量，均进行病毒、漏洞扫描、SQL注入等安全检查 和过滤3、在网络中咅8署SecCenter 利用SecCenter记录服务器操作系统和数据库及访问者的所有记录，做到 日志信息的集中审计与快速的问题排查。 SecCenter与IMC联动 发现安全威胁等级高的事件及时把事件发给IMC , IMC与交换机、防火墙或EAD进行联动，阻断威胁。Internet上联单位医保单位安全啊卩系统SecBlode 防火曙:SecBl

22、ade 11-PACS服务器；:RIS服劳器；安全管理平台图8H3C医院数据中心安全保护解决方案在医院数据中心部署数据中心(DCP )安全保护方案,有力的保证医院各数据和信 息安全。2.3.3. 医院边界防护(NBP)解决方案由于业务的需要,医院网络有多个外部网络连接，例如Internet连接、卫生专网 连接、社保系统连接等,医院网络与这些外部网络之间存在复杂的数据交互的需求,需 要对这些不同网络之间的通信进行严格的检测、控制和隔离，保证网络数据流动的安全。医院网络划分安全区域后，在不同信任级别的安全区域之间就形成了网络边界。跨 边界的攻击种类繁多、破坏力强,虽然采用了防火墙、IDS等传统的安

23、全防护手段，但 是安全威胁依然存在,主要原因包括：1 .对于应用层攻击、复合攻击,防火墙力不从心。目前由各种蠕虫、病毒、应用层攻击技术和EMAIL移动代码结合形成了复合攻击手段,以直接攻击医院HIS服务器 和应用为主,会给医院带来重大损失；同时随看电驴、BT等P2P应用和MSN、QQ 等即时通信软件的普及,医院宝贵带宽资源被无关业务流量浪费,形成网络带宽瓶颈及 性能威胁。由于防火墙基于TCP/IP 3层和4层的访问控制对于基于应用的攻击威胁无 法识别,这些威胁大部分都能够穿透防火墙。2.对紧急发生的安全问题无法及时响应。越来越多的病毒和蠕虫基于网络来传播, 有了网络这个介质，可以威胁传播速度很

24、快,以SQL Slammer为例,10分钟内，SQL Slammer感染了全球90%的有漏洞的计算机。如果网络对于这些威胁不能识别，不能 在其传播扩散的通路上进行阻截,纯粹依靠人工手动的打补丁、升级防病毒软件、在防 火墙上设置ACL ,根本无法抑制这些蠕虫病毒的大规模泛滥。针对传统安全设备的不足，H3C提出的医院网络边界防护(NBP )解决方案能够有效的解决上述问题，保障医院内外网数据交互安全(如图9所示)。图9 H3C医院边界防护解决方案H3C推出基于核心交换机的SecBlade防火墙/IPS模块和SecPath防火墙/IPS盒式设备,可根据用户的实际情况提供两种不同产品形态的解决办法。Se

25、cPath/SecBlade防火墙产品集成了包过滤和状态检测技术，对不同信任级别的 安全区域制定相应安全策略,防止非授权访问。SecPath盒式设备支持H3C OAA开放 应用架构,可在设备上部署防病毒、网流分析等业务模块；SecPath/SecBlade IPS是 业界唯一集成漏洞库、专业病毒库、协议库的IPS产品,特征库数量已达上万种,并保 持不断更新，能精确实时地识别并防御蠕虫、病毒、木马、DDoS等网络攻击，细粒度 地控制P2P/IM造成的带宽滥用。通过对防火墙和IPS的有机结合和功能互补，为医院用户提供2-7层的全面安全防护，有效的抵御来自网络边界的各种安全风险,为医院网络的正常运营

26、提供有力的保障。3智能管理设计医院信息化网络安全、稳定、可靠的运行直接关系到医院各项业务能否顺利开展, 而高效的管理在其中扮演了重要角色。传统的网络管理只对设备的配置和网络拓扑进行 简单的管理，并且管理维护过程复杂,无法针对医院具体的业务和资源做更为精确的、 轻松的管理。显然,随看医院设备数量增加z业务不断丰富,传统的网络管理软件无法 满足医院网络的管理需求。为了能够有效的解决目前医院网络运营、管理中存在的问题, 基于对网络管理的深刻理解,H3C推出了新一代的管理系统:H3C智能管理中心（H3C Intelligent Management Center,以下简称：H3C iMC H3C iM

27、C 以业务应用流 程模型为核心,采用面向服务（SOA ）的设计思想，按需装配的组件化结构,为医院用 户提供业务、资源和用户的融合管理解决方案,帮助医院用户实现业务的端到端管理, 从根本上解决管理的复杂性问题。H3CiMC从根本上颠覆了传统网络管理软件的设计思想，以开放的技术路线和融 合管理用户、资源和业务三大网络要素的理念为基础，最终向医院用户提供了一个个面 向具体需求的业务管理流程,从而把客户从繁杂、无序、割裂的管理工作中解脱出来, 结束网络管理的”有工具,无管理”现状。（如图10所示）r W0 W 40怜： C.一-L一 6!ULILUU 勺络、用务信息综台融Q 0 aCtrl 5X?-G

28、4M XO7七2 cer6, 3cor首页网路用户业务告善/用户 圈算入、用户安全统一爸理图10 H3CIMC基于用户、业务和资源的管理资源网络网络资源、故障、性能佢八才4比:乙” 5 * PL iersBMm mEBEQH1 c-0 UM:”K1 MWWMOWU业务流程化的鳄流管埋H3C IMC是面向业务的管理工具，除了对基本的网络资源实现实现了故障、性 能、拓扑、配置等管理外,还可以根据不同的管理需求选取不同的管理组件定制管理内 容。比如实现身份接入管理、端点安全准入管理、MPLS VPN管理、ACL管理和有线无线一体化管理等,从而让医院的网络管理变得更加简单、智能。具体管理功能如下:基础资源管理医院全网资源的统一部署、