医院网络架构设计与实现

1、医院网络架构设计与实现摘要随着医院信息化进程的深入，医院信息平台的运行将越来越 依赖根底网络的建设。网络成为医院各种关键数据的信息进展交互和 传递的重要途径。多种网络架构拥有各自的优势与不足， 下面就我对 其的认识作出阐述和选择一种适宜的网络根底架构。关键字内外网融合，内外网别离，结合医院的网络根底架构开展至今，主要分为三种架构，分别是内外 网融合的网络架构、内外网别离的网络架构、以与最近几年刚刚兴起 的基于业务的无线网络平台架构，这是和医疗信息化的开展阶段分不 开的。（内网外网的概念为逻辑上的划分，两种实际的物理架构中， 逻辑上均包含内网和外网两局部。划分主要根据业务系统的对内对外 服务属性

2、，医疗核心业务相关度等特性来进展。）首先先来简单认识一下内外网融合的网络架构、 内外网别离的网 络架构和无线网络平台架构和基于业务的无线网络平台架构以与他 们的优缺点比拟。内外网融合的物理架构：就是医院的内网业务以与办公业务都在 一 X根底网络上运行，在这一网络架构之上，无论是数据的类型、重 要程度，还是对网络的要求，以与数据流方向都不尽一样，使得网络 数据复杂度提高而可控性下降。从介绍可知，所有业务都在一X根底 网上，缺点明显可知，两网仅逻辑隔离，外网对设备的攻击可能引起 内外网络全面瘫痪。优点如此是：可以保护投资，并且可以根据需要 让某局部终端可以同时访问两个区域，而且内外网融合所需设备相

3、对 较少，在维护和购置设备方面都很大程度上减少了本钱。内外网别离的网络架构：就是将医院的内网和外网业务分别放在一 X单独建立的网络上来运行，两网物理隔离，最大限度的保障内网 业务与数据的安全。内网主要承载医疗核心业务，如 HIS、PACS等。 外网作为行政办公、对外发布、互联网医学资料查询的主要平台，对 于稳定性和某某的性的要求低于内网，并且接入终端与数据流特点也 更为复杂。优点：内外网无共用设备和链路，两网之间互不影响。此 种网络架构设计，能够最大程度保证内网安全。缺点：由于内外网完 全物理隔离，两X网络单独建设，投资规模增大；灵活性稍弱，一台 终端只属于一 X网,不能同时对两网资源进展访问

4、，也不能自由切换； 需要管理两X网络，增加管理本钱无线网络与上述两种相比大大不同，它是采用无线传输媒介的计 算机网络，结合了最新的计算机网络技术和无线通信技术。首先，无 线局域网是有线局域网的延伸。使用无线技术来发送和接收数据， 减 少了用户的连线需求。由于采用无线信号通讯，在网络接入方面就更 加灵活了，只要有信号就可以通过无线网卡完成网络接入的目的；同时网络管理者也不用再担心交换机或路由器端口数量不足而无法完 成扩容工作了。但是无线网络初次建设本钱较高，很多条件不是很好 的医院都无法实现；部署时需要改动现有网络结构，对原网络进 展调整，增加初次部署复杂度，随着无线网络带宽以与传输数据 的增加

5、，无线网络可能会给有线网络设备造成额外的压力。目前我们根本不可能完全抛弃有线部署架构，所以从普遍性上来讲，先考虑采用 内外网融合的网络架构 或内外网别离的网络 架构。随着一些网络新技术的应用，使得内外网融合的物理架构也具 备了内外网别离的特点，典型应用是通过 MPLS Multi-Protocol Label SwitchingVPN技术以与安全控制域的划分，在逻辑上将一 X物理网络虚拟化成几X逻辑网络，逻辑网络之间通过VPN技术进展隔 离，逻辑网络内通过安全域控制不同级别用户的访问权限，在保证网络安全，稳定，高效，可控的同时，最大限度的保护投资，降低医院 信息化建设的门槛。所以接下来主要阐述

6、内外网融合的网络架构。首先先要了解医院网络分层与其功能分区，如图：网络 安全 管理内网中心服务器区：HIS, LIS, EMR, PACS（DMZ区）外网中心服务器区：外网0A,外网肛比MAIL等数 据 中 心数据灾备区骨干网貉区医疗专网出口区互联网出口区门诊终端住院终端医技终端无线终端行政终端接入富嚴终端 接入医院网络主要分为两层机构：数据中心层和终端接入层。各区域的界限以与作用X围:医院信息平台上内网所有的应用服务器、 数据库服务器、中间件服务 器、数据存储设备等一切内网业务系统相关设备的集中连接区域， 是 整个医院业务的核心。例如，内网中心服务器区域是HIS系统、LIS系 统，PACS系

7、统，EMR系统等所在的区域。2.外网中心服务器区DMZ区医院信息平台上外网所有的应用服务器、 数据库服务器、中间件服务 器、数据存储设备等一切外网业务系统相关设备的集中连接区域。例如，外网中心服务器区是医院外网0A服务器，夕卜网WEB服务器，MAIL 服务器等所在的区域。该区域是HIS、电子病历、医学影像系统，等数据中心子系统的灾备 区域，一般该区域为院内灾备区域，通过高速链路直接与核心交换机 相连，实现业务系统与灾备区域数据实时的同步。主要负责医院信息平台上数据中心区域内各服务器区之间的互联， 以 与数据中心区与终端接入区之间的互联或会聚互联， 该区域的主要功 能为实现局域网内数据的高速处理

8、和转发。 远程链路会聚主要采用高 性能的路由器、VPN网关服务器。HIS系统、LIS系统、EMR系统、 PACS系统、网络安全管理系统等模块主要通过万兆平台与其以上的 高性能三层交换机进展连接。该区域主要功能为为医疗信息平台提供医疗专网的接入服务，医疗专网包含的主要内容包括：医疗行业上级单位，疾控直报网络，公共卫 生突发预警系统，公安局，区域医疗卫生信息平台等。医疗专网出口 为医院信息平台提供了与其他医疗信息平台与上级主管机构信息交 互的安全高效的通道，是连接医院信息孤岛，整合医疗信息网络的重 要局部。这局部出口主要通过专线连接，最好能够提供冗余的出口线 路。该区域是为下载医学相关资料，获取互

9、联网海量信息而提供的安全的In ternet出口，也是医院门户，对外服务系统对公众社会提供服务 的出口区域，该区域由于与广域网链路相连，外部网络环境较为复杂， 存在较大的风险隐患，所以是安全防护的重点区域。该区域主要由高 性能路由器、防毒墙、防火墙、流控设备、VPN设备、上网行为管理设备，保护系统等组成。医院信息平台数据中心内保障整体信息平台安全、稳定运行的安全管 理运维系统的连接区域。如证书服务器、身份认证、漏洞扫描、入侵 检测、网络管理等。7.各终端接入区主要提供挂号，缴费以与各类行政方面的服务在定位上，内外网融合的网络架构，将所有功能区域都放到一X网络上，物理上联通，通过防火墙，三层设备

10、访问控制列表，二层设 备VLAN划分，来达到两网逻辑隔离，网络服务互不影响的目的。通 过二层隔离，三层隔离，安全域划分，MPLS VPN技术等来逻辑隔离网络，保证网络安全。之前也提到了通过 MPLSMulti-ProtocolLabel SwitchingVPN技术以与安全控制域的划分，可以使内外网融合架构同时拥有内外网 别离架构的特点，得两网虽在一 X网上，但运行于各自不同的逻辑通 道中，彼此之间互不可见；同时可以通过安全控制域的划分，让主机 在接入时动态选择要进入的安全域，保证域内访问安全；就设备而言， 通过设备本身的一些抗攻击机制，如中央处理器保护机制，网络根底 设计保护机制来达到合理分

11、配交换机硬件资源， 满足不同场合应用的 目的。这样就在一定程度上弥补了融合架构的不足。在内外网融合的架构中，又包含两种子架构，分别是内外网融合二层网络架构和内外网融合三层网络架构。 这两种架构都有其各自的 区别与特点。二层网络架构，即全网接入层直接连接到核心或经过一个二层设 备转连接至核心。其特点是：全网拓扑简单，所有终端的网管位于核 心交换机上，核心交换机通过 MSTP Multi-Service Tra nsfer Platform+VRRFPVirtual RouterRedundancy Protocol、环网技 术或者硬件虚拟化技术进展部署，增加冗余性和鲁棒性，但容易造成 核心交换机

12、压力较大，易受到到来自各个区域终端的攻击，导致网络动荡，网络稳定性下降。三层网络架构，即全网严格分为核心、会聚、接入三层，接入层 主要负责接入控制、VLAN划分以与二层网络的隔离与互通等功能； 会聚层设备作为各会聚区域的网关， 进展三层网络访问控制，减轻核 心交换压力，分割网络动荡区域，使得局部的问题不影响全局，会聚 层之上通过三层接口与核心交换机进展互联，运行动态或静态路由协议，提高网络自愈能力；核心层交换机主要负责高速的三层转发，由 于已在会聚层上进展控制域划分，此时核心层启用的策略更少，性能 更高，风险降低。基于其各自的优势，针对不同区域往往两种架构共同使用，形成二三层混合架构。例如将医

13、技终端接入区与核心共同组成二层架构， 而行政接入区如此通过核心-会聚-接入形成三成架构，将其网关下移 至会聚交换机，降低该区域对骨干网络的影响。根据内外网融合的网络架构画出了拓扑图:参照图片对网络架构的实现分析如下:1. 接入层设计接入层是医院信息平台上所有设备的边缘接入网络， 是将终端接入网 络的边缘，也是对终端用户进展访问控制和隔离的边缘，是网络安全边缘前移和全局网络安全的根底。接入层网络设备主要由二层以太网 交换机和无线接入点等设备组成，其中二层以太网交换机主要是为有 线设备提供网络控制和接入。作为医院信息平台的安全接入设备， 接 入层交换机应选用智能网管型交换机，具备 VLAN划分，端

14、口隔离， 安全地址绑定，抗攻击，QoS防雷击等功能，支持标准的802.1X访 问控制，支持标准的SNMP简单网络管理协议，支持DHCP-Snooping等功能，支持标准的 RSTP Rapid Spaning TreeProtocol ，MSTPMulti-Service Tran sfer Platform生成树协议。接入层的设计需要充分考虑设备的稳定性、安全性、冗余性和高 性能，上联至数据中心的链路尽量使用双链路上联，通过生成树协议生成无环拓扑，防止广播风暴，保证终端设备稳定，安全，高速的接 入医院信息网络平台。会聚层是连接接入层与核心层之间的网络层， 为接入层提供数据 的会聚，传输，管理

15、，分发处理，集中接入层流量，再转发至核心层 的功能，是局域网中隔离动荡的控制点，也是区域网络流量上收的关 键点。会聚层为接入层提供基于策略的连接，如地址合并，协议过滤, 路由服务，认证管理等。通过网段划分（如VLAN与网络隔离可以防止 某些网段的问题蔓延和影响到核心层。 会聚层同时也可以提供接入层 虚拟网之间的互连，控制和限制接入层对核心层的访问， 保证核心层 的安全和稳定。会聚层设计为连接本地的逻辑中心，仍需要较高的性能和比拟丰 富的功能。会聚层设备一般采用可管理的三层交换机或堆叠式交换机 以达到带宽和传输性能的要求。其设备性能较好，但价格高于接入层 设备，而且对环境的要求也较高，对电磁辐射

16、、温度、湿度和空气洁 净度等都有一定的要求。会聚层设备之间以与会聚层设备与核心层设 备之间多采用光纤互联，以提高系统的传输性能和吞吐量。用户访问 控制一般会安排在在接入层，但也可以安排在会聚层进展。在会聚层 实现安全控制和身份认证时，采用的是集中式的管理模式。当网络规 模较大时，可以设计综合安全管理策略，例如在接入层实现身份认证 和MAC地址绑定，在会聚层实现流量控制和访问权限约束。网络核心层是医院信息平台网络数据的骨干交换区域，各接入层数据经会聚层会聚后集中转发至核心层进展高速交换。 核心层的主要职为负责整个医院信息平台数据的高速转发， 相关的策略应该尽量 较少核心层由于是整个网络的核心，从

17、设备上来讲，需要在考虑高 性能，高稳定性的同时，充分考虑设备引擎、业务线卡、电源、风扇 等的冗余，同时需要具备的一定的抗攻击能力，如中央处理器保护能 力，根底网络保护能力；从架构上来讲，需要充分考虑核心层设备间 的冗余备份和负载均衡，利用MSTP/RSTP+VRRP术，自愈环网技术, 或者是通过更好的核心层设备的硬件虚拟化技术，实现设备级的冗余 备份，同时，在设计时还应充分考虑网络链路的冗余性和可靠性，提 高网络防灾能力。具体的设备选型如下：1.核心层设备建议选用高性能的万兆三层交换机，通过千兆链路与会聚层设备相连，通过万兆链路进展核心层互联。在设备选择上，应充分考虑设备自身的冗余性，如电源冗

18、余、引擎冗余、业务线 卡冗余、所有线卡与电源支持热拔插，同时应具备一定的自我保 护机制，如中央处理器保护机制，根底网络保护机制等。在网络 规划时，应充分考虑网络架构的冗余性设计，建议采用两台或两 台以上组成双核心或多核心环网，核心之间可进展冗余互备以与 负载分担，减小由于单核心造成的设备压力与单点故障。2. 会聚层设备建议选用性能较高，且具备丰富安全功能的全千兆三 层交换机，通过千兆与接入交换机以与核心交换机相连，同时会 聚交换机建议具备万兆扩展能力，方便后续网络升级。会聚层设 备需具备一定的稳定性，门诊区域建议采用双会聚设备，保证网 络高可靠。3. 建议内网中心服务器区、外网中心服务器区、安全网络控制区、数据灾备区、医技终端接入区、无线终端接入区采用全千兆二层 交换机作为接入设备，其他接入区域采用百兆二层交换机，千兆 上联。接入层交换机应选用智能网管型交换机，具备VLAN划分，二层访问控制列表，MSTPRSTP BPDUGUARJDBPDUFILTER DHCP Snooping，安全地址绑定，802.1x等功能。接入层交换机还应具 备良好的防雷击特性，由于医院信息平台对网络稳定性要求的特殊性，建议以太网接口具备高于国家标准的防雷击能力。同时能 在一定程度上抵抗网络攻击，如中央处理器保护，根底网络保护4. 出口设备应选择高性能路由器或专用