《医院网络架构设计与实现》.docx

医院网络架构设计与实现医院网络架构设计与实现［摘要］随着医院信息化进程的深入，医院信息平台的运行将越 来越依赖基础网络的建设网络成为医院各种关键数据的信息进 行交互和传递的重要途径多种网络架构拥有各白的优势与不 足，下面就我对其的认识作出阐述和选择一种合适的网络基础架 构［关键字］内外网融合，内外网分离，结合医院的网络基础架构发展至今，主要分为三种架构，分别是 内外网融合的网络架构、内外网分离的网络架构、以及最近几年 刚刚兴起的基于业务的无线网络平台架构，这是和医疗信息化的 发展阶段分不开的内网外网的概念为逻辑上的划分，两种实际 的物理架构中，逻辑上均包含内网和外网两部分划分主要根据 业务系统的对内对外服务属性，医疗核心业务相关度等特性来进 行首先先来简单认识一下内外网融合的网络架构、内外网分离 的网络架构和无线网络平台架构和基于业务的无线网络平台架构 以及她们的优缺点比较内外网融合的物理架构：就是医院的内网业务以及办公业务都 在一张基础网络上运行，在这一网络架构之上，无论是数据的类 型、重要程度，还是对网络的要求，以及数据流方向都不尽相 同，使得网络数据复杂度提高而可控性下降从介绍可知，所有业务都在一张基础网上，缺点明显可知，两网仅逻辑隔离，外网 对设备的攻击可能引起内外网络全面瘫痪。

优点则是 ：能够保护投资，而且能够根据需要让某部分终端能够同时访问两个区域，而 且内外网融合所需设备相对较少，在维护和购买设备方面都很大 程度上减少了成本内外网分离的网络架构：就是将医院的内网和外网业务分别放 在一张单独建立的网络上来运行，两网物理隔离，最大限度的保 障内网业务及数据的安全内网主要承载医疗核心业务，如 HIS、PACS等外网作为行政办公、对外发布、互联网医学资料查询的 主要平台，对于稳定性和保密的性的要求低于内网，而且接入终 端及数据流特点也更为复杂优点：内外网无共用设备和链路， 两网之间互不影响此种网络架构设计，能够最大程度保证内网 安全缺点：由于内外网完全物理隔离， 两张网络单独建设，投资规模增大；灵活性稍弱，一台终端只属于一张网，不能同时对 两网资源进行访问，也不能白由切换；需要管理两张网络，增加 管理成本无线网络与上述两种相比大大不同，它是采用无线传输媒介 的计算机网络，结合了最新的计算机网络技术和无线通信技术 首先，无线局域网是有线局域网的延伸使用无线技术来发送和 接收数据，减少了用户的连线需求由于采用无线信号通讯，在 网络接入方面就更加灵活了，只要有信号就能够经过无线网卡完 成网络接入的目的；同时网络管理者也不用再担心交换机或路由 器端口数量不足而无法完成扩容工作了。

可是无线网络初次建设 成本较高，很多条件不是很好的医院都无法实现；部署时需要改 动现有网络结构，对原网络进行调整，增加初次部署复杂度，随 着无线网络带宽以及传输数据的增加，无线网络可能会给有线网 络设备造成额外的压力当前我们根本不可能完全抛弃有线部署架构，因此从普遍性 上来讲，先考虑采用内外网融合的网络架构 或 内外网分离的网络架构随着一些网络新技术的应用，使得内外网融合的物理架 构也具备了内外网分离的特点，典型应用是经过 MPLS( Multiprotocol Label Switching ) VPN技术以及安全控制域的划分， 在逻辑上将一张物理网络虚拟化成几张逻辑网络，逻辑网络之间 经过VPN技术进行隔离，逻辑网络内经过安全域控制不同级别用 户的访问权限，在保证网络安全，稳定，高效，可控的同时，最 大限度的保护投资，降低医院信息化建设的门槛 因此接下来主要阐述内外网融合的网络架构首先先要了解医院网络分层及其功能分区，如图：网络 安全 管理内网中心服务器区；HIS. LIS, EMR, PACS（DMZ区）外网中心服务器 区：外网0A,外网WEB,MA IL等数据 中心数据灾备区骨干网络区医疗专网出口区互联网出口区门诊终端住院终端医技终端 无线终端 行政终端接入建矣终端接入医院网络主要分为两层机构：数据中心层和终端接入层。

各区域的界限以及作用范围：1. 内网中心服务器区医院信息平台上内网所有的应用服务器、数据库服务器、中间件服务器、数据存储设备等一切内网业务系统相关设备的集中连接区域，是整个医院业务的核心例如，内网中心服务器区域是 HIS系统、LIS系统，PACS系统，EMR系统等所在的区域2. 外网中心服务器区（DMZ区）医院信息平台上外网所有的应用服务器、数据库服务器、中间件服务器、数据存储设备等一切外网业务系统相关设备的集中连接区域例如，外网中心服务器区是医院外网 OA服务器，外网WEB服务器，MAIL服务器等所在的区域3. 数据灾备区该区域是HIS、电子病历、医学影像系统，等数据中心子系统的灾备区域，一般该区域为院内灾备区域，经过高速链路直接与核心交换机相连，实现业务系统与灾备区域数据实时的同步4. 骨干网络区主要负责医院信息平台上数据中心区域内各服务器区之间的互联，以及数据中心区与终端接入区之间的互联或汇聚互联，该区域的主要功能为实现局域网内数据的高速处理和转发远程链路汇聚主要采用高性能的路由器、 VPN网关服务器HIS系统、LIS系统、EMR系统、PACS系统、网络安全管理系统等模块主要经过万兆平台及其以上的高性能三层交换机进行连接。

4. 医疗专网出口区该区域主要功能为为医疗信息平台提供医疗专网的接入服务，医疗专网包含的主要内容包括：医疗行业上级单位，疾控直报网络，公共卫生突发预警系统，公安局，区域医疗卫生信息平台等医疗专网出口为医院信息平台提供了与其它医疗信息平台及上级主管机构信息交互的安全高效的通道，是连接医院信息孤岛，整合医疗信息网络的重要部分这部分出口主要经过专线连接，最好能够提供冗余的出口线路5. 互联网出口区该区域是为下载医学相关资料，获取互联网海量信息而提供的安全的Internet 出口，也是医院门户网站，对外服务系统对公众社会提供服务的出口区域，该区域由于与广域网链路相连，外部网络环境较为复杂，存在较大的风险隐患，因此是安全防护的重点区域该区域主要由高性能路由器、防毒墙、防火墙、流控设备、VPN设备、上网行为管理设备，网站保护系统等组成6. 网络安全管理区医院信息平台数据中心内保障整体信息平台安全、稳定运行的安 全管理运维系统的连接区域如证书服务器、身份认证、漏洞扫 描、入侵检测、网络管理等乙各终端接入区主要提供挂号，缴费以及各类行政方面的服务在定位上，内外网融合的网络架构，将所有功能区域都放到一张网络上，物理上联通，经过防火墙，三层设备访问控制列表，二层设备VLAN划分，来达到两网逻辑隔离，网络服务互不影响的目的。

经过二层隔离，三层隔离，安全域划分， MPLS VPN技术等来逻辑隔离网络，保证网络安全之前也提到了经过 MPLS( Multi-Protocol LabelSwitching ) VPN技术以及安全控制域的划分，能够使内外网融 合架构同时拥有内外网分离架构的特点，得两网虽在一张网上， 但运行于各白不同的逻辑通道中，彼此之间互不可见；同时能够 经过安全控制域的划分，让主机在接入时动态选择要进入的安全 域，保证域内访问安全；就设备而言，经过设备本身的一些抗攻 击机制，如中央处理器保护机制，网络基础设计保护机制来达到合理分配交换机硬件资源，满足不同场合应用的目的这样就在一定程度上弥补了融合架构的不足在内外网融合的架构中，又包含两种子架构，分别是内外网 融合二层网络架构和内外网融合三层网络架构这两种架构都有 其各白的区别及特点二层网络架构，即全网接入层直接连接到核心或经过一个二 层设备转连接至核心其特点是：全网拓扑简单，所有终端的网 管位于核心交换机上，核心交换机经过 MSTP ( Multi-ServiceTransfer Platform ) +VRRP( Virtual RouterRedundancy Protocol )、环网技术或者硬件虚拟化技术进行部署，增加冗余 性和鲁棒性，但容易造成核心交换机压力较大，易受到到来白各 个区域终端的攻击，导致网络动荡，网络稳定性下降。

三层网络架构，即全网严格分为核心、汇聚、接入三层，接 入层主要负责接入控制、VLAN划分以及二层网络的隔离与互通等 功能；汇聚层设备作为各汇聚区域的网关，进行三层网络访问控 制，减轻核心交换压力，分割网络动荡区域，使得局部的问题不 影响全局，汇聚层之上经过三层接口与核心交换机进行互联，运 行动态或静态路由协议，提高网络白愈能力；核心层交换机主要 负责高速的三层转发，由于已在汇聚层上进行控制域划分，此时 核心层启用的策略更少，性能更高，风险降低基于其各白的优势，针对不同区域往往两种架构共同使用， 形成二三层混合架构例如将医技终端接入区与核心共同组成二层架构，而行政接入区则经过核心 -汇聚-接入形成三成架构，将 其网关下移至汇聚交换机，降低该区域对骨干网络的影响参照图片对网络架构的实现分析如下:1. 接入层设计接入层是医院信息平台上所有设备的边缘接入网络，是将终端接 入网络的边缘，也是对终端用户进行访问控制和隔离的边缘，是 网络安全边缘前移和全局网络安全的基础接入层网络设备主要 由二层以太网交换机和无线接入点等设备组成，其中二层以太网 交换机主要是为有线设备提供网络控制和接入作为医院信息平 台的安全接入设备，接入层交换机应选用智能网管型交换机，具 备VLAN划分，端口隔离，安全地址绑定，抗攻击， QoS防雷击等功能，支持标准的802.1x访问控制，支持标准的SNM响单网 络管理协议，支持 DHCP-Snooping等功能，支持标准的 RSTP(Rapid Spaning TreeProtocol ) , MSTP( Multi-Service Transfer Platform )生成树协议。

接入层的设计需要充分考虑设备的稳定性、安全性、冗余性 和高性能，上联至数据中心的链路尽量使用双链路上联，经过生 成树协议生成无环拓扑，避免广播风暴，保证终端设备稳定，安 全，高速的接入医院信息网络平台2. 汇聚层设计汇聚层是连接接入层与核心层之间的网络层，为接入层提供 数据的汇聚，传输，管理，分发处理，集中接入层流量，再转发 至核心层的功能，是局域网中隔离动荡的控制点，也是区域网络 流量上收的关键点汇聚层为接入层提供基于策略的连接 ，如地址合并，协议过滤，路由服务，认证管理等经过网段划分(如VLAN) 与网络隔离能够防止某些网段的问题蔓延和影响到核心层汇聚 层同时也能够提供接入层虚拟网之间的互连，控制和限制接入层 对核心层的访问，保证核心层的安全和稳定汇聚层设计为连接本地的逻辑中心，仍需要较高的性能和比 较丰富的功能汇聚层设备一般采用可管理的三层交换机或堆叠 式交换机以达到带宽和传输性能的要求其设备性能较好，但价 格高于接入层设备，而且对环境的要求也较高，对电磁辐射、温 度、湿度和空气洁净度等都有一定的要求汇聚层设备之间以及 汇聚层设备与核心层设备之间多采用光纤互联，以提高系统的传输性能和吞吐量。

用户访问控制一般会安排在在接入层，但也能 够安排在汇聚层进行在汇聚层实现安全控制和身份认证时，采 用的是集中式的管理模式当网络规模较大时，能够设计综合安 全管理策略，例如在接入层实现身份认证和 MAC地址绑定，在汇聚层实现流量控制和访问权限约束3. 网络核心层网络核心层是医院信息平台网络数据的骨干交换区域，各接 。