最新医院网络设计方案

精品文档精品文档第一章：需求分析1.1项目背景1.2用需求分析1.3信息点分布第二章：总体设计2.1设计原则与思路2.2设计目标2.3网络拓扑图2.4IP地址规划2.5VLAN划分第三章：详细设计3.1核心层设计3.2汇聚层设计3.3接入层设计3.4数据中心设计3.5互联网接入设计第四章:设计方案技术4.1冗余与负载均衡设计4.2路由设计4.3网络安全设计4.4网络管理与维护设计4.5虚拟专用网4.6在网络中部署QoS4.7可扩展性设计第五章：网络设备选型第六章：总结与鸣谢精品文档精品文档前言大多数医院信息化建设发展经历了从早期的单机单用户应用阶段，到部门级和全院级管理信息系统应用；从以财务、药品和管理为中心，开始向以病人信息为中心的临床业务支持和电子病历应用；从局限在医院内部应用，发展到区域医疗信息化应用尝试。近几年，随着以“以病人为中心，以提高医疗服务质量为主题”的医院管理年活动，各地医院纷纷加强信息化建设步伐。根据权威机构对医院信息化现状调查显示，以费用和管理为中心的全院网络化系统应用已经超过了80%。住院医生工作站系统，电子病历、全院PACS、无线查房、腕带技术、RFID、万兆网络、服务器集群、数据虚拟容灾等先进的系统和网络技术已经开始应用。医院通过信息化系统建设，优化就诊流程，减少患者排队挂号等候时间，实行挂号、检验、交费、取药等一站式、无胶片、无纸化服务，简化看病流程，杜绝“三长一短”现象，有效解决了群众“看病难”问题。现在中国医院信息化的发展，到了一个新的关口。2009年新医改方案公布，方案中把信息技术明确的列为支持医改成功实现的八个主要支柱之一，这是从未有过的事情，我国医疗卫生信息化面临从未有过的机遇与挑战。方案还明确要求启动建立居民健康档案和电子病历，实现医疗信息的整合、共享和交换，以缓解医疗信息化发展的不平衡，系统分割独立、连续性和协调性差，业务流程不统一等问题。医疗行业信息化正在走向如何利用信息化技术减少医疗差错，如何利用信息化技术进行医疗服务的创新，如何将分散的医疗资源整合，为患者提供更完善的服务的方向。锐捷网络作为国内领先的网络设备及解决方案供应商，始终致力于推动医疗信息化的发展，为促进我国公共卫生事业贡献自己的力量。在过去的几年中，锐捷网络在医院信息化建设，区域卫生信息化建设领域专注研究、探索、实践，不断完善产品及解决方案，使之服务于全国数百家大中型医院及医疗服务机构，定制的方案、可靠地产品、优质的服务得到了广大用户的认可和支持。精品文档精品文档第一章需求分析1.1项目背景本次院方新建了一栋6层的门诊大楼，我公司承担了新建大楼的内网部署，使之达到如今医疗系统对网络的普遍要求，网络整体高速稳定的运行，易于管理且安全可靠、实现了海量数据的高速传输以及可扩展性等。此外还要求建立医院与社保、医保、银行机构、干保系统的VPN连接。1.2用户需求分析（1）网络系统稳定性需求：能够保证整个网络的稳定、可靠，保证在单点故障的情况下不会对整个网络造成冲击，保证核心、骨干设备在出问题的时候能够无缝的恢复或切换。（2）网络传输性能需求：能够通过有效的网络带宽控制技术和服务质量保证技术，来满足医院对于不同数据传输的需要。（3）网络系统安全性需求：能够保证整个系统的保密性、完整性、可用性、可审核性。关键设备必须有备份系统且能够通过有效的手段控制和防御网络病毒的攻击。（4）网络系统管理维护需求：能够及时有效的发现网络中的异常流量，有效的控制网络设备，及时的对异常网络设备进行远程控制且操作简单、方便管理与维护。（5）远程接入需求：能够为医院外部特殊用户提供安全保密的信息，实现高速安全的广域网数据传输。1.3信息点分布新建楼栋(6层门诊大楼)信息点分布如下表。层数信息点数量1楼2楼3楼4楼5楼6楼精品文档精品文档表1-1新建门诊大楼信息点第二章总体设计2.1设计原则与思路（1）先进性世界上计算机技术的发展十分迅速，更新换代周期越来越短。所以，选购设备要充分注意先进性，选择硬件要预测到未来发展方向，选择软件要考虑开放性，工具性和软件集成优势。网络设计要考虑通信发展要求。（2）可靠性系统能长时间稳定可靠地运行，并保证系统安全，防止非法用户的非法访问。系统不能出现故障，或者说即使有设备出现故障，对网络和网上的数据不构成大的威胁，要有设备对数据作备份。（3）实用性系统的设计既要在相当长的时间内保证其先进性，还应本着实用的原则，在实用的基础上追求先进性，使系统便于联网，实现信息资源共享。易于维护管理，具有广泛兼容性，同时为适应企业的内部需求，员工的工作特性等。（4）安全性企业计算机网络都与外部网络互连互通日益增加，都直接或间接与国际互连网连接。企业的商业机密，员工资料，市场和销售信息等敏感信息关系到企业生存利害。因此，在系统方案设计需考虑到系统的可靠性、信息安全性和保密性的要求。（5）可扩充性系统规模及档次要易于扩展，可以方便地进行设备扩充和适应工程的变化，以及灵活进行软件版本的更新和升级，保护用户的投资。为将来系统的升级、扩展打下良好的基础。2.2设计目标（1）各楼层直接与？？楼的中心机房经过万兆单膜光纤互联，要求实现万兆骨干，千兆到桌面的全网设计；（2）网络核心，要求考虑采用双核心架构，万兆互联，充分考虑网络的稳定性与冗余，以及灾难恢复。精品文档精品文档（3）数据中心，位于门诊楼？？楼，拥有各类型的服务器？？台，要求配置一台专门的高端核心交换机/数据中心交换机，且双万兆链路与核心互联。（4）网络出口设计需要考虑四条出口，一是社保局的VPN出口，二是医保VPN出口，三是银行机构VPN出口、四是干保VPN出口，且各条VPN出口均是独立的电信或者联通线路。出口设计要求安全、可控。2.3网络拓扑图网络设计依照“万兆核心、千兆支干、千兆交换桌面”的要求采用三层结构，重要部分双链路冗余，双设备冗余，核心层采用两台RG-S8610系列交换机，门诊大楼汇聚层采用两台RG-S6506系列交换机，门诊大楼各层接入层采用RG-S2900系列可堆叠交换机，在数据中心部分采用两台RG-S5750系列交换机，除接入层到终端使用千兆以太网链路外，其他全部使用万兆光纤链路。除接入层到终端不进行冗余外，其他部分均有冗余。汇聚层、核心层互联均使用双万兆光纤聚合，数据中心到核心层链路也使用双万兆光纤聚合，整个网络使用锐捷SAM进行身份认证，Star-View进行网络设备管理。核心层旁部署RG-IDS2000用于审计整个网络，为各种事件提供证据。其数据也作为当前网络运行状况与后续网络扩充的参考。表2-1网络拓扑图精品文档精品文档2.4IP地址规划在网络IP规划中，网络设备（交换机、路由器等）使用192.168.0.0/24这个地址块，医院使用整个10.0.0.0/8私有地址块，应用服务器，验证和管理系统使用10.0.0.0-10.10.255.255这个网络块，IP地址池10.11.0.0-10.90.255.255均用于本地网络，按部门分配使用，多余部分保留，IP地址池10.91.0.0-10.100.255.255用于无线网络，对于可能的分院建设，预留10.101.0.0-10.150.255.255用于分院的IP，分院IP和总院IP统一编址，可实现通过VPN的站点到站点完全互访，即分院与总院在逻辑上就是一个大的整体网络。对于远程接入用户，使用10.151.0.0-10.160.255.255网段。总体如下表所示：IP段用途192.168.0.0/24网络设备（交换机、路由器等）10.0.0.0-10.10.255.255应用服务器10.11.0.0-10.90.255.255医院本地网络（按部门分配）10.91.0.0-10.100.255.255医院本地无线接入设备10.101.0.0-10.150.255.255医院分院建设10.151.0.0-10.160.255.255远程接入用户表2-2医院IP段规划在汇聚层交换机上建立IP池，开启DHCPServer，根据终端所属VLAN，动态分配楼栋各层的设备的IP。对于需要静态IP的设备，由管理员根据IP规划表手动配置。对于数据中心中需要被外部访问的设备的IP划分，需要被其他系统访问的设备均使用唯一的外网IP，在出口处不添加这些IP的路由，这样外网无法访问到这些设备，对于VPN连接进入的用户和站点到站点的VPN额外添加路由，使这些设备能被访问。医院拥有218.78.5.0/24这个外网IP块。按如下表单分配IP地址。设备名地址出口路由218.78.5.1/24出口防火墙218.78.5.5/24…………Web服务器218.78.5.11/24FTP服务器218.78.5.12/24邮件服务器218.78.5.13/24…………VPN(IPSec)218.78.5.101/24精品文档精品文档VPN(SSL)218.78.5.105/24……表2-3外网可访问设备IP规划2.5VLAN划分Vlan划分原则根据用户的工作部门划分vlan部门VLANID网络地址子网掩码网关服务器群VLAN110.1.0.0|10.1.255.255255.255.0.010.1.0.1……………门诊部VLAN1010.10.0.0|10.10.255.255255.255.0.010.10.0.1住院部VLAN1110.11.0.0︳10.11.255.255255.255.0.010.11.0.1……………网络设备VLAN520192.168.0.0︳192.168.255.255255.255.0.0192.168.0.1……………表2-3VLAN规划精品文档精品文档第三章详细设计3.1核心层设计大型医院网络的核心网主要完成整个医院内部不同部门之间的高速数据路由转发，以及维护全网路由的计算。鉴于大型医院的用户数量众多，业务复杂，QOS要求较高、以及对链接线缆和模块数量等要求较高的这些特点。本方案中核心部分采用两台RG-S8610交换机，通过两条万兆光纤互联，与楼栋汇聚层、数据中心、出口、IDS均采用万兆光纤互联且有冗余链路，保证了网络的高速与稳定。IDS采用RG-IDS2000S，RG-IDS2000S以旁路的方式在网络中部署，实时监测网络运行状况与网络安全。3.2汇聚层设计汇聚层网络主要完成医院内各部门内接入交换机的汇聚及数据交换和VLAN终结以及实施与安全、流量负载和路由相关的策略，在本方案中汇聚层采用两台RG-S6506交换机，各楼层接入层交换机都通过万兆光纤分别与这两台交换机相连，实现冗余。汇聚层交换机同时与核心层两台交换机万兆光纤互联。实现高速3.3接入层设计接入层网络主要完成为局域网接入广域网或者终端用户访问网络提供接入，在本方案中采用RG-S2900交换机。根据不同楼层可能的信息点增加情况，按该楼层整体接入点的10%-30%进行接口预留，用于扩充，若进行更大规模的信息点增加，则需购置新的模块或设备。接入层交换机同时与一楼两台汇聚层交换机通过万兆光纤相连。实现高速、稳定。RG-S2951XG每台有48个千兆以太网口。一楼共？？个信息点，除去？？台各种服务器之后剩余？？个信息点，经计算各楼层需要的交换机数量如下表。表3-1各楼层所需交换机数量楼层123456数量精品文档精品文档3.4数据中心设计门诊大楼数据中心汇聚在RG-S5750，外连RG-WALL1600后到网络核心层，数据中心流量较大，因此通过双万兆链路与核心层相连，且有冗余链路。使用了两台WALL1600防火墙保证数据中心的高安全。数据中心有各种应用服务器，SAM身份认证系统，START-VIEW设备管理系统，RG-WS5708无线控制器，同时有一套存储系统。3.5互联网接入设计出口处使用了RSR50路由器与RG-WALL1600防火墙。出口处仅使用了一个防火墙，若万一设备故障，此级防火墙防护失效，但数据中心防护仍在，网络数据中心的安全性不会降低，且网络有其他安全策略，仍旧保证了整个网络有足够的安全性。出口做策略路由，出口网通流量走网通线路，其他出口流