醫(yī)院網(wǎng)絡(luò)建設(shè)內(nèi)外網(wǎng)合與分之優(yōu)化方案

梁富宏，柯金偉，陳玲莉，楊威，薛新軍，施毅

（浙江和仁科技股份有限公司）

醫(yī)院網(wǎng)絡(luò)建設(shè)內(nèi)外網(wǎng)合與分之優(yōu)化方案

梁富宏，柯金偉，陳玲莉，楊威，薛新軍，施毅

（浙江和仁科技股份有限公司）

通過(guò)綜合運(yùn)用綜合布線系統(tǒng)、網(wǎng)絡(luò)交換系統(tǒng)、網(wǎng)絡(luò)安全系統(tǒng)等網(wǎng)絡(luò)相關(guān)系統(tǒng)主流技術(shù)及相關(guān)高級(jí)特性，在醫(yī)院網(wǎng)絡(luò)建設(shè)內(nèi)外網(wǎng)分開和內(nèi)外網(wǎng)合一的通行做法中，以綜合布線系統(tǒng)維護(hù)、網(wǎng)絡(luò)設(shè)備投入與維護(hù)、信息共享與安全為著眼點(diǎn)，結(jié)合多年網(wǎng)絡(luò)規(guī)劃、實(shí)施經(jīng)驗(yàn)，提出一種新的思路并對(duì)部分實(shí)施的關(guān)鍵細(xì)節(jié)進(jìn)行論述，在成本、安全、維護(hù)等方面取得一個(gè)平衡點(diǎn)，據(jù)此可以削減部分設(shè)備投入，提高醫(yī)院網(wǎng)絡(luò)的可維護(hù)性，網(wǎng)絡(luò)安全亦得到保障，同時(shí)減輕醫(yī)院IT人員的工作量。

醫(yī)院網(wǎng)絡(luò)；內(nèi)網(wǎng)；外網(wǎng)；布線系統(tǒng)；網(wǎng)絡(luò)結(jié)構(gòu)；網(wǎng)絡(luò)規(guī)劃；VLAN隔離；安全隔離

1 引言

在醫(yī)院、政府等領(lǐng)域的網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)中，經(jīng)常會(huì)提到內(nèi)網(wǎng)、外網(wǎng)、專網(wǎng)等概念，與平時(shí)所說(shuō)的內(nèi)網(wǎng)、公網(wǎng)、外網(wǎng)等概念有所區(qū)別。在教材中，內(nèi)網(wǎng)一般是指單位內(nèi)部、園區(qū)內(nèi)部的計(jì)算機(jī)網(wǎng)絡(luò)；外網(wǎng)、公網(wǎng)一般指互聯(lián)網(wǎng)。但對(duì)醫(yī)院、政府等單位的網(wǎng)絡(luò)系統(tǒng)而言，內(nèi)網(wǎng)是指單位內(nèi)部的關(guān)鍵業(yè)務(wù)網(wǎng)，通常與互聯(lián)網(wǎng)物理隔離，供內(nèi)部人員訪問(wèn)單位自身的業(yè)務(wù)系統(tǒng)；外網(wǎng)是指單位內(nèi)部的非關(guān)鍵業(yè)務(wù)網(wǎng)，通常經(jīng)路由器、防火墻等設(shè)備與互聯(lián)網(wǎng)連接，供內(nèi)部人員訪問(wèn)互聯(lián)網(wǎng)使用；專網(wǎng)是指政府內(nèi)部某些部門的專有網(wǎng)絡(luò)，比如機(jī)要網(wǎng)、設(shè)備專用網(wǎng)等。具體定義如下：

1）醫(yī)院內(nèi)網(wǎng)，是指承載醫(yī)院信息化業(yè)務(wù)應(yīng)用系統(tǒng)的網(wǎng)絡(luò)，為HIS、PACS、LIS等醫(yī)療業(yè)務(wù)系統(tǒng)提供基礎(chǔ)網(wǎng)絡(luò)環(huán)境，是關(guān)鍵業(yè)務(wù)網(wǎng)絡(luò)；

2）醫(yī)院外網(wǎng)，是指為醫(yī)院醫(yī)護(hù)人員、患者提供互聯(lián)網(wǎng)接入服務(wù)的網(wǎng)絡(luò)，是非關(guān)鍵業(yè)務(wù)網(wǎng)絡(luò)；

3）內(nèi)外網(wǎng)合一，是指醫(yī)院只建設(shè)一套網(wǎng)絡(luò)，承載醫(yī)院信息化業(yè)務(wù)應(yīng)用系統(tǒng)，同時(shí)為醫(yī)護(hù)人員、患者提供互聯(lián)網(wǎng)接入服務(wù)；

4）內(nèi)外網(wǎng)分開，是指醫(yī)院建設(shè)兩套網(wǎng)絡(luò)，一套為內(nèi)網(wǎng)，用于承載醫(yī)院信息化業(yè)務(wù)應(yīng)用系統(tǒng)；一套為外網(wǎng)，用于為醫(yī)護(hù)人員、患者提供互聯(lián)網(wǎng)接入服務(wù)。

當(dāng)前的醫(yī)院網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)，內(nèi)外網(wǎng)分開和內(nèi)外網(wǎng)合一都有其存在的理由，業(yè)界并無(wú)統(tǒng)一意見。

2 醫(yī)院網(wǎng)絡(luò)需求

關(guān)于醫(yī)院網(wǎng)絡(luò)建設(shè)需求，經(jīng)過(guò)這么多年的發(fā)展、實(shí)踐，已經(jīng)比較清晰，這里簡(jiǎn)單列舉幾條：

1）醫(yī)護(hù)人員訪問(wèn)互聯(lián)網(wǎng);

2）患者及家屬訪問(wèn)互聯(lián)網(wǎng);

3）承載醫(yī)院信息化業(yè)務(wù)應(yīng)用系統(tǒng);

4）對(duì)接各級(jí)醫(yī)療保險(xiǎn)系統(tǒng);

5）醫(yī)院提供網(wǎng)上服務(wù)，包括：網(wǎng)上預(yù)約；網(wǎng)上掛號(hào)；網(wǎng)上查看化驗(yàn)結(jié)果；遠(yuǎn)程醫(yī)療；遠(yuǎn)程辦公。

3 合與分優(yōu)劣分析

3.1 內(nèi)外網(wǎng)分開

內(nèi)外網(wǎng)分開，是指醫(yī)院的內(nèi)網(wǎng)和外網(wǎng)物理上分開，科室里面的信息點(diǎn)明確標(biāo)識(shí)內(nèi)網(wǎng)點(diǎn)、外網(wǎng)點(diǎn)；樓層設(shè)備間里面的線纜也分開，接入不同的配線機(jī)柜或者同一機(jī)柜的不同區(qū)域，比如靠上是內(nèi)網(wǎng)區(qū)，靠下是外網(wǎng)區(qū)；交換機(jī)也分為內(nèi)網(wǎng)交換機(jī)和外網(wǎng)交換機(jī)；主干光纜也分內(nèi)網(wǎng)主干和外網(wǎng)主干；核心交換機(jī)、路由器、防火墻、服務(wù)器等設(shè)備也都全部分開?？傊仟?dú)立的兩套系統(tǒng)。其優(yōu)點(diǎn)有：

1）內(nèi)網(wǎng)為關(guān)鍵業(yè)務(wù)網(wǎng)，僅供相關(guān)人員接入，管理得好，安全上較有保障；

2）內(nèi)外網(wǎng)物理分開，即便內(nèi)網(wǎng)有些漏洞或者配置失誤，不易被人利用；

3）外網(wǎng)濫用，對(duì)內(nèi)網(wǎng)不構(gòu)成威脅。

其缺點(diǎn)有：

1）布線系統(tǒng)維護(hù)較為復(fù)雜，由于項(xiàng)目建設(shè)完成時(shí)，布線系統(tǒng)均已按照當(dāng)時(shí)的需求配線、理線完畢，眾多線纜已經(jīng)捆扎、固定。如果后期想將內(nèi)網(wǎng)點(diǎn)改成外網(wǎng)點(diǎn)或者外網(wǎng)點(diǎn)改成內(nèi)網(wǎng)點(diǎn)，需要重新跳線到相應(yīng)的內(nèi)外網(wǎng)交換機(jī)，重新理線，如果手法不專業(yè)，久而久之，必將引起配線混亂；布線系統(tǒng)維護(hù)需要投入更多的人力物力；

2）終端維護(hù)較為困難，雖然現(xiàn)在很多項(xiàng)目，會(huì)用不同的顏色標(biāo)識(shí)內(nèi)網(wǎng)點(diǎn)和外網(wǎng)點(diǎn)，然而對(duì)醫(yī)護(hù)人員來(lái)說(shuō)，仍然可能混淆內(nèi)外網(wǎng)點(diǎn)，從而出現(xiàn)差錯(cuò)；

3）部分科室人員的計(jì)算機(jī)需要重復(fù)投入，內(nèi)外網(wǎng)各一臺(tái)；

4）醫(yī)院部分業(yè)務(wù)對(duì)互聯(lián)網(wǎng)用戶開放是一種趨勢(shì)，比如網(wǎng)上預(yù)約、網(wǎng)上掛號(hào)、網(wǎng)上查看檢查結(jié)果等，這些需要將數(shù)據(jù)從內(nèi)網(wǎng)引入外網(wǎng)，采用什么樣的技術(shù)手段，既能維持內(nèi)外網(wǎng)分開運(yùn)行，又能方便地進(jìn)行數(shù)據(jù)共享，這需要仔細(xì)斟酌；

5）醫(yī)院一般都是內(nèi)網(wǎng)點(diǎn)遠(yuǎn)多于外網(wǎng)點(diǎn)，由于布線系統(tǒng)設(shè)計(jì)及日后設(shè)備采購(gòu)、維護(hù)的需要，內(nèi)外網(wǎng)設(shè)備系列、型號(hào)基本一致，勢(shì)必導(dǎo)致設(shè)備利用率低下，比如某些設(shè)備間覆蓋的外網(wǎng)點(diǎn)只有幾個(gè)，然而也需要配備獨(dú)立的主干光纖、交換機(jī)等；

6）防火墻、路由器、網(wǎng)絡(luò)管理軟件等部件重復(fù)投入；

7）內(nèi)網(wǎng)為關(guān)鍵業(yè)務(wù)網(wǎng)，但遠(yuǎn)程維護(hù)等相關(guān)管理功能比較難以開展，不利于提高系統(tǒng)維護(hù)效率。

3.2 內(nèi)外網(wǎng)合一

內(nèi)外網(wǎng)合一，是指醫(yī)院的內(nèi)網(wǎng)和外網(wǎng)物理上合為一體，只有獨(dú)立的一套系統(tǒng)，關(guān)鍵業(yè)務(wù)系統(tǒng)和非關(guān)鍵業(yè)務(wù)系統(tǒng)混雜在一起。其優(yōu)點(diǎn)有：

1）布線系統(tǒng)維護(hù)簡(jiǎn)單，信息點(diǎn)功能改變時(shí)只需在交換機(jī)上調(diào)整，不需改動(dòng)物理線路；

2）不存在內(nèi)外網(wǎng)數(shù)據(jù)共享困難的問(wèn)題；

3）終端用戶面對(duì)一張網(wǎng)絡(luò)，無(wú)需區(qū)分內(nèi)外網(wǎng)，避免混淆問(wèn)題；

4）防火墻、路由器、網(wǎng)絡(luò)管理系統(tǒng)等關(guān)鍵設(shè)備，無(wú)需分開投入，成本較低，設(shè)備利用率較高；

5）網(wǎng)絡(luò)設(shè)備維護(hù)較為方便，特別是遠(yuǎn)程維護(hù)更加容易開展，可以靈活開展多種系統(tǒng)維護(hù)工作，提高故障處理效率；

其缺點(diǎn)有：

1）計(jì)算機(jī)病毒防范要求更高；

2）計(jì)算機(jī)木馬泛濫，需提防對(duì)醫(yī)院業(yè)務(wù)系統(tǒng)有意/無(wú)意的侵害；

3）網(wǎng)絡(luò)安全需要投入更多精力；

4）業(yè)務(wù)系統(tǒng)混雜在一起，由于接入互聯(lián)網(wǎng)的終端可能引入病毒、木馬等安全隱患，需要網(wǎng)絡(luò)管理部門在網(wǎng)絡(luò)安全方面投入更多，并對(duì)業(yè)務(wù)系統(tǒng)的安全隔離做更加細(xì)致的工作；

5）需要大量訪問(wèn)控制列表，而訪問(wèn)控制列表的編寫、測(cè)試、改動(dòng)是非常麻煩的事情；

6）外網(wǎng)濫用，可能在安全、性能上對(duì)業(yè)務(wù)系統(tǒng)造成壓力。

4 新的架構(gòu)

我們?cè)诙嗄甑尼t(yī)院網(wǎng)絡(luò)項(xiàng)目建設(shè)過(guò)程中，接觸了很多內(nèi)外網(wǎng)分開和內(nèi)外網(wǎng)合一的業(yè)主，體會(huì)到其中的困惑與憂慮。也嘗試提出一些建議，得到部分業(yè)主的認(rèn)同，并加以實(shí)施。

我們分析了內(nèi)外網(wǎng)分開和內(nèi)外網(wǎng)合一的優(yōu)劣，考慮到業(yè)務(wù)系統(tǒng)的應(yīng)用趨勢(shì)，對(duì)內(nèi)外網(wǎng)合一的架構(gòu)做了優(yōu)化，形成一種新的醫(yī)院網(wǎng)絡(luò)架構(gòu)，為了表述方便，姑且稱為Y型架構(gòu)。

4.1 Y型架構(gòu)出發(fā)點(diǎn)

Y型架構(gòu)主要基于以下幾點(diǎn)進(jìn)行考慮：

1）解決網(wǎng)絡(luò)建成后，后續(xù)維護(hù)造成布線系統(tǒng)混亂的問(wèn)題；

2）減少網(wǎng)絡(luò)需求變更對(duì)布線系統(tǒng)的改動(dòng)；

3）減少維護(hù)人員的簡(jiǎn)單重復(fù)工作量，將更多精力投入網(wǎng)絡(luò)應(yīng)用保障工作；

4）在不考慮電磁輻射等物理層面的安全問(wèn)題前提下，提高醫(yī)院業(yè)務(wù)系統(tǒng)的安全性并減少醫(yī)院投入；

5）規(guī)避物理隔離的概念，解決內(nèi)外網(wǎng)之間信息共享與安全隔離的矛盾；

6）醫(yī)護(hù)人員的日常業(yè)務(wù)工作，對(duì)互聯(lián)網(wǎng)依賴性比較小，因此對(duì)分布接入層的性能需求較低，不會(huì)對(duì)內(nèi)網(wǎng)性能需求產(chǎn)生太多影響；

7）行政辦公及后勤人員的日常工作對(duì)互聯(lián)網(wǎng)依賴性相對(duì)較大，但該區(qū)域的醫(yī)護(hù)人員較少，對(duì)內(nèi)網(wǎng)性能需求較低，綜合起來(lái)對(duì)分布接入層的性能影響不會(huì)太大；

8）外網(wǎng)出口一般以10M/100M為主，分?jǐn)偟饺?，各網(wǎng)絡(luò)主干上的外網(wǎng)數(shù)據(jù)流不會(huì)太大，對(duì)千兆/萬(wàn)兆主干網(wǎng)來(lái)說(shuō)，比例很小，不會(huì)成為網(wǎng)絡(luò)擁塞的關(guān)鍵因素；

9）外網(wǎng)依附在內(nèi)網(wǎng)上，內(nèi)網(wǎng)是主導(dǎo)。

4.2 Y型架構(gòu)水平布線

Y型架構(gòu)的綜合布線系統(tǒng)只需一套，從這點(diǎn)來(lái)說(shuō)，類似內(nèi)外網(wǎng)合一的架構(gòu)。綜合布線系統(tǒng)設(shè)計(jì)時(shí)，按需求進(jìn)行內(nèi)外網(wǎng)信息點(diǎn)布點(diǎn)，并分開統(tǒng)計(jì)，工作區(qū)的點(diǎn)位可以使用可變標(biāo)簽標(biāo)識(shí)內(nèi)外網(wǎng)，在后續(xù)使用過(guò)程中，變更量不會(huì)太大，內(nèi)外網(wǎng)信息點(diǎn)進(jìn)行標(biāo)識(shí)更容易維護(hù)。IDF水平布線打線時(shí)，內(nèi)外網(wǎng)分開，但又連成一體，先內(nèi)網(wǎng)后外網(wǎng)，這樣內(nèi)外網(wǎng)點(diǎn)位集中，方便識(shí)別、維護(hù)，交換機(jī)端口配置比較清晰。

4.3 Y型架構(gòu)主干布線

Y型架構(gòu)中，內(nèi)網(wǎng)是主導(dǎo)，主干布線系統(tǒng)以內(nèi)網(wǎng)需求為準(zhǔn)進(jìn)行設(shè)計(jì)，內(nèi)外網(wǎng)數(shù)據(jù)合用主干線路。

4.4 Y型架構(gòu)接入層

Y型架構(gòu)的接入層交換機(jī)內(nèi)外網(wǎng)合用，以該IDF的內(nèi)外網(wǎng)信息點(diǎn)合計(jì)數(shù)量來(lái)設(shè)計(jì)接入交換機(jī)數(shù)量，并以內(nèi)網(wǎng)的需求來(lái)設(shè)計(jì)IDF上聯(lián)端口。

接入層交換機(jī)的管理VLAN歸入內(nèi)網(wǎng)，根據(jù)內(nèi)外網(wǎng)信息點(diǎn)跳線的情況，將相應(yīng)的交換機(jī)端口歸入各自的內(nèi)外網(wǎng)VLAN，即通過(guò)VLAN號(hào)區(qū)分內(nèi)外網(wǎng)。

內(nèi)外網(wǎng)信息點(diǎn)功能變更時(shí)，比如外網(wǎng)點(diǎn)改成內(nèi)網(wǎng)點(diǎn)或者內(nèi)網(wǎng)點(diǎn)改成外網(wǎng)點(diǎn)，物理上不需要改動(dòng)，僅需將該信息點(diǎn)所在交換機(jī)端口所屬的VLAN號(hào)進(jìn)行相應(yīng)的變更即可，從而避免內(nèi)外網(wǎng)分開引發(fā)的弊端。

4.5 Y型架構(gòu)匯聚層

Y型架構(gòu)的匯聚層交換機(jī)內(nèi)外網(wǎng)合用，通過(guò)VLAN號(hào)區(qū)分內(nèi)外網(wǎng)，交換機(jī)管理VLAN歸入內(nèi)網(wǎng)，以內(nèi)網(wǎng)的需求來(lái)設(shè)計(jì)匯聚交換機(jī)的配置、性能、上聯(lián)端口和下聯(lián)端口等。

當(dāng)內(nèi)網(wǎng)規(guī)模較大，需要做三層匯聚時(shí)，僅允許內(nèi)網(wǎng)VLAN在匯聚交換機(jī)終結(jié)，外網(wǎng)VLAN號(hào)只能從匯聚交換機(jī)透?jìng)鳎辉试S在此終結(jié)。

4.6 Y型架構(gòu)核心層

Y型架構(gòu)需要將內(nèi)外網(wǎng)核心分開，以內(nèi)網(wǎng)的需求來(lái)設(shè)計(jì)內(nèi)網(wǎng)核心層的架構(gòu)、設(shè)備性能及配置等，以外網(wǎng)的需求來(lái)設(shè)計(jì)外網(wǎng)核心層的架構(gòu)、設(shè)備性能及配置等。

為了解決內(nèi)外網(wǎng)信息共享問(wèn)題，需要在核心層考慮信息共享的方式及技術(shù)，據(jù)此調(diào)整內(nèi)外網(wǎng)核心層設(shè)備的清單、配置，比如外網(wǎng)VLAN號(hào)需要從內(nèi)網(wǎng)核心交換機(jī)透?jìng)鞯酵饩W(wǎng)核心交換機(jī)，必然導(dǎo)致內(nèi)外網(wǎng)核心交換機(jī)之間需要互連，而需要增加相應(yīng)的模塊、端口、線纜等。

核心層的關(guān)鍵點(diǎn)在于分離并終結(jié)內(nèi)外網(wǎng)的VLAN。內(nèi)網(wǎng)核心交換機(jī)允許內(nèi)網(wǎng)VLAN終結(jié)，而僅允許外網(wǎng)VLAN透?jìng)?，不允許外網(wǎng)VLAN終結(jié)。內(nèi)網(wǎng)核心交換機(jī)與外網(wǎng)核心交換機(jī)互連的端口，僅允許外網(wǎng)VLAN通過(guò)。外網(wǎng)核心交換機(jī)僅允許外網(wǎng)VLAN進(jìn)入并終結(jié)。

4.7 Y型架構(gòu)IP規(guī)劃

Y型架構(gòu)的IP規(guī)劃，需要做兩套，一套內(nèi)網(wǎng)，一套外網(wǎng)，從這個(gè)層面講，類似于內(nèi)外網(wǎng)分開的架構(gòu)。內(nèi)外網(wǎng)的IP規(guī)劃，參照內(nèi)外網(wǎng)分開的架構(gòu)，各自按自己的需求進(jìn)行。需要注意的是：內(nèi)網(wǎng)IP規(guī)劃，覆蓋接入層、匯聚層、核心層設(shè)備；而外網(wǎng)IP規(guī)劃僅限于核心層，匯聚層、接入層僅為外網(wǎng)數(shù)據(jù)提供二層通道。

從OSI七層模型上看，內(nèi)外網(wǎng)僅在物理層合并，數(shù)據(jù)鏈路層及以上均隔離，內(nèi)外網(wǎng)不能直接通信。

5 實(shí)踐細(xì)節(jié)

為了方便大家更加深入地理解Y型架構(gòu)，并對(duì)它的可操作性有所了解，下面將從布線、設(shè)備、規(guī)劃幾方面介紹一下。

5.1 布線系統(tǒng)

1）布線系統(tǒng)設(shè)計(jì)時(shí)，按照內(nèi)外網(wǎng)需求分別布點(diǎn)、統(tǒng)計(jì)，并以IDF為單位合計(jì)；

2）以IDF為單位，計(jì)算配線架、理線架、模塊等布線產(chǎn)品的數(shù)量；

3）以內(nèi)網(wǎng)的拓?fù)浣Y(jié)構(gòu)，設(shè)計(jì)主干布線系統(tǒng)；

4）建設(shè)時(shí)內(nèi)外網(wǎng)分區(qū)連續(xù)打線；

5）建設(shè)時(shí)內(nèi)外網(wǎng)分區(qū)連續(xù)跳線。

5.2 網(wǎng)絡(luò)設(shè)備

1）以IDF合計(jì)的點(diǎn)位表，計(jì)算接入層交換機(jī)的數(shù)量及附件；

2）以內(nèi)網(wǎng)的拓?fù)浣Y(jié)構(gòu)，設(shè)計(jì)接入層、匯聚層；

3）按照內(nèi)網(wǎng)的需求，設(shè)計(jì)內(nèi)網(wǎng)核心交換機(jī)、防火墻、路由器等內(nèi)網(wǎng)核心設(shè)備，注意：接入層、匯聚層接入內(nèi)網(wǎng)核心交換機(jī)；

4）按照外網(wǎng)的需求，設(shè)計(jì)外網(wǎng)核心交換機(jī)、防火墻、路由器等外網(wǎng)核心設(shè)備，注意：接入層、匯聚層與外網(wǎng)核心交換機(jī)不能直接連接；

5）內(nèi)網(wǎng)核心交換機(jī)與外網(wǎng)核心交換機(jī)需要互連，據(jù)此調(diào)整內(nèi)外網(wǎng)核心交換機(jī)的端口、模塊配置等；

6）根據(jù)內(nèi)外網(wǎng)信息共享的需求，設(shè)計(jì)調(diào)整內(nèi)外網(wǎng)防火墻、路由器的互連功能及相應(yīng)的端口、模塊配置。

核心層設(shè)備連接示意圖如圖1所示。

5.3 網(wǎng)絡(luò)規(guī)劃

1）網(wǎng)絡(luò)規(guī)劃以內(nèi)網(wǎng)為主導(dǎo)，包括管理VLAN等，外網(wǎng)依附于內(nèi)網(wǎng)；

2）按照內(nèi)網(wǎng)的拓?fù)浣Y(jié)構(gòu)、需求進(jìn)行規(guī)劃，包括接入層、匯聚層、核心層、防火墻、路由器等；

圖1 Y型架構(gòu)核心層設(shè)備互聯(lián)示意圖

3）按照外網(wǎng)的需求進(jìn)行規(guī)劃，包括核心層、防火墻、路由器等。

5.3.1 VLAN隔離

1）關(guān)鍵是不能通過(guò)外網(wǎng)對(duì)接入交換機(jī)、匯聚交換機(jī)、內(nèi)網(wǎng)設(shè)備進(jìn)行配置；

2）外網(wǎng)能控制的設(shè)備，僅為外網(wǎng)核心交換機(jī)、防火墻、路由器等；

3）外網(wǎng)即使知道內(nèi)網(wǎng)規(guī)劃，仍不能通過(guò)操作交換機(jī)進(jìn)入內(nèi)網(wǎng)；

4）外網(wǎng)核心交換機(jī)即使創(chuàng)建內(nèi)網(wǎng)VLAN及內(nèi)網(wǎng)VLAN路由接口，仍不能進(jìn)入內(nèi)網(wǎng)；

5）接入層、匯聚層交換機(jī)管理VLAN號(hào)采用1以外的VLAN ID，避免使用默認(rèn)管理VLAN ID，導(dǎo)致外網(wǎng)竄入；

6）內(nèi)外網(wǎng)VLAN ID不能重疊，并在內(nèi)外網(wǎng)核心交換機(jī)互連端口上，嚴(yán)格限定透?jìng)鞯酵饩W(wǎng)核心交換機(jī)的VLAN ID；

7）內(nèi)外網(wǎng)VLAN隔離的控制權(quán)在內(nèi)網(wǎng)，因此需要做好內(nèi)網(wǎng)設(shè)備管理權(quán)的約束：內(nèi)網(wǎng)VLAN不能透?jìng)鞯酵饩W(wǎng)核心；外網(wǎng)VLAN不能在接入、匯聚、內(nèi)網(wǎng)核心上終結(jié)。

內(nèi)外網(wǎng)VLAN隔離示意圖如圖2所示。

5.3.2 信息共享

內(nèi)外網(wǎng)信息共享可選方式和技術(shù)比較多，不同的安全需求有不同的做法，這里僅列舉常規(guī)的做法，以投入不多、維護(hù)簡(jiǎn)便、技術(shù)常見為目標(biāo)：

1）外網(wǎng)只能通過(guò)防火墻、路由器接入內(nèi)網(wǎng)的防火墻、路由器；

2）內(nèi)網(wǎng)防火墻、路由器把外網(wǎng)歸入非信任區(qū)，內(nèi)網(wǎng)訪問(wèn)外網(wǎng)須經(jīng)NAT；

3）外網(wǎng)訪問(wèn)內(nèi)網(wǎng)，需要內(nèi)網(wǎng)將相應(yīng)服務(wù)端口映射出來(lái)，不能直接路由訪問(wèn)；

4）嚴(yán)格控制內(nèi)網(wǎng)可以訪問(wèn)的外網(wǎng)資源，做NAT時(shí)嚴(yán)格限定源地址和目的地址、目的端口；

5）位于內(nèi)網(wǎng)的網(wǎng)管系統(tǒng)，通過(guò)NAT訪問(wèn)外網(wǎng)設(shè)備；

圖2 Y型架構(gòu)內(nèi)外網(wǎng)VLAN隔離示意圖

6）外網(wǎng)設(shè)備通過(guò)端口映射使用內(nèi)網(wǎng)網(wǎng)管服務(wù)，如認(rèn)證服務(wù)、記賬服務(wù)、traps服務(wù)等；

7）外網(wǎng)配備VPN服務(wù)器，遠(yuǎn)程管理員撥入VPN服務(wù)器，以VPN服務(wù)器為跳板，作為外網(wǎng)的一員訪問(wèn)內(nèi)網(wǎng)；

8）VPN服務(wù)器僅將本地桌面共享給遠(yuǎn)程管理員，遠(yuǎn)程管理員的任何操作，本地用戶均可通過(guò)顯示器監(jiān)視。

內(nèi)外網(wǎng)信息共享示意圖如圖3所示。

6 結(jié)束語(yǔ)

網(wǎng)絡(luò)安全是個(gè)系統(tǒng)工程，網(wǎng)絡(luò)建設(shè)的需求多種多樣，可選的構(gòu)建手段也非常豐富，本文不能面面俱到，僅圍繞常規(guī)的內(nèi)外網(wǎng)分開和內(nèi)外網(wǎng)合一兩種架構(gòu)所面臨的一些困惑與隱患，而提出自己的優(yōu)化思路，為醫(yī)院網(wǎng)絡(luò)建設(shè)多提供一種可選方案。

The Optimization Project of Separate and Combined Internal and External Network in Hospital Network Construction

LIANG Fu-hong, KE Jin-wei, CHEN Ling-li, YANG Wei, XUE Xin-jun, SHI Yi
（Zhejiang Heren Technology Inc.）

Through integrated use of integrated wiring system, network switching system and network security system’s mainstream technology and related advanced features, separate and combined internal and external networks in the construction of the hospital network as the common practice, focus on the integrated wiring system maintenance and network equipment investment and maintenance, information sharing and security, combined with years of network planning and implementation experience, propose a new idea and discuss partially implemented key details, get the balance between cost, security and maintenance, in order to reduce some of the equipment investment,improve the maintainability of the hospital network and guarantee the network security, meanwhile reduce the workload of hospital IT staff.

hospital network; internal network; external network; wiring system; network construction; network planning; VLAN isolation;security isolation

10.13655/j.cnki.ibci.2015.07.018

圖3 Y型架構(gòu)內(nèi)外網(wǎng)信息共享示意圖