基于交換機(jī)端口安全與QOS技術(shù)的網(wǎng)絡(luò)管理體系

張晉華等

摘要：現(xiàn)代醫(yī)療信息技術(shù)的發(fā)展，網(wǎng)絡(luò)安全直接關(guān)系到醫(yī)療業(yè)務(wù)的正常開展。該文通過分析醫(yī)院門診網(wǎng)絡(luò)可能存在的安全隱患，對(duì)應(yīng)提出在安全技術(shù)手段上的方法，形成一個(gè)體系的安全架構(gòu)，為醫(yī)院的網(wǎng)絡(luò)安全防護(hù)提供一種可行的解決方案。

關(guān)鍵詞：VLAN劃分與綁定；QOS限制；環(huán)路檢測(cè)

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2015）04-0043-05

Abstract： The development of modern medical information technology， network security is directly related to the normal conduct of medical services. This paper analyzes the hospital outpatient network security risk may exist， corresponding to the proposed method on security techniques， the formation of the security architecture of a system to provide a viable solution for network security hospital.

Key words： VLAN division and bind； QOS Restrictions； LOOP detection

醫(yī)院網(wǎng)絡(luò)信息化發(fā)展異常迅速：從紙筆登記到“一卡通”；從人工喊號(hào)到電子語音報(bào)價(jià)；從一本本病例到無紙化電子病歷系統(tǒng)……每一個(gè)環(huán)節(jié)都體現(xiàn)出網(wǎng)絡(luò)的便捷，而一個(gè)穩(wěn)定、安全、高效的網(wǎng)絡(luò)是提供便捷醫(yī)療服務(wù)的前提保證。

網(wǎng)絡(luò)構(gòu)成四要素：⑴通信線路和設(shè)備；⑵獨(dú)立功能的計(jì)算機(jī)；⑶網(wǎng)絡(luò)軟件；⑷數(shù)據(jù)通信和資源共享。這里首當(dāng)其沖的是通信線路和設(shè)備。

談及通信設(shè)備不得不說到交換機(jī)——OSI七層模型中的第二層設(shè)備，也是現(xiàn)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)中所占比重最大的網(wǎng)絡(luò)設(shè)備，起著承上啟下的至關(guān)作用。網(wǎng)絡(luò)安全的前提便是交換機(jī)的安全，為此，交換機(jī)的端口安全成了穩(wěn)定醫(yī)院信息化業(yè)務(wù)的最重要技術(shù)保證。

1 門診網(wǎng)絡(luò)安全因素分析與交換機(jī)端口技術(shù)應(yīng)用

1.1 門診網(wǎng)絡(luò)安全因素分析

醫(yī)院門診信息化網(wǎng)絡(luò)中影響安全的因素更加復(fù)雜、多變：新增加的網(wǎng)絡(luò)設(shè)備、計(jì)算機(jī)；新布置的網(wǎng)線、軟件程序；醫(yī)生乃至就診患者、家屬的個(gè)人電腦私自接入內(nèi)網(wǎng)……種種可變、不確定的外部因素增加了醫(yī)院固有網(wǎng)絡(luò)的管理難度，“以不變應(yīng)萬變”的端口流量檢測(cè)與安全技術(shù)應(yīng)運(yùn)而生。

1.2 交換機(jī)端口安全技術(shù)應(yīng)用

交換機(jī)組網(wǎng)技術(shù)中，VLAN（虛擬局域網(wǎng)）技術(shù)被廣泛應(yīng)用，它將局域網(wǎng)的設(shè)備劃分成不同網(wǎng)段，使設(shè)備形成邏輯上的隔離，利于網(wǎng)絡(luò)監(jiān)管，提高了網(wǎng)絡(luò)運(yùn)行的安全性。

交換機(jī)流量監(jiān)控值得重視，監(jiān)控其端口流量變化來發(fā)現(xiàn)和判斷環(huán)路的產(chǎn)生，我們將引入QOS技術(shù)和環(huán)路檢測(cè)辦法。

1.2.1 VLAN劃分與IP、MAC和端口的多元組綁定

①VLAN劃分與綁定

1.2.2 QOS與交換機(jī)環(huán)路檢測(cè)

① QOS

網(wǎng)絡(luò)資源總是有限的，在網(wǎng)絡(luò)總帶寬固定的情況下，如果某類業(yè)務(wù)占用的帶寬越多，那么其他業(yè)務(wù)能使用的帶寬就越少。例如，門診某科室計(jì)算機(jī)通過內(nèi)網(wǎng)大量的下載軟件，這將導(dǎo)致門診掛號(hào)與收費(fèi)網(wǎng)絡(luò)資源的急劇減少，降低辦理流程的速度，極大影響正常門診業(yè)務(wù)的開展。

引入QOS技術(shù)，對(duì)網(wǎng)絡(luò)資源進(jìn)行合理的規(guī)劃和分配，從而使網(wǎng)絡(luò)資源得到高效利用，保障門診業(yè)務(wù)正常運(yùn)行勢(shì)在必行。

什么是QOS？QOS（Quality of Service）即服務(wù)質(zhì)量。對(duì)于網(wǎng)絡(luò)業(yè)務(wù)，服務(wù)質(zhì)量包括傳輸?shù)膸?、傳送的時(shí)延、數(shù)據(jù)的丟包率等。在網(wǎng)絡(luò)中可以通過保證傳輸?shù)膸?、降低傳送的時(shí)延、降低數(shù)據(jù)的丟包率以及時(shí)延抖動(dòng)等措施來提高服務(wù)質(zhì)量。采用流量限制、擁塞避免等措施進(jìn)行先期QOS調(diào)度，使進(jìn)入接入網(wǎng)的流量相對(duì)平穩(wěn)，避免在接入網(wǎng)中出現(xiàn)擁塞，保障網(wǎng)絡(luò)暢通。

QOS技術(shù)在網(wǎng)絡(luò)體系中作用在哪里？

QOS技術(shù)包括流分類、流量監(jiān)管、流量整形、端口限速、擁塞管理、擁塞避免等。

流分類：采用一定的規(guī)則識(shí)別符合某類特征的報(bào)文，它是對(duì)網(wǎng)絡(luò)業(yè)務(wù)進(jìn)行區(qū)分服務(wù)的前提和基礎(chǔ)。

流量監(jiān)管：對(duì)進(jìn)入或流出設(shè)備的特定流量進(jìn)行監(jiān)管。當(dāng)流量超出設(shè)定值時(shí)，可以采取限制或懲罰措施，以保護(hù)網(wǎng)絡(luò)資源不受損害。可以作用在端口入方向和出方向。

流量整形：一種主動(dòng)調(diào)整流的輸出速率的流量控制措施，用來使流量適配下游設(shè)備可供給的網(wǎng)絡(luò)資源，避免不必要的報(bào)文丟棄和延遲，通常作用在端口出方向。

擁塞管理：就是當(dāng)擁塞發(fā)生時(shí)如何制定一個(gè)資源的調(diào)度策略，以決定報(bào)文轉(zhuǎn)發(fā)的處理次序，通常作用在端口出方向。

擁塞避免：監(jiān)督網(wǎng)絡(luò)資源的使用情況，當(dāng)發(fā)現(xiàn)擁塞有加劇的趨勢(shì)時(shí)采取主動(dòng)丟棄報(bào)文的策略，通過調(diào)整隊(duì)列長(zhǎng)度來解除網(wǎng)絡(luò)的過載，通常作用在端口出方向。

QOS配置方式分為QOS策略配置方式和非QOS策略配置方式兩種。QOS策略配置方式是指通過配置QOS策略來實(shí)現(xiàn)。

本文將采用基于端口的QOS策略進(jìn)行流量監(jiān)管配置，限制對(duì)HTTP報(bào)文的接收速率不超過512kbps，超出限制速率的報(bào)文將被丟棄。配置除門診掛號(hào)、收費(fèi)、發(fā)藥系統(tǒng)的端口外進(jìn)行速率限制，確保掛號(hào)、收費(fèi)、發(fā)藥所需要的正常網(wǎng)絡(luò)流量不會(huì)被搶奪占用。

擁塞避免（Congestion Avoidance）是一種流量控制機(jī)制，它通過監(jiān)視網(wǎng)絡(luò)資源（如隊(duì)列或內(nèi)存緩沖區(qū)）的使用情況，在擁塞產(chǎn)生或有加劇的趨勢(shì)時(shí)主動(dòng)丟棄報(bào)文，通過調(diào)整網(wǎng)絡(luò)的流量來解除網(wǎng)絡(luò)過載。

與端到端的流量控制相比，這里的流量控制具有更廣泛的意義，它影響到設(shè)備中更多的業(yè)務(wù)流的負(fù)載。設(shè)備在丟棄報(bào)文時(shí)，需要與源端的流量控制動(dòng)作（比如TCP流量控制）相配合，調(diào)整網(wǎng)絡(luò)的流量到一個(gè)合理的負(fù)載狀態(tài)。丟包策略和源端流控機(jī)制有效的組合，可以使網(wǎng)絡(luò)的吞吐量和利用效率最大化，并且使報(bào)文丟棄和延遲最小化。

為避免TCP全局同步現(xiàn)象：當(dāng)隊(duì)列同時(shí)丟棄多個(gè)TCP連接的報(bào)文時(shí)，將造成多個(gè)TCP連接同時(shí)進(jìn)入擁塞避免和慢啟動(dòng)狀態(tài)以降低并調(diào)整流量，而后又會(huì)在某個(gè)時(shí)間同時(shí)出現(xiàn)流量高峰。如此反復(fù)，使網(wǎng)絡(luò)流量忽大忽小，網(wǎng)絡(luò)不停震蕩，可使用RED（Random Early Detection，隨機(jī)早期檢測(cè)）或WRED（Weighted Random Early Detection，加權(quán)隨機(jī)早期檢測(cè)）。

RED和WRED通過隨機(jī)丟棄報(bào)文避免了TCP的全局同步現(xiàn)象，使得當(dāng)某個(gè)TCP連接的報(bào)文被丟棄、開始減速發(fā)送的時(shí)候，其他的TCP連接仍然有較高的發(fā)送速度。這樣，無論什么時(shí)候，總有TCP連接在進(jìn)行較快的發(fā)送，提高了線路帶寬的利用率。

本文將采用基于WRED的配置：

問題現(xiàn)象：端口入方向和出方向流量持續(xù)增大，環(huán)回鏈路在下游。

問題原因：下游鏈路環(huán)回或者自環(huán)。

處理方法：① 首先逐跳向下游尋找環(huán)路的鏈路；② 然后在端口下loopback internal；③ 設(shè)備由于鏈路引入環(huán)路有兩種：一種是單端口收發(fā)環(huán)，第二種是設(shè)備上兩個(gè)端口環(huán)路。

2 總結(jié)

筆者結(jié)合實(shí)際情況進(jìn)行了端口安全技術(shù)的組合配置，進(jìn)行了多元組綁定，規(guī)范了網(wǎng)絡(luò)結(jié)構(gòu)，增強(qiáng)、提高了安全性。引入QOS管理技術(shù)，該技術(shù)分類詳細(xì)、手段多樣，一個(gè)好的QOS能確保網(wǎng)絡(luò)資源本身的合理性與科學(xué)性。配合環(huán)路檢測(cè)技術(shù)，將能更好的服務(wù)網(wǎng)絡(luò)、保障業(yè)務(wù)。

更多端口安全技術(shù)，將會(huì)在實(shí)際工作中進(jìn)行更深入的研究與實(shí)踐。

參考文獻(xiàn)：

[1] 張俊星. 基于區(qū)分Web QOS的負(fù)載均衡集群模型[J]. 計(jì)算機(jī)系統(tǒng)應(yīng)用，2014，23（2）：189-191.