醫(yī)院實(shí)用網(wǎng)絡(luò)管理及應(yīng)急預(yù)案

陳宗耿++林琳++程力軍

[摘 要] 網(wǎng)絡(luò)平臺(tái)是醫(yī)院信息化發(fā)展的基石，若缺乏安全可靠、穩(wěn)定快速的網(wǎng)絡(luò)環(huán)境，醫(yī)院主要信息系統(tǒng)如HIS、PAC、LIS等的發(fā)展則無從談起?；卺t(yī)院網(wǎng)絡(luò)及信息系統(tǒng)特點(diǎn)分析，通過網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)管理、安全應(yīng)急預(yù)案三方面探討醫(yī)院網(wǎng)絡(luò)管理工作中積累的經(jīng)驗(yàn)教訓(xùn)，為以后醫(yī)院管理提供參考與借鑒。

[關(guān)鍵詞] 醫(yī)院網(wǎng)絡(luò)平臺(tái)；網(wǎng)絡(luò)規(guī)劃；網(wǎng)絡(luò)管理；安全應(yīng)急

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2016. 21. 083

[中圖分類號(hào)] TP393.0 [文獻(xiàn)標(biāo)識(shí)碼] A [文章編號(hào)] 1673 - 0194（2016）21- 0159- 03

1 網(wǎng)絡(luò)管理概述

隨著醫(yī)院HIS、電子病歷、LIS、PACS等業(yè)務(wù)系統(tǒng)不斷發(fā)展，醫(yī)院日常工作已經(jīng)完全離不開信息化的支持，作為信息化奠基石的醫(yī)院網(wǎng)絡(luò)管理及網(wǎng)絡(luò)安全也越顯重要。從概念上講網(wǎng)絡(luò)管理的目標(biāo)就是通過管理優(yōu)化，實(shí)現(xiàn)網(wǎng)絡(luò)的可用時(shí)間的最大化， 并提高網(wǎng)絡(luò)設(shè)備的利用率、網(wǎng)絡(luò)性能、服務(wù)質(zhì)量和安全性，降低網(wǎng)絡(luò)運(yùn)行成本， 形成網(wǎng)絡(luò)的長(zhǎng)期規(guī)劃。

2 目前醫(yī)院網(wǎng)絡(luò)管理的需求突出點(diǎn)

近年來，三甲綜合醫(yī)院信息化規(guī)模已經(jīng)完全步入大數(shù)據(jù)時(shí)代，小型局域網(wǎng)擴(kuò)張成大型園區(qū)網(wǎng)絡(luò)，網(wǎng)絡(luò)終端成倍增長(zhǎng)，數(shù)量基本已達(dá)到2 000以上。伴隨而來的網(wǎng)絡(luò)壓力也彰顯，更能考驗(yàn)醫(yī)院網(wǎng)絡(luò)管理水平。網(wǎng)絡(luò)管理上突顯的主要需求點(diǎn)主要體現(xiàn)如下幾方面：

（1）工作站數(shù)量激增，直接增加了網(wǎng)管員的工作量。經(jīng)統(tǒng)計(jì)，造成終端以及網(wǎng)絡(luò)出現(xiàn)問題的主要為人為因素，如，誤操作導(dǎo)致網(wǎng)絡(luò)配置錯(cuò)誤、移動(dòng)介質(zhì)使用和隨意共享傳播文件導(dǎo)致病毒感染、惡意掃描以及大量網(wǎng)絡(luò)傳輸導(dǎo)致網(wǎng)絡(luò)帶寬被占用等；

（2）多廠家網(wǎng)絡(luò)設(shè)備、多網(wǎng)絡(luò)互連，增加網(wǎng)絡(luò)架構(gòu)的復(fù)雜性和故障風(fēng)險(xiǎn)。網(wǎng)絡(luò)建設(shè)是需要經(jīng)過長(zhǎng)時(shí)間升級(jí)完善，網(wǎng)絡(luò)設(shè)備的多樣化、多品牌化問題突出；業(yè)務(wù)的多元化給網(wǎng)絡(luò)也帶來跨網(wǎng)段、跨區(qū)域的特色。

（3）醫(yī)院信息系統(tǒng)平臺(tái)的大數(shù)據(jù)應(yīng)用以及數(shù)據(jù)備份帶來帶寬不足的凸顯。

（4）網(wǎng)絡(luò)規(guī)模增長(zhǎng)，直接帶來故障率的增高以及排查難度的提高。

3 醫(yī)院網(wǎng)絡(luò)管理的實(shí)用經(jīng)驗(yàn)及方法

3.1 故障的快速定位

故障快速定位是快速解決網(wǎng)絡(luò)故障的前提，而故障前后的數(shù)據(jù)對(duì)比是故障快速定位的關(guān)鍵。因此我們需要熟悉自己的網(wǎng)絡(luò)運(yùn)行狀況，每天做好網(wǎng)絡(luò)運(yùn)行狀況登記，其中應(yīng)包括：核心網(wǎng)絡(luò)設(shè)備的性能使用率、運(yùn)行日志、生成樹狀況、備份狀況、運(yùn)行配置、主干流量登記、重要端口流量、電源狀況、環(huán)境溫濕度等等。尤其是重要端口流量監(jiān)控，需特別區(qū)分常態(tài)網(wǎng)絡(luò)流量以及突發(fā)業(yè)務(wù)計(jì)劃引起的大數(shù)據(jù)網(wǎng)絡(luò)流量。常態(tài)做好全網(wǎng)流量監(jiān)控（無專用設(shè)備可安裝抓包軟件進(jìn)行分析）。醫(yī)院網(wǎng)絡(luò)故障一般分為三類：①設(shè)備硬件故障，特點(diǎn)為定位容易，故障修復(fù)時(shí)間比較明確；②配置導(dǎo)致的故障，特點(diǎn)較為少見，容易排查；③網(wǎng)絡(luò)攻擊或者廣播風(fēng)暴類故障，特點(diǎn)為隱蔽性，往往容易導(dǎo)致交換機(jī)無法遠(yuǎn)程管理，且業(yè)務(wù)影響范圍較廣。根據(jù)不同的故障種類，我們應(yīng)事先制定對(duì)應(yīng)的處理預(yù)案。認(rèn)真做好網(wǎng)絡(luò)運(yùn)行狀況登記，可助我們快速識(shí)別當(dāng)前網(wǎng)絡(luò)故障的種類，以便采用相應(yīng)的處理預(yù)案。

3.2 優(yōu)化網(wǎng)絡(luò)主干

提升主干帶寬，一般有三個(gè)方法：①升級(jí)硬件：如百兆升級(jí)到千兆，千兆升級(jí)到萬兆，或者做鏈路捆綁，該方法直接涉及網(wǎng)絡(luò)成本；②采用虛擬局域網(wǎng)VLAN技術(shù)抑制廣播風(fēng)暴，提高帶寬效率；③針對(duì)大數(shù)據(jù)流量的主干優(yōu)化。

（1）目前主流局域網(wǎng)技術(shù)均采用以太網(wǎng)技術(shù)，隨著主機(jī)數(shù)量的增多、網(wǎng)絡(luò)設(shè)備增加，原有單一共享網(wǎng)絡(luò)的規(guī)模不斷擴(kuò)大，ARP、DHCP、生成樹等等基于廣播或者組播方式的網(wǎng)絡(luò)協(xié)議帶來大量的廣播流量，直接消耗主干的帶寬以及核心交換機(jī)的處理資源，甚至降低該共享網(wǎng)絡(luò)中所有終端主機(jī)的處理速度。因此，如何抑制廣播風(fēng)暴以及其他不明流量風(fēng)暴是提升現(xiàn)有主干傳輸能力的首要方式。

VLAN技術(shù)是專門為了解決以太網(wǎng)廣播以及安全性而提出的，是一種將局域網(wǎng)從邏輯上劃分（注意，不是從物理上劃分）成一個(gè)個(gè)不同的邏輯子網(wǎng)VLAN的實(shí)現(xiàn)技術(shù)。每個(gè)VLAN具有獨(dú)立的廣播域，可覆蓋局域網(wǎng)內(nèi)多個(gè)網(wǎng)絡(luò)設(shè)備，允許不同地理位置的終端用戶加入同一個(gè)邏輯子網(wǎng)。VLAN技術(shù)實(shí)現(xiàn)是在以太網(wǎng)幀的基礎(chǔ)上添加VLAN頭，在二層轉(zhuǎn)發(fā)的過程中根據(jù)VLAN ID決定該幀能達(dá)到的邏輯子網(wǎng)，而不會(huì)轉(zhuǎn)發(fā)到其它VLAN中，實(shí)現(xiàn)每個(gè)VLAN的廣播和單播流量得到嚴(yán)格隔離，從而實(shí)現(xiàn)有助于控制流量、簡(jiǎn)化網(wǎng)絡(luò)管理和提高網(wǎng)絡(luò)安全性。當(dāng)然，不同VLAN彼此之間無法直接訪問，則需支持路由或者三層轉(zhuǎn)發(fā)功能（路由器、三層交換機(jī)）設(shè)備來完成。目前主流的核心交換機(jī)均帶有三層交換引擎。

常用的VLAN劃分手段主要有根據(jù)物理端口劃分、根據(jù)MAC地址劃分和根據(jù)網(wǎng)絡(luò)層協(xié)議劃分。根據(jù)網(wǎng)絡(luò)端口劃分，簡(jiǎn)單穩(wěn)定，只需在端口配置上指定該端口的VLAN所屬就可以。根據(jù)MAC地址劃分，則相對(duì)靈活，端口會(huì)根據(jù)MAC地址自動(dòng)劃分到該MAC地址所對(duì)應(yīng)的VLAN中，當(dāng)然前提是前期需對(duì)所有網(wǎng)絡(luò)用戶的MAC地址登記和對(duì)所有網(wǎng)絡(luò)設(shè)備配置。根據(jù)網(wǎng)絡(luò)層協(xié)議劃分，相對(duì)復(fù)雜和耗費(fèi)交換機(jī)性能，效率不高，較為少見。

根據(jù)醫(yī)院網(wǎng)絡(luò)實(shí)際應(yīng)用，應(yīng)用終端的位置以及業(yè)務(wù)類型均相對(duì)固定，網(wǎng)絡(luò)流量主要是來自應(yīng)用終端與服務(wù)器之間互訪流量，即垂直流量占多，而平行流量?jī)H大量存在于服務(wù)器與網(wǎng)絡(luò)存儲(chǔ)之間。因此，我們選擇了根據(jù)網(wǎng)絡(luò)端口劃分VLAN。根據(jù)網(wǎng)絡(luò)端口劃分VLAN一般有兩種劃分手段，一是根據(jù)該端口的業(yè)務(wù)應(yīng)用類型，如PAC應(yīng)用、LIS應(yīng)用、HIS應(yīng)用等等；二是根據(jù)該端口的地理位置，即按樓層劃分。兩種劃分手段各有優(yōu)勢(shì)，前者在同一VLAN內(nèi)的互訪流量數(shù)據(jù)傳輸可不必經(jīng)過三層轉(zhuǎn)發(fā)，效率較高，并可方便使用到一些基于廣播、組播實(shí)現(xiàn)的網(wǎng)絡(luò)功能，如網(wǎng)絡(luò)查找或網(wǎng)絡(luò)共享等，因此適合如視頻轉(zhuǎn)播系統(tǒng)應(yīng)用、門禁系統(tǒng)、監(jiān)控系統(tǒng)以及服務(wù)器群等。后者則可以嚴(yán)格控制該VLAN的廣播、組播流量通過網(wǎng)絡(luò)核心設(shè)備和主干鏈路，大大降低網(wǎng)絡(luò)轉(zhuǎn)發(fā)壓力，從而達(dá)到優(yōu)化網(wǎng)絡(luò)主干轉(zhuǎn)發(fā)能力，因此適合普通樓層接入。

（2）針對(duì)大數(shù)據(jù)流量，比如PAC服務(wù)器數(shù)據(jù)之間傳輸、服務(wù)器群與NAS等網(wǎng)絡(luò)存儲(chǔ)之間盡量采用專用光纖鏈路，盡量避免流經(jīng)核心網(wǎng)絡(luò)設(shè)備以及樓層主干。

3.3 終端控制管理

終端管理主要手段有接入控制、應(yīng)用訪問管理以及病毒防殺等。當(dāng)然，目前許多終端安全管理軟件已經(jīng)實(shí)現(xiàn)以上三個(gè)功能，以下將討論在現(xiàn)在網(wǎng)絡(luò)設(shè)備上不增加成本實(shí)現(xiàn)終端控制管理。

（1）網(wǎng)絡(luò)接入控制。常用方式有端口MAC地址綁定、端口MAC地址+IP地址綁定，還有基于802.1x協(xié)議的訪問控制。

a.端口MAC地址綁定。根據(jù)交換機(jī)性能，可以采取靜態(tài)綁定MAC地址，動(dòng)態(tài)綁定MAC地址。采用靜態(tài)綁定MAC地址，網(wǎng)絡(luò)管理員需要事先收集終端的MAC地址，并在交換機(jī)上找到對(duì)應(yīng)的端口手動(dòng)敲入命令，對(duì)交換機(jī)性能要求不高，但是會(huì)給網(wǎng)絡(luò)管理員帶來很大的工作量。動(dòng)態(tài)綁定MAC地址，只需要在交換機(jī)端口上開啟動(dòng)態(tài)綁定MAC地址的功能，交換機(jī)就會(huì)自動(dòng)學(xué)習(xí)并綁定端口所連接的MAC地址，不過要先確保接入交換機(jī)的終端都是合法的。

b.端口MAC地址+IP地址綁定。同樣可以采取靜態(tài)綁定與動(dòng)態(tài)綁定兩種方式。采用靜態(tài)端口MAC地址+IP地址綁定，網(wǎng)絡(luò)管理員需要事先收集終端的MAC地址與IP地址，并在交換機(jī)上找到對(duì)應(yīng)的端口手動(dòng)敲入命令。此方法比只是綁定MAC地址安全性更高，但是會(huì)給網(wǎng)絡(luò)管理員帶來很大的工作量。采用動(dòng)態(tài)端口MAC地址+IP地址綁定，需要結(jié)合DHCP SNOOPING或者DHCP Relay表項(xiàng)進(jìn)行自動(dòng)綁定，可以防止用戶篡改IP地址，再配合動(dòng)態(tài)綁定MAC地址，讓交換機(jī)學(xué)習(xí)并綁定MAC地址，實(shí)現(xiàn)MAC地址與IP地址的雙重綁定。

c.基于802.1x協(xié)議的訪問控制。指定每個(gè)合法用戶一個(gè)用戶名和密碼，用戶需要接入網(wǎng)絡(luò)前，使用用戶名和密碼進(jìn)行認(rèn)證，認(rèn)證通過以后才能訪問網(wǎng)絡(luò)，可以防止非法用戶訪問內(nèi)部網(wǎng)絡(luò)。接入交換機(jī)需要支持802.1x協(xié)議，還要部署RADIUS服務(wù)器進(jìn)行認(rèn)證。采用此方法，可以避免非法用戶通過修改MAC地址與IP地址來進(jìn)入網(wǎng)絡(luò)，安全性更高。

（2）應(yīng)用訪問管理。鑒于醫(yī)院網(wǎng)絡(luò)業(yè)務(wù)大多數(shù)為垂直型分布，即終端直接訪問服務(wù)器群。因此可在三層網(wǎng)絡(luò)設(shè)備上做三層網(wǎng)絡(luò)轉(zhuǎn)發(fā)識(shí)別和過濾，減輕主干轉(zhuǎn)發(fā)壓力以及服務(wù)器網(wǎng)絡(luò)壓力。比如一般對(duì)內(nèi)存儲(chǔ)設(shè)備的保護(hù)、只開放數(shù)據(jù)庫(kù)端口、開發(fā)應(yīng)用服務(wù)器端口以及遠(yuǎn)程管理端口等。

（3）病毒防殺。醫(yī)院內(nèi)部的終端無法連接互聯(lián)網(wǎng)，無法及時(shí)獲取殺毒軟件病毒庫(kù)和系統(tǒng)補(bǔ)丁的更新，容易感染計(jì)算機(jī)病毒，造成安全隱患?？梢酝ㄟ^組建殺毒軟件與系統(tǒng)補(bǔ)丁升級(jí)系統(tǒng)對(duì)終端進(jìn)行病毒庫(kù)與系統(tǒng)補(bǔ)丁的更新。這個(gè)病毒防殺系統(tǒng)采用C/S架構(gòu)，包括服務(wù)器和終端兩部分。服務(wù)器與終端都在醫(yī)院內(nèi)部網(wǎng)絡(luò)。如果服務(wù)器可以直接連接互聯(lián)網(wǎng)，服務(wù)器可以采用代理方式，下載終端需要升級(jí)的文件數(shù)據(jù)，為終端提供及時(shí)的升級(jí)。如果服務(wù)器無法接入互聯(lián)網(wǎng)，可以在一臺(tái)能上網(wǎng)的機(jī)器上下載好升級(jí)的文件數(shù)據(jù)，再放在服務(wù)器上，用代理方式讓終端升級(jí)。

3.4 網(wǎng)絡(luò)隔離

上下級(jí)單位之間、醫(yī)院園區(qū)之間、特殊業(yè)務(wù)等等業(yè)務(wù)交互導(dǎo)致醫(yī)院網(wǎng)絡(luò)不再是以往單一的、物理獨(dú)立的局域網(wǎng)，而是一張多出口、多業(yè)務(wù)甚至多協(xié)議的復(fù)雜網(wǎng)絡(luò)。如何較好地劃分、控制每個(gè)邏輯子網(wǎng)也成了當(dāng)前醫(yī)院網(wǎng)絡(luò)安全工作的重中之中，也是安全等級(jí)保護(hù)自查的一個(gè)重要項(xiàng)目。

對(duì)外來接入網(wǎng)絡(luò)，應(yīng)定位為不安全網(wǎng)絡(luò)，應(yīng)采取邏輯隔離、嚴(yán)格控制接入權(quán)限以及做訪問審計(jì)等手段。

（1）邏輯隔離：禁止二層直接接入，采用三層互聯(lián)技術(shù)，控制廣播域，并做好防毒防攻擊。

（2）嚴(yán)格控制接入權(quán)：使用網(wǎng)絡(luò)安全設(shè)備對(duì)前置機(jī)或者專線嚴(yán)格控制準(zhǔn)入權(quán)，只允許訪問指定服務(wù)器或者網(wǎng)段。

（3）做安全審計(jì)：增加安全審計(jì)設(shè)備對(duì)入口流量進(jìn)行訪問審計(jì)記錄，做到每個(gè)應(yīng)用訪問可查可追蹤。

4 結(jié) 語

我們?cè)卺t(yī)院網(wǎng)絡(luò)管理中應(yīng)立足實(shí)際業(yè)務(wù)要求，熟悉各核心設(shè)備性能和運(yùn)行狀態(tài)，從而制定有效、實(shí)用、經(jīng)濟(jì)的建設(shè)管理方案，以達(dá)到我們的管理目的。