关于韶关“人社专网”建设的综合组网应用研究

2013-02-28李燕伟黄炳飞邓小先

电信科学 2013年2期

蔡铭，李燕伟，黄炳飞，邓小先

（中国电信股份有限公司韶关分公司韶关 512023）

1 引言

韶关市“人社专网”是涵盖韶关市三区七县的专用网络，横向连接税务、银行、政府等部门，纵向连接省人事厅、区县社保直属单位，面向社会定点医疗机构（如医院、药店、卫生院等）。因此人力资源和社会保障局（以下简称人社局）的“人社专网”是一个对稳定性、扩展性、灵活性、安全性等要求极高的网络。随着韶关二代社会保障卡的发行，需要在社保卡上加载银行业务，最终实现一卡多用、全国通用的目标，对“人社专网”建设提出更高的要求。

2 客户网络现状

人社局原采用其他运营商进行组网，随着社保信息化的发展，特别是社保卡的普及，需要对运营商的网络支撑能力提出更高的要求。人社局原组网拓扑如图1所示。广电各种组网类型分析见表1。

经过对人社局网络的诊断和分析，发现客户现网存在以下问题。

（1）客户汇聚光缆未成环保护

客户所有业务通过单一光缆汇聚到人社局总部，一旦光缆中断，业务将大面积瘫痪，严重影响人社局内部办公和社会定点医疗机构的社保卡应用。

图1 人社局原组网拓扑

表1 广电各种组网类型分析

（2）通过其他运营商互联网组网存在局限性

其他运营商在互联网搭建VPN服务器，部分定点医疗机构通过租用电信互联网访问VPN社保业务。运营商互联互通的局限性，造成网络效率极低，严重影响客户感知。

（3）网络设计不合理，网络故障率较高

其他运营商将所有接入网点汇聚到广电机房，并没有对每个接入点进行有效隔离，容易出现环路、广播风暴等故障，不利于整个“人社专网”运营的稳定性。

3 网络实施和组网方案

3.1 网络总体设计

通过仔细分析客户网络需求，发现客户业务种类多，各种业务对网络的需求不同，需通过多种组网手段实现其网络建设需求。通过对客户的需求分析，设计网络逻辑拓扑如图2所示。

“人社专网”组网类型分类见表2。按照规划用户网络类型可分为以下几类。

·普通药店社保刷卡组网：主要是一些小卫生院、卫生服务站、普通散点药店等定点医疗机构。这类用户特点是分布在较繁华街道，流动性大，对人社局管控要求较高。

·连锁药店和大型医疗机构社保刷卡组网：主要用于大型医疗机构和连锁药店的医保应用，如二级甲等以上医院、连锁大药店等，这类用户的特点是网络带宽、网络稳定性要求高，且一般都有二级内部组网需求。

·人社直属和乡镇业务办公组网：主要是人社局内部市直、区直人保办事机构业务办公应用。这类单位不仅需要访问人保系统内的共有平台，还要访问本单位或专业的自由平台，这类用户的特点是网络带宽要求较高，网络稳定性要求高。

图2 “人社专网”设计组网逻辑拓扑

·外联业务单位办公组网：主要是银联、人行、地税、邮储业务接入。这类单位不属于人社系统内的单位，涉及金融交易，其安全等级要求较高。

·其他广域网接入访问：如电子政务内网、电子政务外网、互联网。

3.2 网络方案实施

3.2.1 人社局直属机构和大型定点医疗机构组网

人社局直属机构和大型定点医疗机构业务种类多，应用复杂。特别是定点机构还需要为刷卡PC和IP POS机单独组网。采用MPLS VPN技术可以在一个统一的物理网络上实现多个逻辑上相互独立的VPN专网，该特性非常适合于构建大型城域网运营支撑，本次项目主要采用三层和二层VPLS技术，在韶关城域网给人社局搭建一张“人社专网”，其网络拓扑如图3所示。

连锁药店和大型定点机构先通过VPLS-VPN对大型机构进行内部组网。所有连锁网点汇聚到交换机上并与客户CE路由器相连。用户CE路由器到PE路由器之间通过二层VPLS-VPN实现，并通过PE路由器获取到10.30.0.0/16（该地址段为人社局内部直属单位、大型医疗机构和大型医疗机构POS机的规划地址段）。电信三区七县每个电信局将配置一台华为3328作为PE路由器，人社局总部新建设一台阿尔卡特7750作为P路由器，用户获取到10.30.0.0/16之后通过路由协议到达P路由器，P路由器与人社局总部路由器之间通过静态路由实现用户刷卡PC、POS机与人社总部服务器、银联刷卡服务器之间的互访。

图3 大型医疗机构和人社直属单位组网拓扑

图4 药店和小型医疗机构组网拓扑

3.2.2 普通药店和小型定点医疗机构组网

普通药店主要分布在人群较密集的区域，数量较大（接近本次组网接入网点总数的一半）。通过MPLS-VPN组网技术，每个药店都采取FTTO接入+分配一个固定私网IP地址的模式。

MPLS-VPN组网主要涉及韶关城域网的设备P/PE路由器，14台宽带接入服务器华为ME60、11台业务承载路由器SR7750，相互之间开启MPLS协议，将10.50.0.0/19（POS机规划的IP地址段）和10.18.0.0/19（药店规划的IP地址段）在韶关城域网内播布，同理给每个局向分配一个网关和一个C类的IP地址段。药店和小型医疗机构组网拓扑如图4所示。

为实现分点POS机进行刷卡通信服务和药店到人社总部的数据通信，分别将10.50.0.0/19和10.18.0.0/19的IP段地址通过MPLS协议将路由播布到其中一台SR7750（P路由器），从P路由器通过静态路由把银联服务器群地址段指向银联系统的路由器接口地址，再从银联路由器把10.50.0.0/19回指P路由器；同理通过静态路由方式实现10.18.0.0/19段数据的连通。通过上述数据配置，实现光“猫”终端获取10.50.0.0/19和10.18.0.0/19段的两个IP地址。

刷卡PC通过访问人社局VPN服务器认证，进行社保数据的传送。POS机通过到银联的路由器，访问银联刷卡服务器。为保障刷卡和社保的安全性，光“猫”下联的所有终端在韶关城域网内通过MPLS-VPN逻辑隔离，严格管控10.50.0.0/19和10.18.0.0/19地址的使用。在人社局总部，P路由器与人社局核心交换机及银联路由器通过防火墙进行安全策略防范，保证社保业务数据通信安全。

3.2.3 外联单位组网介绍

人社局、银联、中国人民银行、中国农业银行等总部都配备了电信Metro1000传输设备，并实施了1+1双路由备份，形成环保护。通过在Metro 1000传输设备以太网接口上配置点对点链路，开通人社局到银联及各大银行的点对点链路，组网拓扑如图5所示。

3.2.4 推广3G无线备份方式

随着二代社保卡的普及应用，大型医院、连锁药店或者一些业务量较大的药店对链路的稳定性要求极高。社保应用不但关系到这些医疗机构的经济效益，而且关系到广大社保卡持有者对韶关社保服务的感知。中国电信股份有限公司韶关分公司承诺为所有“人社专网”用户提供<6 h的维护时限。本项目搭建了一台VPN服务器专用于客户3G的无线备份。当客户发生网络故障时，可快速通过3G无线网卡恢复其业务，如图6所示。