医院实用网络管理及应急预案

陈宗耿++林琳++程力军

[摘 要] 网络平台是医院信息化发展的基石，若缺乏安全可靠、稳定快速的网络环境，医院主要信息系统如HIS、PAC、LIS等的发展则无从谈起。基于医院网络及信息系统特点分析，通过网络规划、网络管理、安全应急预案三方面探讨医院网络管理工作中积累的经验教训，为以后医院管理提供参考与借鉴。

[关键词] 医院网络平台；网络规划；网络管理；安全应急

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2016. 21. 083

[中图分类号] TP393.0 [文献标识码] A [文章编号] 1673 - 0194（2016）21- 0159- 03

1 网络管理概述

随着医院HIS、电子病历、LIS、PACS等业务系统不断发展，医院日常工作已经完全离不开信息化的支持，作为信息化奠基石的医院网络管理及网络安全也越显重要。从概念上讲网络管理的目标就是通过管理优化，实现网络的可用时间的最大化， 并提高网络设备的利用率、网络性能、服务质量和安全性，降低网络运行成本， 形成网络的长期规划。

2 目前医院网络管理的需求突出点

近年来，三甲综合医院信息化规模已经完全步入大数据时代，小型局域网扩张成大型园区网络，网络终端成倍增长，数量基本已达到2 000以上。伴随而来的网络压力也彰显，更能考验医院网络管理水平。网络管理上突显的主要需求点主要体现如下几方面：

（1）工作站数量激增，直接增加了网管员的工作量。经统计，造成终端以及网络出现问题的主要为人为因素，如，误操作导致网络配置错误、移动介质使用和随意共享传播文件导致病毒感染、恶意扫描以及大量网络传输导致网络带宽被占用等；

（2）多厂家网络设备、多网络互连，增加网络架构的复杂性和故障风险。网络建设是需要经过长时间升级完善，网络设备的多样化、多品牌化问题突出；业务的多元化给网络也带来跨网段、跨区域的特色。

（3）医院信息系统平台的大数据应用以及数据备份带来带宽不足的凸显。

（4）网络规模增长，直接带来故障率的增高以及排查难度的提高。

3 医院网络管理的实用经验及方法

3.1 故障的快速定位

故障快速定位是快速解决网络故障的前提，而故障前后的数据对比是故障快速定位的关键。因此我们需要熟悉自己的网络运行状况，每天做好网络运行状况登记，其中应包括：核心网络设备的性能使用率、运行日志、生成树状况、备份状况、运行配置、主干流量登记、重要端口流量、电源状况、环境温湿度等等。尤其是重要端口流量监控，需特别区分常态网络流量以及突发业务计划引起的大数据网络流量。常态做好全网流量监控（无专用设备可安装抓包软件进行分析）。医院网络故障一般分为三类：①设备硬件故障，特点为定位容易，故障修复时间比较明确；②配置导致的故障，特点较为少见，容易排查；③网络攻击或者广播风暴类故障，特点为隐蔽性，往往容易导致交换机无法远程管理，且业务影响范围较广。根据不同的故障种类，我们应事先制定对应的处理预案。认真做好网络运行状况登记，可助我们快速识别当前网络故障的种类，以便采用相应的处理预案。

3.2 优化网络主干

提升主干带宽，一般有三个方法：①升级硬件：如百兆升级到千兆，千兆升级到万兆，或者做链路捆绑，该方法直接涉及网络成本；②采用虚拟局域网VLAN技术抑制广播风暴，提高带宽效率；③针对大数据流量的主干优化。

（1）目前主流局域网技术均采用以太网技术，随着主机数量的增多、网络设备增加，原有单一共享网络的规模不断扩大，ARP、DHCP、生成树等等基于广播或者组播方式的网络协议带来大量的广播流量，直接消耗主干的带宽以及核心交换机的处理资源，甚至降低该共享网络中所有终端主机的处理速度。因此，如何抑制广播风暴以及其他不明流量风暴是提升现有主干传输能力的首要方式。

VLAN技术是专门为了解决以太网广播以及安全性而提出的，是一种将局域网从逻辑上划分（注意，不是从物理上划分）成一个个不同的逻辑子网VLAN的实现技术。每个VLAN具有独立的广播域，可覆盖局域网内多个网络设备，允许不同地理位置的终端用户加入同一个逻辑子网。VLAN技术实现是在以太网帧的基础上添加VLAN头，在二层转发的过程中根据VLAN ID决定该帧能达到的逻辑子网，而不会转发到其它VLAN中，实现每个VLAN的广播和单播流量得到严格隔离，从而实现有助于控制流量、简化网络管理和提高网络安全性。当然，不同VLAN彼此之间无法直接访问，则需支持路由或者三层转发功能（路由器、三层交换机）设备来完成。目前主流的核心交换机均带有三层交换引擎。

常用的VLAN划分手段主要有根据物理端口划分、根据MAC地址划分和根据网络层协议划分。根据网络端口划分，简单稳定，只需在端口配置上指定该端口的VLAN所属就可以。根据MAC地址划分，则相对灵活，端口会根据MAC地址自动划分到该MAC地址所对应的VLAN中，当然前提是前期需对所有网络用户的MAC地址登记和对所有网络设备配置。根据网络层协议划分，相对复杂和耗费交换机性能，效率不高，较为少见。

根据医院网络实际应用，应用终端的位置以及业务类型均相对固定，网络流量主要是来自应用终端与服务器之间互访流量，即垂直流量占多，而平行流量仅大量存在于服务器与网络存储之间。因此，我们选择了根据网络端口划分VLAN。根据网络端口划分VLAN一般有两种划分手段，一是根据该端口的业务应用类型，如PAC应用、LIS应用、HIS应用等等；二是根据该端口的地理位置，即按楼层划分。两种划分手段各有优势，前者在同一VLAN内的互访流量数据传输可不必经过三层转发，效率较高，并可方便使用到一些基于广播、组播实现的网络功能，如网络查找或网络共享等，因此适合如视频转播系统应用、门禁系统、监控系统以及服务器群等。后者则可以严格控制该VLAN的广播、组播流量通过网络核心设备和主干链路，大大降低网络转发压力，从而达到优化网络主干转发能力，因此适合普通楼层接入。

（2）针对大数据流量，比如PAC服务器数据之间传输、服务器群与NAS等网络存储之间尽量采用专用光纤链路，尽量避免流经核心网络设备以及楼层主干。

3.3 终端控制管理

终端管理主要手段有接入控制、应用访问管理以及病毒防杀等。当然，目前许多终端安全管理软件已经实现以上三个功能，以下将讨论在现在网络设备上不增加成本实现终端控制管理。

（1）网络接入控制。常用方式有端口MAC地址绑定、端口MAC地址+IP地址绑定，还有基于802.1x协议的访问控制。

a.端口MAC地址绑定。根据交换机性能，可以采取静态绑定MAC地址，动态绑定MAC地址。采用静态绑定MAC地址，网络管理员需要事先收集终端的MAC地址，并在交换机上找到对应的端口手动敲入命令，对交换机性能要求不高，但是会给网络管理员带来很大的工作量。动态绑定MAC地址，只需要在交换机端口上开启动态绑定MAC地址的功能，交换机就会自动学习并绑定端口所连接的MAC地址，不过要先确保接入交换机的终端都是合法的。

b.端口MAC地址+IP地址绑定。同样可以采取静态绑定与动态绑定两种方式。采用静态端口MAC地址+IP地址绑定，网络管理员需要事先收集终端的MAC地址与IP地址，并在交换机上找到对应的端口手动敲入命令。此方法比只是绑定MAC地址安全性更高，但是会给网络管理员带来很大的工作量。采用动态端口MAC地址+IP地址绑定，需要结合DHCP SNOOPING或者DHCP Relay表项进行自动绑定，可以防止用户篡改IP地址，再配合动态绑定MAC地址，让交换机学习并绑定MAC地址，实现MAC地址与IP地址的双重绑定。

c.基于802.1x协议的访问控制。指定每个合法用户一个用户名和密码，用户需要接入网络前，使用用户名和密码进行认证，认证通过以后才能访问网络，可以防止非法用户访问内部网络。接入交换机需要支持802.1x协议，还要部署RADIUS服务器进行认证。采用此方法，可以避免非法用户通过修改MAC地址与IP地址来进入网络，安全性更高。

（2）应用访问管理。鉴于医院网络业务大多数为垂直型分布，即终端直接访问服务器群。因此可在三层网络设备上做三层网络转发识别和过滤，减轻主干转发压力以及服务器网络压力。比如一般对内存储设备的保护、只开放数据库端口、开发应用服务器端口以及远程管理端口等。

（3）病毒防杀。医院内部的终端无法连接互联网，无法及时获取杀毒软件病毒库和系统补丁的更新，容易感染计算机病毒，造成安全隐患。可以通过组建杀毒软件与系统补丁升级系统对终端进行病毒库与系统补丁的更新。这个病毒防杀系统采用C/S架构，包括服务器和终端两部分。服务器与终端都在医院内部网络。如果服务器可以直接连接互联网，服务器可以采用代理方式，下载终端需要升级的文件数据，为终端提供及时的升级。如果服务器无法接入互联网，可以在一台能上网的机器上下载好升级的文件数据，再放在服务器上，用代理方式让终端升级。

3.4 网络隔离

上下级单位之间、医院园区之间、特殊业务等等业务交互导致医院网络不再是以往单一的、物理独立的局域网，而是一张多出口、多业务甚至多协议的复杂网络。如何较好地划分、控制每个逻辑子网也成了当前医院网络安全工作的重中之中，也是安全等级保护自查的一个重要项目。

对外来接入网络，应定位为不安全网络，应采取逻辑隔离、严格控制接入权限以及做访问审计等手段。

（1）逻辑隔离：禁止二层直接接入，采用三层互联技术，控制广播域，并做好防毒防攻击。

（2）严格控制接入权：使用网络安全设备对前置机或者专线严格控制准入权，只允许访问指定服务器或者网段。

（3）做安全审计：增加安全审计设备对入口流量进行访问审计记录，做到每个应用访问可查可追踪。

4 结 语

我们在医院网络管理中应立足实际业务要求，熟悉各核心设备性能和运行状态，从而制定有效、实用、经济的建设管理方案，以达到我们的管理目的。