协和医院通信解决方案书

中国网通客户服务热线：10060人人拥有带宽沟通与阳光同速协和医院通信解决方案书中国网通扬州分公司提供2007年12月中国网通客户服务热线：10060人人拥有带宽沟通与阳光同速一、概述首先，衷心感谢协和医院长期以来对扬州网通公司的信任和支持！希望在协和医院网络建设中扬州网通能助您一臂之力。在了解技术要求以后，我们立即组织相关部门进行了深入、细致的研究。根据我们对技术要求的理解，结合我们扬州网通公司通信平台的现状和优势，我们精心制作了此方案，敬请贵部门审阅。我们相信，凭借扬州网通公司巨大的网络规模、先进的技术、完善的服务、科学的管理以及丰富的经验，完全有能力满足贵部门通信应用的要求，为贵部门提供满意的方案。方案中可能有不符合贵部门对细节的要求,我们热忱欢迎对此方案提出宝贵意见，以便改进和提高我们的工作，为客户提供更好的服务。二、业务需求东区的扬州市人民医院和西区的协和医院之间建成专用网络。三、方案相关技术介绍——MPLSVPN1、MPLSVPN是一种基于MPLS（MultiprotocolLabelSwitching，多协议标记交换）技术的IP-VPN，是在网络路由和交换设备上应用MPLS技术，简化核心路由器的路由选择方式，利用结合传统路由技术的标记交换实现的IP虚拟专用网络（IPVPN）。MPLSVPN可用来构造宽带的Intranet、Extranet，满足多种灵活的业务需求。MPLS是由Cisco提交的由IETFMPLS工作组研制的标准协议，它将第三层技术（如IP路由）与第二层技术（如ATM，FR）有机地结合起来，使得在同一个网络上允许各种消息传递，既能提供单点传输，也可以提供多点投递；既能提供尽力而为的无特殊服务质量要求的无连接信息传递服务，也能提供具有很高QOS要求的实时交互服务。MPLS宽带互联网信息传输交换技术已被当前网络界认为是未来网络发展的趋势，是多种网络技术的最终融合点。MPLSVPN组网图如下：中国网通客户服务热线：10060人人拥有带宽沟通与阳光同速2、MPLS的工作原理MPLS是由Cisco提交的由IETFMPLS工作组研制的标准协议，它将第三层技术（如IP路由）与第二层技术（如ATM，FR）有机地结合起来，使得在同一个网络上允许各种消息传递，既能提供单点传输，也可以提供多点投递；既能提供尽力而为的无特殊服务质量要求的无连接信息传递服务，也能提供具有很高QOS要求的实时交互服务。MPLS宽带互联网信息传输交换技术已被当前网络界认为是未来网络发展的趋势，是多种网络技术的最终融合点。MPLSVPN运行原理如下图：中国网通客户服务热线：10060人人拥有带宽沟通与阳光同速一MPLS网络由核心部分的标签交换路由器（LSR）和接入部分的标签边缘交换路由器（LESR）组成。当数据包（可为以太网、令牌环、ATM、帧中继等产生的数据）进入LESR时，LESR先进行数据包头的分析，根据一定的规则和协议（如LDP、OSPF、BGP4、IGP等）决定相应的传送级别。传送路径。QOS要求，根据所做决定给数据包加上一个本地标签交换路径标识符后，将数据包沿标签所标识的路径传送给相应的LSR。后续的LSR节点只需沿着由标签所确定的标签交换路径（LSP）转发数据包即可，无需再做其它的工作，从而显著提高了网络的性能。MPLS通过交换标签，网络中所有节点都会知道每个节点对应的标签，这样就可以根据这些标签快速地与目的地建立一条标签交换路径来传输数据。由于MPLSR的转发机制与控制机制相互独立，路由属于控制机制的一部分，所以整个MPLS网路由信息的维护十分灵活。MPLS使用CLDR机制（ClasslessDomainRouting），从而满足了互联网用户快速增长的需要。MPLS采用流合并的机制，这一特性有利于组播的实现。此外，MPLS从本质上支持多种网络协议，从而极大保护了已有的投资，同时它固定长度的标签头格式（20bit）非常便于硬件实现，有利于设计专用的高速MPLS交换网络；这些都使得MPLS成为当前最有效的网络信息传输交换技术。中国网通客户服务热线：10060人人拥有带宽沟通与阳光同速3、MPLSVPN的优点（一）、安全性（Security）扬州网通MPLSVPN能够为用户节点间提供安全的纯IP通信通道。MPLSVPN的安全性不是通过加密技术达到的，而是通过对不同用户间、用户与公网间的路由信息进行隔离实现的。路由隔离技术有效的解决了加密技术无法完成高速用户流量处理的问题，并有效的降低了加密导致的时延。（二）、扩展性（Scalability）扬州网通MPLSVPN具有极强的扩展性，这主要包括两个方面。首先在端口速率上，因为不需要额外的加密运算，扬州网通MPLSVPN支持从Nx64K到2.5G的各种速率接口，能够满足用户节点间高速、安全通信的需要；此外在用户节点数目上，因为借助BGP协议进行成员的分配和管理，用户节点的数目不受限制，并可以实现任何节点与任何其他节点间（any-to-any）的直接通信。特别在实现用户节点间的全网状（fullmesh）通信时，MPLSVPN与传统基于点到点连接的VPN组网手段（DDN、ATM、FR）不同，不需要逐条的配置用户节点间的电路，用户侧只需要一个端口/一条线路接入网络，并有效的减少了IGPneighbor的数目，杜绝了O(N2)的扩展性问题。（三）、拓扑灵活性（TopologyEfficiency）通过网络侧参数的调整，扬州网通MPLSVPN可以为用户的节点间实现星形、全网状以及其他任何形式的逻辑拓扑，以满足用户对内部节点间管理上的要求。这一逻辑拓扑调整不需要用户侧新增任何线路或修改任何配置，完全在网络侧完成，对用户完全透明，有效的减少了用户的维护工作量。（四）、网络可靠性（Availability&Resilience）网络可靠性主要通过资源的冗余度得以实现。基于点到点连接的VPN组网手段（DDN、ATM、FR）通常没有或仅对某些用户提供有限的备用路由，且某些专线技术本身没有自动切换/迂回能力。扬州网通MPLSVPN提供网络级的可靠性，其作用范围从用户接入ChinaNET之点开始，直到用户流量离开ChinaNET。由于扬州网通MPLSVPN整合于ChinaNET之上，因而可以利用ChinaNET多路由的、充裕的、冗余的传输资源（ChinaNET的核心层间由多条2.5G及Nx155M电路互联）。当ChinaNET内部中继中断时，MPLSVPN的流量与普通ChinaNET流量一起依据IGP迂回到其他电路上，这一过程完全依靠IGP的收敛自动完成，对用户完全透明。这使用户的网络与ChinaNET在广域网层面上具有相同的可靠性，不存在单点故障。一般情况下互联网和MPLSVPN网络是构建在公共的网络架构上。但扬州网通的由P、PE路由器构成的核心骨干网络是MPLSVPN业务专用的。互联网和MPLSVPN网络的流量在骨干层是通过不同的路由器转发的，彼此相对独立，即VPN用户和互联网流量在骨干层是物理隔离的，VPN用户和互联网流量在骨干层是物理隔离的。可有效防止来源于互联网用户的带宽挤占、黑客攻击、蠕虫病毒等网络安全及服务问题。中国网通客户服务热线：10060人人拥有带宽沟通与阳光同速四、网络通信整体解决方案根据协和医院数据联网应用情况来看，本项目实施将按照要求所有接入点均采用专线光纤以太网方式组网，具体接入为：1.扬州网通分别从各临近光纤分纤点布放光缆到市人医和协和医院接入点2.两接入点采用100M光纤宽带（FTTX+LAN）接入。1、网络拓扑扬州网通主要通过BRAS和SR设备提供MPLSVPN接入，根据市人医集团项目涉及的各机构所在地理位置情况就近接入，就近接入可以有效地减少中间接入环节，降低故障发生率，提高网络地运行质量。2、用户接入采用MPLSVPN组网，客户端需具备CE设备。采用光纤接入的接入点需配备专门的CE。关于CE设备的选择，我们提出以下建议供参考：(1)当采用光纤接入方式，接入点下挂终端数较少（小于10台）时可采用二层交换设备做为CE，这样可以节约资金投入；而对于下挂终端数较多、数据流量较大的接入点，建议采用三层交换设备做为CE。因为二层交换设备的可管理性差、不便于扩展,容易出现广播风暴；而三层交换机便于网络管理，支持QOS，提供更多的安全手段，同时支持组播，便于今后视频类等对带宽、时延等QOS要求高的业务的开展，如视频会议、远程教育等等。(2)对于网络中心，建议选择性能较高的路由器/三层交换机做为CE，可以实施一定的安全策略。市人医中心接入点采用100M光纤接入，通过VLAN映射、透传接至网通MPLSVPN网络PE路由器。协和医院接入点采用100M高速率的光纤接入，通过VLAN映射、透传接至网通MPLSVPN网络PE路由器。光纤接入需要的光电转换器由网通提供，光电转换器提供给客户的接口类型为RJ-45。对于各接入点，将光纤通过光电转换器直接接至各自的局域网设备。中国网通客户服务热线：10060人人拥有带宽沟通与阳光同速i.网络扩展采用扬州网通MPLSVPN网络实现组网，可实现用户端接入带宽平滑升级。带宽升级是通过我公司对接入点设备端口的提速实现的，对于采用FE接口接入的用户，其网络带宽可以从10M-100M平滑升级（升级的带宽颗粒为2M）。MPLSVPN可靠性高。MPLSVPN具有大带宽、多节点、多路由、充裕的、冗余的网络和传输资源。扬州网通MPLSVPN业务拥有独立的核心网络，所有网络核心节点可通过动态路由实现迂回，在骨干网传输中不存在单点故障。ii.安全隔离虽然互联网和MPLSVPN网络是构建在公共的网络架构上。但扬州网通的由P、PE路由器构成的核心骨干网络是MPLSVPN业务专用的。互联网和MPLSVPN网络的流量在骨干层是通过不同的路由器转发的，彼此相对独立，即VPN用户和互联网流量在骨干层是物理隔离的，能够保证与互联网安全隔离。由于MPLSVPN采用路由隔离、地址隔离和核心隐藏等多种手段，使得在没有采用加密技术的前提下，MPLSVPN的安全性等同于现有第二层（FR、DDN）骨干网所提供的安全性。iii.全网地址规划光纤接入方式下，当CE设备为路由器或三层交换机时，客户可自行规划、提供接入点下每台终端的IP地址，CE设备广域网出口使用网通提供的互联地址，指向扬州网通的PE路由器，同时在扬州网通的PE路由器上需为终端地址做路由指向；当CE设备选择二层交换机时，接入点下每台终端的IP地址需双方协同规划、配置，同时需向扬州网通提供PE接入的网关地址。3、接入设备介绍扬州网通MPLSVPN网络设备采用JUNIPER、ALCATEL、华为等国际知名厂家设备，运行稳定；中国网通客户服务热线：10060人人拥有带宽沟通与阳光同速（1）接入层交换机：S2403H-EIQuidway®S240H-EI智能接入交换机采用高性能的ASIC实现线速的L2层交换，具备灵活的带宽分配和安全的接入控制功能，并提供丰富的管理手段，适用于居民小区、宾馆、企业等提供高速Ethernet接入以及为企业网络提供桌面或工作组级的交换服务。全线速的二层交换：6.4G/6.4G/9.6Gbps的总线带宽为交换机所有的端口提供二层线速交换能力，保证所有端口无阻塞的进行报文转发。完备的安全智能控制策略：S2403H-EI系列交换机支持802.1x认证，还可以做认证Server，在用户接入网络时完成必要的身份认证，同时动态的配置VLAN，有效的控制用户访问网络资源。该系列具备端口限速功能，可以64Kbps的精细粒度进行端口带宽分配，控制用户的接入速率，防止恶意侵占网络带宽。交换机提供512个802.1QVLAN，支持MAC地址和端口绑定、广播风暴抑制和端口锁定功能，还可以对属于同一个802.1QVLAN的端口之间设置隔离或互通。高可靠性：S2403H-EI交换机支持STP/RSTP生成树协议，极大提高了链路的冗余备份，提高容错能力，保证网络的稳定运行。低功耗静音设计：S2403H-EI交换机具备低功耗和