關于韶關“人社專網”建設的綜合組網應用研究

蔡 銘，李燕偉，黃炳飛，鄧小先

（中國電信股份有限公司韶關分公司 韶關 512023）

1 引言

韶關市“人社專網”是涵蓋韶關市三區七縣的專用網絡，橫向連接稅務、銀行、政府等部門，縱向連接省人事廳、區縣社保直屬單位，面向社會定點醫療機構（如醫院、藥店、衛生院等）。因此人力資源和社會保障局（以下簡稱人社局）的“人社專網”是一個對穩定性、擴展性、靈活性、安全性等要求極高的網絡。隨著韶關二代社會保障卡的發行，需要在社?？ㄉ霞虞d銀行業務，最終實現一卡多用、全國通用的目標，對“人社專網”建設提出更高的要求。

2 客戶網絡現狀

人社局原采用其他運營商進行組網，隨著社保信息化的發展，特別是社?？ǖ钠占?，需要對運營商的網絡支撐能力提出更高的要求。人社局原組網拓撲如圖1所示。廣電各種組網類型分析見表1。

經過對人社局網絡的診斷和分析，發現客戶現網存在以下問題。

（1）客戶匯聚光纜未成環保護

客戶所有業務通過單一光纜匯聚到人社局總部，一旦光纜中斷，業務將大面積癱瘓，嚴重影響人社局內部辦公和社會定點醫療機構的社?？☉?。

圖1 人社局原組網拓撲

表1 廣電各種組網類型分析

（2）通過其他運營商互聯網組網存在局限性

其他運營商在互聯網搭建VPN服務器，部分定點醫療機構通過租用電信互聯網訪問VPN社保業務。運營商互聯互通的局限性，造成網絡效率極低，嚴重影響客戶感知。

（3）網絡設計不合理，網絡故障率較高

其他運營商將所有接入網點匯聚到廣電機房，并沒有對每個接入點進行有效隔離，容易出現環路、廣播風暴等故障，不利于整個“人社專網”運營的穩定性。

3 網絡實施和組網方案

3.1 網絡總體設計

通過仔細分析客戶網絡需求，發現客戶業務種類多，各種業務對網絡的需求不同，需通過多種組網手段實現其網絡建設需求。通過對客戶的需求分析，設計網絡邏輯拓撲如圖2所示。

“人社專網”組網類型分類見表2。按照規劃用戶網絡類型可分為以下幾類。

·普通藥店社保刷卡組網：主要是一些小衛生院、衛生服務站、普通散點藥店等定點醫療機構。這類用戶特點是分布在較繁華街道，流動性大，對人社局管控要求較高。

·連鎖藥店和大型醫療機構社保刷卡組網：主要用于大型醫療機構和連鎖藥店的醫保應用，如二級甲等以上醫院、連鎖大藥店等，這類用戶的特點是網絡帶寬、網絡穩定性要求高，且一般都有二級內部組網需求。

·人社直屬和鄉鎮業務辦公組網：主要是人社局內部市直、區直人保辦事機構業務辦公應用。這類單位不僅需要訪問人保系統內的共有平臺，還要訪問本單位或專業的自由平臺，這類用戶的特點是網絡帶寬要求較高，網絡穩定性要求高。

圖2 “人社專網”設計組網邏輯拓撲

·外聯業務單位辦公組網：主要是銀聯、人行、地稅、郵儲業務接入。這類單位不屬于人社系統內的單位，涉及金融交易，其安全等級要求較高。

·其他廣域網接入訪問：如電子政務內網、電子政務外網、互聯網。

3.2 網絡方案實施

3.2.1 人社局直屬機構和大型定點醫療機構組網

人社局直屬機構和大型定點醫療機構業務種類多，應用復雜。特別是定點機構還需要為刷卡PC和IP POS機單獨組網。采用MPLS VPN技術可以在一個統一的物理網絡上實現多個邏輯上相互獨立的VPN專網，該特性非常適合于構建大型城域網運營支撐，本次項目主要采用三層和二層VPLS技術，在韶關城域網給人社局搭建一張“人社專網”，其網絡拓撲如圖3所示。

連鎖藥店和大型定點機構先通過VPLS-VPN對大型機構進行內部組網。所有連鎖網點匯聚到交換機上并與客戶CE路由器相連。用戶CE路由器到PE路由器之間通過二層VPLS-VPN實現，并通過PE路由器獲取到10.30.0.0/16（該地址段為人社局內部直屬單位、大型醫療機構和大型醫療機構POS機的規劃地址段）。電信三區七縣每個電信局將配置一臺華為3328作為PE路由器，人社局總部新建設一臺阿爾卡特7750作為P路由器，用戶獲取到10.30.0.0/16之后通過路由協議到達P路由器，P路由器與人社局總部路由器之間通過靜態路由實現用戶刷卡PC、POS機與人社總部服務器、銀聯刷卡服務器之間的互訪。

圖3 大型醫療機構和人社直屬單位組網拓撲

圖4 藥店和小型醫療機構組網拓撲

3.2.2 普通藥店和小型定點醫療機構組網

普通藥店主要分布在人群較密集的區域，數量較大（接近本次組網接入網點總數的一半）。通過MPLS-VPN組網技術，每個藥店都采取FTTO接入+分配一個固定私網IP地址的模式。

MPLS-VPN組網主要涉及韶關城域網的設備P/PE路由器，14臺寬帶接入服務器華為ME60、11臺業務承載路由器SR7750，相互之間開啟MPLS協議，將10.50.0.0/19（POS機規劃的IP地址段）和10.18.0.0/19（藥店規劃的IP地址段）在韶關城域網內播布，同理給每個局向分配一個網關和一個C類的IP地址段。藥店和小型醫療機構組網拓撲如圖4所示。

為實現分點POS機進行刷卡通信服務和藥店到人社總部的數據通信，分別將10.50.0.0/19和10.18.0.0/19的IP段地址通過MPLS協議將路由播布到其中一臺SR7750（P路由器），從P路由器通過靜態路由把銀聯服務器群地址段指向銀聯系統的路由器接口地址，再從銀聯路由器把10.50.0.0/19回指P路由器；同理通過靜態路由方式實現10.18.0.0/19段數據的連通。通過上述數據配置，實現光“貓”終端獲取10.50.0.0/19和10.18.0.0/19段的兩個IP地址。

刷卡PC通過訪問人社局VPN服務器認證，進行社保數據的傳送。POS機通過到銀聯的路由器，訪問銀聯刷卡服務器。為保障刷卡和社保的安全性，光“貓”下聯的所有終端在韶關城域網內通過MPLS-VPN邏輯隔離，嚴格管控10.50.0.0/19和10.18.0.0/19地址的使用。在人社局總部，P路由器與人社局核心交換機及銀聯路由器通過防火墻進行安全策略防范，保證社保業務數據通信安全。

3.2.3 外聯單位組網介紹

人社局、銀聯、中國人民銀行、中國農業銀行等總部都配備了電信Metro1000傳輸設備，并實施了1+1雙路由備份，形成環保護。通過在Metro 1000傳輸設備以太網接口上配置點對點鏈路，開通人社局到銀聯及各大銀行的點對點鏈路，組網拓撲如圖5所示。

3.2.4 推廣3G無線備份方式

隨著二代社保卡的普及應用，大型醫院、連鎖藥店或者一些業務量較大的藥店對鏈路的穩定性要求極高。社保應用不但關系到這些醫療機構的經濟效益，而且關系到廣大社?？ǔ钟姓邔ι仃P社保服務的感知。中國電信股份有限公司韶關分公司承諾為所有“人社專網”用戶提供<6 h的維護時限。本項目搭建了一臺VPN服務器專用于客戶3G的無線備份。當客戶發生網絡故障時，可快速通過3G無線網卡恢復其業務，如圖6所示。

圖5 MSTP組網拓撲

圖6 客戶3G應用模型

4 結束語

本次“人社專網”項目建設，從2012年2月開始，僅用了2個多月，完成近700個網點的建設，網絡基本達到原設計目標，網絡運行正常。網絡運行情況表明：

·符合人社局“人社專網”建設的總體規劃，所有網絡信息點通過光纖接入，充分考慮到社保信息化的未來發展趨勢和需求；有較好的可擴展、可靠性、穩定性和先進性；

·采用多種組網技術應用，特別是采用FTTO接入技術成功實施組網，技術思路正確，滿足用戶多業務接入需求，有效節省網絡光纜資源的投入，降低網絡運行和維護費用；

·采用3G無線備份技術，進行網絡應急備份，大大縮短了客戶網絡故障的時限，保障客戶利益，提升客戶感知。

總體網絡設計規劃合理，采用的組網技術較先進，是韶關本地FTTx光接入技術在大客戶組網業務的一次很好的范本和案例。