安徽省健康一體機網絡接入方案研究

朱建軍

主要研究了在運營商網絡中接入安徽省衛計委下發的健康一體機，要求接入方案簡單高效且具備良好的經濟效益。考慮到成功接入的經濟效益問題，方案主要根據光纜覆蓋情況做了接入研究，針對光纜覆蓋區域使用有線寬帶接入、針對光纜覆蓋較弱但4G信號已覆蓋的區域使用4G CPE接入，可以有效降低投資成本。通過在縣級衛生局服務器側部署網關設備，使村衛生室用戶通過VPN方式成功實現低成本接入。

健康一體機 VPN 低成本 網絡接入方案

1 引言

安徽省衛計委下配給縣級衛生系統的健康一體機功能齊全且便于攜帶，具備心電圖、心率、血糖、血壓、血氧飽和度、尿常規、體溫等檢測功能。同時，配有二代身份證讀卡器，并配套相關的應用軟件和管理軟件，實現與基層醫療機構管理信息系統、公共衛生系統及縣級綜合衛生管理平臺間的互聯互通和信息共享。該機的配備使用將有力提升村級醫療機構服務能力，為農村居民帶來更高質量的醫療衛生服務，廣大農民群眾足不出村即可享受各項免費身體檢查，尤其是65歲以上老年人和慢性病患者的健康體檢將更加方便快捷。但是在使用過程中發現，健康一體機是接入衛生局內網的，而村衛生室中的互聯網專線用戶、家庭寬帶用戶、4G LTE寬帶用戶均無法使用健康一體機。

后期安徽省衛計委將在全省推廣健康一體機，涉及滁州市1050戶村衛生室接入。如村衛生室使用數據專線直連至衛生局內網，可以正常接入，但數據專線投資成本較高，經濟效益較差。基于此，本文項目旨在研究村衛生室用戶的接入方案，在經濟效益及方案可行性上進行創新接入。

2 項目背景

項目旨在使移動用戶使用健康一體機能夠成功接入到衛生局內網。健康一體機要求通過WLAN（Wireless Local Area Networks，無線局域網）方式連接，在保證能夠正常接入的同時，考慮到接入方式的經濟效益問題，應盡可能選取低成本、高效的接入方式。

健康一體機操作系統為Linux，無法進行客戶端VPN（Virtual Private Network，虛擬專用網絡）撥號，且健康一體機訪問IP等信息已固化在設備中，無法通過公網映射。

用戶接入方式包括有線寬帶、LTE寬帶這2種形式。4G信號在村衛生室已基本覆蓋，投資較低；而有線寬帶覆蓋較弱，投資較高，但接入質量較好。考慮到經濟效益問題，方案需要解決有線寬帶及LTE寬帶用戶的接入問題。

3 采用方案及關鍵技術分析

健康一體機接入方案拓撲圖如圖1所示。有線寬帶用戶通過滁州IP城域網與在衛生局部署的網關設備連接，LTE寬帶用戶通過4G CPE（Customer Premise Equipment，客戶終端設備）連接至安徽省網Internet，并通過省到市CMNET連接滁州IP城域網連接到衛生局網關設備。根據以上特點，擬采用L2TP（Layer 2 Tunneling Protocol，第二層隧道協議） VPN方案接入[1-2]，有線寬帶用戶及LTE寬帶用戶通過不同的方式接入衛生局內網。

關鍵技術：PPP（Point to Point Protocol，點對點協議）協議定義了一種封裝技術，可以在二層的點到點鏈路上傳輸多種協議數據包，當用戶與NAS（Network Access Server，網絡接入服務器）之間運行PPP協議時，二層鏈路端點PPP會話點會駐留在相同硬件設備上。由于L2TP協議提供了對PPP鏈路層數據包的隧道傳輸支持，允許二層鏈路端點和PPP會話點駐留在不同的設備上，并且采用包交換網絡技術進行信息交互，從而擴展了PPP模型。L2TP協議結合了L2F（Level 2 Forwarding protocol，第二層轉發協議）協議和PPTP（Point to Point Tunneling Protocol，點到點隧道協議）協議的各自優點，成為IETF（The Internet Engineering Task Force，國際互聯網工程任務組）有關二層隧道協議的工業標準[3]。

（1）有線寬帶接入方案

有線寬帶利用滁州城域網BRAS（Broadband Remote Access Server，寬帶遠程接入服務器）（華為ME60）作為L2TP LAC（L2TP Access Concentrator，L2TP訪問集中器）設備[4]，與衛生局網關設備建立L2TP隧道，有線寬帶用戶通過無線路由器進行PPPoE（PPP over Ethernet，以太網上的點對點協議）方式撥號接入衛生局內網，健康一體機通過WLAN連接無線路由器接入衛生局內網，方案無額外投資。

總體思路：將衛生局網關設備通過三層接口與滁州BRAS互聯，BRAS使用LoopBack地址與網關設備建立L2TP隧道，BRAS及衛生局網關設備均新建認證域，BRAS下掛用戶通過PPPoE撥號連接后，BRAS認證域將用戶指向衛生局網關設備認證并連接到衛生局內網[5]。主要配置如下：

要求在BRAS上建立衛生局網關設備的三層子接口[6-7]。

在BRAS上使能L2TP并建立l2tp-group[8]，使用BRAS的LoopBack接口作為隧道接口，建立L2TP用戶認證域并關聯到l2tp-group。

衛生局網關設備（華為SRG2200）建立虛擬網關接口[7-8]、使能L2TP功能并建立l2tp-group；在AAA模塊中創建認證域、創建用戶并關聯地址池，其中創建用戶必須使用戶名后綴為“@認證域的域名”，如下所示：

local-user test@dywsj password cipher test@123 //dywsj為認證的域名

在BRAS下建立用戶認證接口[7]，將用戶指向該接口認證。

BRAS下掛用戶通過PPPoE方式使用用戶名/密碼（test@dywsj/test@123）認證，在衛生局網關上認證成功，健康一體機使用WLAN連接進行服務器測試，測試成功。

（2）LTE寬帶接入方案

LTE寬帶利用4G CPE作為L2TP LAC設備，通過Internet與衛生局網關設備建立L2TP隧道，LTE寬帶用戶通過無線路由器連接到CPE上接入衛生局內網，健康一體機通過WLAN連接無線路由器接入衛生局內網，方案無額外投資[9]。

選取室外型CPE ZLT P10設備作為L2TP LAC設備，原設備無法進行L2TP撥號，聯系設備廠家對CPE設備進行軟件版本升級后，可以在ZLT P10上直接進行L2TP撥號[10]。

該CPE設備軟件版本升級后可以直接進行L2TP撥號配置，但在進行L2TP撥號時要求具備隧道名稱，需在衛生局網關設備上做如下配置：

能L2TP并建立l2tp-group[8]，其中l2tp-group必須具備隧道名稱，如下所示：

l2tp-group 2

allow l2tp virtual-template 2 remote lac domain system //關聯認證接口及認證域，隧道名稱為lac

創建認證域、關聯地址池并創建用戶[7-8]。

在升級后的CPE設備中直接進行L2TP撥號設置，輸入衛生局網關設備的IP地址、隧道名稱以及配置的用戶名/密碼（test/test@123），健康一體機使用WLAN連接進行服務器測試，測試成功。

4 結論

本文接入方案針對村衛生室用戶的基礎網絡覆蓋情況，對已有光纜覆蓋的用戶，使用IP城域網與衛生局內網網關設備做L2TP VPN接入；對無光纜覆蓋但4G信號已覆蓋的用戶，使用4G CPE與衛生局內網網關做L2TP VPN接入。經過實地接入測試，成功達到方案的研究目的，實現低成本、高效的接入，并且接入運行正常穩定。

參考文獻：

[1] 白樹成. 初探L2TP技術[J]. 青年時代， 2014（20）： 90.

[2] 鄧曉宇. 不同場景下4G與FTTH寬帶接入需求的替代性探討[J]. 電子技術與軟件工程， 2015（4）： 26.

[3] 佛羅贊，費根. 數據通信與網絡[M]. 吳時霖，吳永輝，吳之艷，等譯. 4版. 北京： 機械工業出版社， 2007.

[4] 劉蒙. 基于L2TP和IPSec的遠程訪問型VPN技術方案[J]. 科技創新與應用， 2014（36）： 73.

[5] 王相林. 組網技術與配置[M]. 2版. 北京： 清華大學出版社， 2007.

[6] 李健，靳冰祎. 淺談BRAS（ME60）雙機熱備份實現方案[J]. 科技創新與應用， 2013（30）： 75-76.

[7] 王達. 華為路由器學習指南[M]. 北京： 人民郵電出版社， 2014.

[8] 華為技術有限公司. HCNA網絡技術學習指南[M]. 北京： 人民郵電出版社， 2015.

[9] 劉金科. TD-LTE+CPE寬帶解決方案[J]. 湖南郵電職業技術學院學報， 2014（3）： 8-12.

[10] 胡建理，王嘉禎，彭德云，等. 基于L2TP和IPSec集成的訪問型IP-VPN解決方案[J]. 計算機應用與軟件， 2007（4）： 58-61.