VLAN技術在醫院網絡中的應用

天津醫科大學總醫院濱海醫院 胡瑩瑩

本文主要介紹了VLAN、VLAN劃分等相關技術，并基于醫院VLAN劃分的實例來說明VLAN技術在醫院網絡管理中的主要作用。VLAN技術不僅可以使醫院的網絡配置更加靈活同時也可以提高網絡的安全性，提升醫院的管理水平。

隨著信息技術的飛快發展，醫院信息系統的體量也不斷擴大，這對承載醫院信息系統的計算機網絡的要求也變得越來越高，在多數據融合的基礎上要做到高帶寬、低時延，同時還要保障網絡運行的安全性和可靠性。各個信息系統的網絡既要做到相互通信，又要做到互不干擾，VLAN技術的出現解決了這一難題。

1 VLAN技術

VLAN（Virtual LAN，虛擬局域網）是在LAN（局域網）上衍生出來的概念，LAN是在某一特定地理范圍，由若干臺計算機設備組成的可以互聯互通的工作組，它的局限性在于覆蓋的地理范圍較小。VLAN突破了LAN的局限性，它可以將處于不同地理位置的計算機根據功能、部門或者其他因素連接成一個局域網，組成邏輯上的局域網，因此被稱為虛擬局域網。

一個局域網就是一個廣播域，如圖1所示，當網絡上的計算機A想要和計算機C通信時，需先向網絡上廣播一個ARP請求以獲得計算機C的MAC地址，交換機A收到計算機A的廣播請求時會向除接口端口外的其他端口轉發該請求，即洪泛。此時計算機和交換機2都收到了ARP請求，交換機2繼續執行洪泛操作，最終計算機B和計算機D也收到了計算機A發來的ARP請求。在不劃分VLAN的情況下，計算機A想獲得計算機C的MAC地址，結果整個網絡的所有客戶端都收到了ARP請求，這大大浪費了網絡帶寬和CPU的處理時間。

圖1 未劃分VLANFig.1 Undivided VLAN

為了解決該問題，我們采用劃分VLAN的方式，如圖2所示，將交換機1上連接計算機A的端口1和連接計算機C的端口2劃分到VLAN100里，和交換機2相連的端口3劃分到其他VLAN里。那么交換機1收到來自端口1的ARP請求時，只轉發給屬于同一VLAN的端口2，即只有計算機C能收到該報文，而計算機B和D將獲取不到該報文，大大節省了網絡帶寬和CPU的處理時間。同時，劃分VLAN后縮小了廣播域的大小，即縮小了ARP攻擊范圍，提高了網絡安全性。

圖2 已劃分VLANFig.2 Divided VLAN

2 VLAN劃分

2.1 基于端口的劃分

基于端口的劃分也成為靜態VLAN，即將交換機的某個端口劃分為一個固定VLAN內，由于該模式需要將端口一個個的指定，當客戶端變更時，所屬的交換機端口VLAN也需重新設置，因此只適合規模較小同時比較穩定的網絡，當網絡規模較大或需要頻繁變動時，該模式由于維護時間和成本較高而不再適用。

2.2 基于MAC地址的劃分

基于MAC地址的劃分是根據每臺設備網卡的MAC地址來劃分VLAN，屬于動態VLAN的一種，由于VLAN是與MAC地址綁定，所以當設備的物理位置發生變化的時候，無需再重新配置VLAN，僅在設備更換網卡的情況下才需重新配置VLAN，使得后期維護變得簡單。但前期需對所有的MAC地址進行查看和綁定VLAN操作，對于大型網絡來說，前期工作量較大。

2.3 基于IP地址的劃分

基于IP地址的劃分也是屬于動態VLAN的一種，它是通過設備IP來決定屬于哪個VLAN。當設備由于更換網卡導致MAC地址改變時，由于其IP地址并未發生改變，所屬VLAN也未發生變化，因此無需再重新設置VLAN。

3 VLAN在醫院網絡中的應用

3.1 隔離內外網

目前醫院由于存在的業務系統繁多、組織結構和業務流程等原因，無法實現內外網的純物理隔離，同一科室即需要訪問內網業務系統，也需要訪問外網業務系統。若想實現多業務系統之間的互聯互通，同時保證各個系統安全獨立，需在二層交換機上針對不同的業務系統配置不同的VLAN，將業務系統實現物理隔離，控制各業務系統之間的相互訪問。同時也需要在三層交換機上通過配置ACL（Access Control List，訪問控制列表）實現允許或禁止特定VLAN數據通過，控制病毒在網絡中的傳播，從而保證數據安全。

3.2 增加網絡靈活性

借助VLAN技術，能將不同地點、不同網絡、不同用戶組合在一起，形成一個虛擬的局域網絡環境，在不改動網絡物理連接的情況下可以任意地將工作站在工作組或子網之間移動，就像使用本地LAN一樣方便、靈活、有效[1]。

3.3 提高網絡安全性

處在同一VLAN的端口存在于一個廣播域中，即該VLAN內的所有端口只能收到此VLAN內端口發出的廣播包，這樣就可以有效的隔離廣播域，減少網絡中的廣播包，抑制廣播風暴的發生。當網絡中的某臺設備出現故障時，通過VLAN設置可以減小故障設備影響范圍，并快速定位故障，有效進行故障排查。

3.4 合理規劃和分配IP地址

如表1所示，每一個VLAN對應一個IP地址段，屬于該VLAN的PC或設備只能配置該VLAN對應IP地址段內的IP地址，否則將無法進行三層通信。這樣不僅合理規劃和管理了IP地址，減少IP地址沖突的產生，同時也減少了IP地址盜用對網絡產生的不良影響。

表1 醫院VLAN配置表Tab.1 Hospital VLAN configuration

4 VLAN在醫院網絡中的應用實例

某大型醫院采用核心三層交換機熱備的方式，同時匯聚交換機通過兩條線路分別連接核心交換機，接入交換機也采用雙線路的方式接入匯聚交換機。這樣當網絡中的匯聚交換機或核心交換機出現故障時，可迅速自動切換到另一條線路上，不會導致業務中斷，前端用戶基本感覺不到網絡波動，這種雙機熱備的方式能保障醫院業務的正常運轉。

通過在核心三層交換機上劃分VLAN，可以保障各個業務的獨立運行，同時設置端口訪問控制列表，可以讓VLAN之間互聯互通。在核心交換機上執行Show VLAN命令可以查看所有的VLAN信息，包含VLAN名稱，VLAN類型和VLAN對應的端口號。如下所示，所有VLAN均配置為靜態VLAN，內網業務配置為VLAN20，外網業務配置為VLAN10，服務器配置為VLAN80和VLAN81，大屏配置為VLAN99等。通過給不同業務配置不同VLAN，可以實現各個業務的獨立運行，為了實現業務的互聯互通，可以將接口類型配置為TRUNK，同時配置接口允許通過的VLAN列表，已達到系統之間的交互。

5 存在的問題

VLAN雖然結構簡明，管理方便，但在網絡的日常管理中心，也應注意相應的維護工作[2]。每一次的軟件或硬件的更改或升級都有可能涉及到VLAN的維護，因此對網絡管理人員的業務水平提出了更高的要求。網絡管理人員需要維護好VLAN配置表，定期檢查網絡設備如路由器和交換機等的配置是否正確，同時做好配置表的備份工作，以便出現網絡故障時能及時定位和解決，防止網絡故障的蔓延。

另外，VLAN技術本身也存在在技術標準不統一的問題，目前已有的VLAN標準包含802.10標準、802.1Q標準及思科公司的ISL等，由于不同廠商的設備使用的VLAN標準不同，在互相通信時存在通信協商的問題。

6 結語

VLAN技術作為一種新一代的網絡技術，它在我院的應用為解決網絡重點的靈活配置和網絡安全性等問題提供了良好的手段[3]。雖然VLAN技術目前還有很多問題需要解決，但隨著技術的不斷進步，VLAN技術也將不斷完善，今后會在醫院網絡管理中得到更加廣泛的應用，提升醫院的網絡管理效率和水平。