VxLAN+SDN在医院信息化建设中的应用

张新龙 王建林 丁雪乾

（兰州大学第一医院信息中心 甘肃省兰州市 730030）

目前远程会诊、电子病历之后，医疗行业的信息化状况及其进展，成为了越来越多的医院管理者关注的焦点之一[1]。与此同时，随着社会生活的发展，卫生医疗行业数据中心的计算部署规模不断扩大，应用迭代速度不断提升。因此，网络系统作为数据中心IT基础架构的关键部分，需要即时适应云计算数据中心业务部署的发展需求。然而，传统网络架构中，网络资源和应用系统高度耦合，资源调配需要手工管理，效率低下，无法适应云计算数据中心急剧增加的业务需求[2]。因此，本应用旨在利用H3C 公司的SDN 解决方案（SDN 软件平台，S10508X-V 核心交换机，S7506E 高端交换机等），融合VxLAN 技术优势，分期分阶段对医院网络进行改造和建设。最终完成全院的SDN 网络建设和改造工作，充分体现网络服务化的优势，使网络具备更好的人机交互体验，具备医疗行业领先的技术特色[3]。

1 基于“VxLAN+SDN”的系统整体设计

网络是医院稳定运行和信息化支撑的基础，网络的稳定可靠、故障的快速恢复直接影响到医疗安全，如何实现智能化运维，尽量避免或减少运维人员出入隔离区的次数，具有十分重要的现实意义[4]。

1.1 SDN技术特点

传统网络需要专业的运维员在设备现场对基础网络进行维护和保障，而使用SDN 技术核心目的是减少接触式运维，提高全院的信息化服务水平，保障医院信息化各环节可靠高效地运行[5]。本应用借助SDN 对传统网络进行改造，使全院网络具备安全、高效、智慧、开放、可视等特点，使之能发挥网络架构的技术优势。SDN网络技术不仅可以服务于HIS 系统、PACS 系统等核心业务，也可以通过SDN 快速将医院全部网络资源统一管理，极大减轻了新业务上线网络对接调测及在隔离区域快速组建网络的难度。

1.2 “SDN+VxLAN”架构

信息科技是常态化疫情防控的重要手段。用好大数据、人工智能、信息化网络、物联网等技术利器，可以增强我们与病毒“硬碰硬”的能力与勇气。我院将SDN 和VxLAN 两项先进的技术有机地结合在一起，真正实现一种灵活柔性的网络架构[6]，通过SDN 构造医院网驱动器，使用VxLAN 构建新一代柔性的基础网络，配合软件定义的相关理念，能够颠覆传统医院网“人适应网”的现状，从而实现整个院区网范围内的“网随人动”，减少了人员在隔离区的接触式运维。结合经验与需要，我院项目组进行了深入探讨与建设，在本次项目中新颖地采用了先进的网络架构设计思路SDN+VxLAN（软件定义网络和网络虚拟化），对骨干网架构进行升级改造，达到网络规范、技术先进、安全可靠、管理方便的目的。其具体策略为：

（1）全院采用四张网络（医疗内网，互联网，设备网，视讯网），四张网络实现物理隔离建设方式，每套独立的物理网络建设都采用SDN+VxLAN 技术，按照业务需求隔离成多张逻辑网络承载不同业务。网络架构支持横向、纵向弹性扩展，提高监控的精准度以及后期网络的弹性扩充。网络架构如图1 所示。

（2）所有控制策略均由SDN 控制器集中、统一管理，基于全网视角对不同业务设置不同控制策略，其策略更加规范。可以灵活针对疫区单独设制网络和业务策略。新设备上线不用现场调测网络，通过SDN 控制可以远程统一调度管理。

图1：SDN+VxLAN 网络架构

图2：隔离通道动态跟随架构

（3）根据业务主次、实际需求等灵活动态分配，保证核心业务可靠运行。

（4）通过SDN 控制器实现对全网网络设备集中统一管理及配置下发，无需手动对网络设备进行单独配置，网络设备管控更简单。

1.3 “SDN+VxLAN”技术优势

“SDN+VxLAN”是一种全新的信息网络架构技术，是新型的分布式协同生产机制以及新型的网络架构模式的基础。具有安全可信、异构多活、智能执行等优点，对其开展深入研究和恰当应用。

医院信息网络架构是一个开放的系统，具有适应各种政策、技术、业务发展的能力，遵循信息标准化的软件系统都可以接入到平台，并通过平台实现数据集成和应用集成。站在全新高度与常态化抗疫的时期下规划建设医院网络，必须有一个前瞻性、预见性的建设目标，同时也必须确保安全性、实用性与可执行性的结合，才能逐步建成一个完整、高效的网络架构。本应用服务内容从医院信息化基础建设出发，为医院提供区别于传统技术的便捷，可靠，易用，安全的通信网络，具备IP地址与物理位置解耦、网随人动、策略随行、故障设备即插即换、可视运维等能力，使医院网络从传统园区网升级到最新的SDN 网络，满足病房的网络组建、设备运维、策略随行以及新业务快速上线等需求。

2 “VxLAN+SDN”架构的技术要素

本应用从医院网络信息化建设角度出发，提出VxLAN+ SDN网络架构，包含的主要技术要素有VXLAN、EVPN、服务链技术以及多Fabric 技术。

2.1 VxLANN和服务链技术

VxLAN 技术是一种MAC in UDP 技术。VxLAN 基于IP 网络组建大二层网络，支撑医院SDN 网络方案实现IP 地址与物理位置解耦，不局限物理地址规划IP 等特性，VxLAN 分布式网关技术支撑医院网络设备的每个汇聚点配置文件相同，每个接入设备配置文件相同，使网络具备智能运维，故障即插即换的特性。

2.2 EVPN技术

EVPN 中，PE 之间的MAC/IP 地址学习是基于控制平面的，采用MP-BGP 协议通告MAC/IP 的可达性，是一种基于Overlay 技术的二层互连技术，EVPN 继承了MP-BGP 和VxLAN 的优势，本应用中EVPN 技术支撑分离控制平面与数据平面：控制平面负责发布路由信息，数据平面负责转发报文，分工明确，易于管理[8]。服务链可以做到L4～7 层的服务SDN 自动配置。网络设备可以通过L2～L4 层对网络流量进行初步的安全防护，即无状态防火墙，安全设备可以做L4～L7 层对网络流量进行精细防护，即有状态防火墙。服务链可以使得这两种防护做到统一界面呈现，极大简化配置。

2.3 多Fabric技术

多Fabric 解决方案采用EVPN 技术构建多园区的Overlay 网络，网络设备与VCF Controller 配合，可一键完成基础网络的自动部署，并且做到自动化过程的可视化，对物理网络和虚拟网络进行运维和监控。多Fabric 通过EBGP 技术建立Fabric 连接，实现Overlay 网络的多Fabric 统一部署，实现用户迁移策略随行。多Fabfric 技术支撑医院未来多院区网络规划，当有多个分支机构时仍然具备SDN先进的技术特性。

3 应用成效

在信息化和网络应用成为医院运行必要支撑的情况下，医院信息系统必须根据各种要求进行加强建设。我院信息化建设组以VxLAN+ SDN 为着力点打造了SDN 网络系统，具体的实现包括有：

3.1 无状态网络

传统网络划分L3 网段时往往与位置紧密关联，不同的楼层/楼栋划分不同L3 网段，用户移动往往要跨越不同L3 网段，IP 地址必须进行更换，网络变更效率低，工作复杂。采用SDN 后的网络为无状态网络，核心是位址分离，即IP 地址与位置解耦，让IP地址可以在任意位置接入，无需改变网络的配置。当遇到科室变动，部门不按照物理位置规划时，大大的简化了网络配置，无需网络管理人员频繁的更改设备的配置。

3.2 用户策略随行

医院SDN 方案策略随行的核心是“名址绑定”，即用户和IP地址一一对应，传统网络用户名和IP 地址是难以做到绑定的，一方面DHCP 的方式并不能保证单用户每次获取相同的IP，静态地址分配的方式又不能保障用户在移动过程中保持相同IP 能够在不同的位置进行正常的网络连接；本应用SDN 方案中无状态网络本身提供了IP 任意位置访问的能力，再配合名址绑定实现用户位置发生变化，IP 地址段没有变，而这种针对IP 的策略其实就是针对患者用户的策略，最终实现了患者用户的策略随行。

3.3 网随人动

传统网络终端的规划，接入到相关接入交换机的端口，从而实现VLAN 等权限和终端的匹配，一方面不能够解决用户和终端任意位置接入权限分配的问题，另外终端接入位置也受限制。本次SDN方案将人和应用作为核心，所有网络的资源跟随人和应用移动，网络用户在哪里接入、资源就下发到哪里。

3.4 网络通道虚拟隔离

医院传统网络在新业务上线、新部门增加时，要规划新的VLAN 来支撑新业务、新部门的网络用户，SDN 网络解决方案采用overlay 的技术，天然具备跨广域网的通道隔离能力，技术支撑是分布式VxLAN 技术，在汇聚层划分VxLAN 新业务组，接入层交换机一体化配置，不区分新业务和新部门，VxLAN 组通过SDN控制器直接下发到各个汇聚节点。我院SDN 控制平台虚拟出专用的隔离病区网络通道，通过SDN 控制平台下发策略使隔离病区的网络优先级全院最高，有力保障隔离病区优先使用医院的信息化资源，为隔离病区的快速响应提供信息化支撑。其隔离通道动态跟随架构如图2 所示。

3.5 兼容性良好

医院的SDN 网络方案仅要求核心、汇聚层设备支持VxLAN，接入交换机只要支持SNMP 协议即可，不要求必须是同一厂家。最大程度的节约了医院的信息化成本。

3.6 故障即插即换

采用的SDN 解决方案，核心层一份配置，汇聚层一份配置，接入层一份配置，每个角色的配置文件从SDN 控制平台下发，支持在设备故障、替换掉原有设备时，SDN 控制平台按照设备角色直接下发配置，无需人工干预，极大了增加了网络管理部门运维的便捷性[9]。

3.7 界面操作

可视化智能运维、新业务上线、设备运维、策略下发等操作全部从SDN 控制平台通过拖拉拽的方式进行。终端接入信息、流量信息、用户地图信息等通过可视化界面展示，屏蔽了设备底层命令，使网络变更、新业务上线时的网络配置都通过可视化的软件界面操作，极大减轻了医院网络运维人员压力[10]。

4 结语

对目前医院信息系统进行新技术的扩展和改造，以适应特殊时期对高危患者识别、严防院内感染、保障诊疗业务正常运行等方面的具有重要意义。

通过探索将疫情防控和支撑医院未来业务发展相结合，采用SDN+VxLAN 的解决方案为医院的信息化建设奠定了扎实的基础。首先，SDN+VxLAN 网络的建设，改变了传统网络故障造成的恢复周期长、故障定位难等难题，减少了运维人员接触和处置故障时间。其次，通过SDN+VxLAN 安全服务链、大数据网络探针、事件联动以及安全协同等多种安全措施，可以实现后期对医疗大数据应用、医疗数据进行按需、精细化的多层安全防护，实现数据安全威胁的快速自动化处理，避免人工操作的延迟，提升医院整体安全响应效率。总之，该技术让医院底层网络服务有了质的提升，是将新兴网络技术应用于医疗领域的一次实践和探索。