无线_医疗方案建议书_v2.0

XXX 无线医疗方案建议书深信服科技有限公司xxxx年xx月目录1、概述 .51.1 公司介绍 .51.2 医院 WLAN 现状分析 61.3 项目介绍 .61.4 医院 WLAN 需求分析 61.4.1 高速的无线业务网络 .71.4.2 随时随地的 BYOD.71.5 医院 WLAN 当前面临的挑战 81.5.1 终端、应用类型多, 不易管理 .81.5.2HIS、PACS、OA、邮件等办公系统带宽被大量抢占 81.5.3 攻击手段多样，内网安全有威胁 91.5.4 空中垃圾多，无线接入稳定性得不到保证 92、方案设计 .102.1 AP 布放设计 102.2 无线组网方式 112.3 信道规划 .122.4 医院 WLAN 高速业务设计 .132.4.1 端到端的网络协议栈加速 .132.4.2 应用识别和流量控制 .132.4.3 针对无线的网络优化 .142.4.4 智能负载均衡 .152.4.5 快速 L2/L3 漫游 .152.4.6 射频优化 .152.5 医院 WLAN 全面、便捷的安全设计 .162.5.1 更全面的安全 .162.5.2 更便捷的安全 .172.6 医院 WLAN 运营、宣传设计 .202.6.1 个性化的页面推送 .202.6.2 微信认证 .202.7 设备选型 .213、方案亮点与价值 .223.1 更快速、更稳定的医院业务 WLAN.223.1.1 端到端的网络协议栈加速 .223.1.2 终端识别与流量控制 .223.1.3 应用识别和流量控制 .233.1.4 针对无线的网络优化 .233.2 更安全、更便捷的医院安全 WLAN233.2.1 更全面的安全防护 .233.2.2 更便捷的安全管理 .243.3 无线可运营化 .253.3.1 内置信息推送中心 .253.3.2 医院微信公共平台对接 .253.4 高扩展性、高可靠性 264、产品介绍 .274.1 无线控制器 WAC 系列 274.1.1 产品规格 .274.2 无线接入点 AP 系列 354.2.1 产品规格 .355、售后服务 .395.1 深信服服务体系介绍 395.2 技术支持及服务内容 405.3 深信服服务及维修流程 401、概述1.1 公司介绍深信服公司成立于2000年，是中国最大的应用层网络设备供应商，致力于提供基于网络应用层的产品及解决方案。目前，全球有超过21,000家用户正在使用深信服的产品。在中国入选世界500强的医院中，有85%以上的医院都是深信服的用户。截止2013年3月，深信服在全球共设有49个直属分支机构，分布在全球8个国家和地区，并拥有超过1400名员工。作为中国应用层网络市场的领导者，深信服持续每年将总营收的15%投入到研发，并在深圳和北京设有研发中心。截至2013年12月，深信服共申请超过100项发明专利。同时，深信服还是IPSec VPN和SSL VPN两项国家标准的主要承建单位。深信服每年保持着50%以上的增长率，被评定为“国家规划布局内重点软件医院” ，连续八年入选德勤“亚太地区高科技高成长500强” ，连续两届荣获财富 “卓越雇主中国最适宜工作的公司” 。 创立时间：2000年 员工数：1400人 客户数：21,000家 年增长率：超过50% 专利数：申请超过100项1.2 医院 WLAN 现状分析医院随着业务规模的不断扩大，对医院提高运营效率的要求也不断提升，随着WIFI技术的不断发展，使其能更加稳定高效的承载医疗应用。很多医院在有线网络的基础上扩展无线网络来进行日常业务的开展，甚至很大一部分医院在新建场所时，考虑建设的成本和传统网络的繁琐，也希望可以通过WIFI接入技术实现他们的目的。事实上，无线应用已经深入到医疗当中，除了日常办公之外，很多应用也正依赖于无线技术，比如移动查房，移动会诊，无线护理电子病历等等。1.3 项目介绍（客户背景介绍，IT现状，项目概述）1.4 医院 WLAN 需求分析随着智能移动终端的增加，医院 BYOD 的普及，高质量的 WLAN 已经成为一个成功医院必不可少选项。而在具体的应用过程中酒店 WLAN 包含以下具体的需求：1.4.1 高速的无线业务网络随着 XXX 医院的不断发展，对于无线网络的要求也越来也高，医院邮件、HIS、PACS 软件的高效使用都需要快速的无线网络支撑。1.4.2 随时随地的 BYOD信息技术高速发展，医院 BYOD 处于大势所趋，要实现医院内部任何时间、任何地点都能实现 BYOD，这就必须保证无线信号的无缝覆盖、快速漫游，而且信号质量高。对于多种接入终端，多个接入地点保证良好的一体化兼容、控制、管理。1.5 医院 WLAN 当前面临的挑战1.5.1 终端、应用类型多,不易管理BYOD的不断发展，终端类型多种多样，员工自带手机、平板、笔记本接入医院无线网络，对于医院而言，管控难度也加大。如果员工通过手机终端连接上WiFi，在上班刷微博，聊陌陌，炒股等与工作无关的活动，工作效率低下。1.5.2HIS、PACS、OA、邮件等办公系统带宽被大量抢占在一定的无线带宽情况下，员工运行大量的 P2P 下载，视频浏览等高耗带宽的应用，严重抢占正常的 HIS、PACS 、OA 、邮件等办公系统，造成无线带宽的不合理理由，无线办公效率低下。1.5.3 攻击手段多样，内网安全有威胁不同于有线网络基于物理端口进行安全防御，无线信号因其自身特点，覆盖区域内的任何人员都能看到无线信号，对医院而言，IT资源就是资产，难免会存在一定盗用账号、非法接入的安全威胁。1.5.4 空中垃圾多，无线接入稳定性得不到保证WiFi网络大多使用的2.4GHz频段，众所周知，2.4GHz频段是开放频段，工作在这个频段的设备很多，比如：微波炉、蓝牙、无线座机、外来AP 、监控摄像头等等，会对WiFi设备进行大量的干扰。除此以外，2.4GHz相互不干扰的信道只有1、6 、11，当部署区域被运营商的AP给占用以后，可用信道就不多了。在这种情况下，干扰会造成丢包和延迟，实际传输速率往往得不到保证。2、方案设计根据xxx公司的无线网络需求和无线网络设计原则，结合Sangfor无线系统技术和产品的特点，方案设计如下：2.1 AP 布放设计根据现场实际勘测、信号测试情况，无线网络采取蜂窝式部署方式。AP安装在走廊/墙壁上。区域一放置XX个AP 负责覆盖XXX区域二放置XX个AP 负责覆盖XXX区域三放置XX个AP 负责覆盖XXX设备清单及位置统计如下：序号 设备类型 设备品牌 设备型号 放置区域设备数量合计区域 1 区域 2 1 无线接入点 AP 深信服区域 3 区域 4 区域 5 2 无线控制器 核心机房 1 楼弱电井 2 楼弱电井 3 POE 交换机3 楼弱电井 2.2 无线组网方式结合用户无线网络需求情况，结合深信服产品自身技术特点，为了满足用户构建一个高速、稳定、安全、可靠、易于管理的无线接入网络的需求，本设计方案按照AP+AC的结构化无线网络解决方案进行设计。网络拓扑如下（可编辑）：2.3 信道规划使用2.4GHz频点为例，为保证信道之间不相互干扰，要求两个信道之间间隔不低于25MHz。在一个覆盖区内，最多可以提供3个不重叠的频点同时工作，通常采用1 、6、11三个频点。WLAN频率规划需综合考虑建筑结构、穿透损耗以及布线系统等具体情况进行。信道规划如下图：图纸中橙色、蓝色、黄色信号圈分别为1、6、11信道。圆心点为AP部署位置。2.4 医院 WLAN 高速业务设计 2.4.1 端到端的网络协议栈加速针对XXX医院现有干扰的无线网络环境，采用深信服独有的协议栈加速技术，客户端无需安装任何插件，只需在WAC 开启单边加速功能，通过改善无线传输协议算法，XXX公司的无线网络的传输速度就能够提升200%以上。有效解决无线网络由于干扰导致的无线传输速率低、丢包等网络质量问题。2.4.2 应用识别和流量控制针对 XXX 医院内部移动终端多种多样，员工运行着各种应用无法管控。深信服无线控制器内置全国最大的应用识别库和 URL 库，能自动识别 XXX 公司无线流量类型和终端类型，根据终端、应用类型设置相应的流量控制策略。对于 XXX 公司重要的HIS、PACS、OA、邮件、财务等办公系统进行重点的带宽保障，防止抢占。对于高耗流量的风行、迅雷、电驴等 P 2 P 下载，视频浏览我们可以进行带宽限制，防止此类应用对于带宽的过分抢占，从而保障医院正常的办公网络。2.4.3 针对无线的网络优化为了改善 XXX 医院的无线网络，深信服针对无线传输中拉低网络速度的相关机制进行了相应的优化，使无线网络传输速度得道进一步的提升。广播优化: 针对广播包发送机制优化，减少广播报浪费过多资源。ARP 转单播：通过对 ARP 发送机制的优化提升 ARP 效率。禁止 DHCP 包发往无线终端功能：通过对 DHCP 发送机制的优化提升 DHCP 效率。自动广播提速：将广播包原有的发送速度提高，加快广播包的传输效率。接入终端速度限制：支持接入终端速度限制，禁止低于一定速度的终端接入，提升整体网络速度。平均带宽分配：支持用户平均分配带宽，根据时间公平算法，防止单个终端拉低网络整体速度。2.4.4 智能负载均衡针对XXX医院存在办公区、会议室等部分区域人员集中的现状。深信服WAC无线控制器可智能实时的根据用户数和流量调将接入终端整分配到不同的接入点，平衡负载压力，极大的提高无线网络的容量和连接可用性。同时2.4G和5G之间可实现自动负载，提升无线接入质量。2.4.5 快速 L2/L3 漫游为了实现XXX医院在区域内的无线漫游、办公不中断，相对于传统Fat AP方案无法有效保证跨三层的漫游，深信服无线解决方案满足优秀的L3 漫游特性，用户漫游不受子网限制，保证XXX公司用户在不同区域间移动而业务不中断。2.4.6 射频优化依据XXX医院不同环境，WAC可自动进行射频调整，有效避开自干扰，也可以自动进行信道调整，为AP分配不同信道避开信道间的干扰。2.5 医院 WLAN 全面、便捷的安全设计2.5.1 更全面的安全针对 XXX 医院的实际情况，深信服通过精细的权限控制，非法 URL 的封堵，动态黑名单、防 DOS 攻击、IDS 等为 XXX 医院更全面的安全防护。2.5.1.1 精细化角色识别与授权管理针对 XXX 医院存在各个部门不同角色对象，对用户进行多级的角色授权，根据不同角色分配不同的访问和流控策略。根据医院的不同部，不同的终端、不同的用户划分不同的角色，并配以不同的权限，这样便能充分保证各自的安全，防止越权。2.5.1.2 危险应用和 URL 的识别和管控在 XXX 医院内部，员工通过无线访问网络，有可能会出现反问非法网络的情况，给医院带来安全风险。针对于此深信服无线控制器内置全国最大的应用识别库和 URL 库，能自动识别危险应用和 URL，我们可针对这些危险应用和 URL 进行封堵和控制，从而提高公司网络的安全性。2.5.1.3 动态黑名单无线控制器WAC会实时监控 XXX医院无线网络安全情况，如果网络中出现攻击终端，无线控制器会将其自动列入动态黑名单，在一段时间内禁止其接入。一段时间后检测如果该终端还存在攻击，则继续列入黑名单。如果恢复正常则允许其接入。2.5.2 更便捷的安全2.5.2.1 安全、便捷的访客认证系统二维码认证外来访客来到 XXX 医院接入网络后，无线设备自动向访客的终端推送 XXX 公司的portal 页面，页面中包含一个二维码，这个二维码中包含了访客终端的 MAC 信息。被授予接待权限的内部员工（行政部和领导）用自己已经接入内网的终端扫描此二维码，此时无线管理设备记录下接待员工的用户名和访客的 MAC 地址，访客可以便可以接入网络。临时帐号系统认证无线使用临时用户信息管理系统，访客到来 XXX 医院时只需在前台开设临时帐号，设定使用时间即可。临时用户在有效期内可以登录，超过有效期无法登录；临时账号管理系统拥有二级权限系统，该系统仅能进行临时帐号的创建、管理功能，给前台使用方便、简介。大大减少网络管理员压力。2.5.2.2 802.1X 自动配置802.1X 能有效保证 XXX 医院网络的安全性,但 802.1X 复杂的配置往往令 802.1X 认证实施遇到巨大阻力。对此，深信服为 XXX 公司提供了 802.1X 自动配置工具，让各个部门的人能够轻松使用 802.1X 认证。2.5.2.3 帐号、MAC 自动绑定针对XXX存在领导等人员帐号需要重点保障的情况，深信服针对重点帐号使用帐号、MAC自动绑定。防止越权访问的同时减少管理员繁琐的操作。而且一个账号最多绑定5个MAC，实现了安全性与灵活性的兼顾。2.5.2.4 统一集中管理结合深信服WAC无线统一集中管理平台，安装前无需对设备进行任何配置，部署完成后由无线控制器统一下发配置，极大的减少实施和维护的工作量及成本。后期维护中，通过WAC内置的图形化热点分析界面，可有效查找到问题点，轻松完成维护工作。2.6 医院 WLAN 运营、宣传设计2.6.1 个性化的页面推送深信服的页面推送可以根据用户、用户组、地理位置等多维度的推送。由此可以实现不同部门推送不同的页面，访客进入不同部门推送不同页面。同时，页面自定义灵活简单，不需要专业人员开发，普通网管人员即可实现灵活的自定义页面。2.6.2 微信认证访客进入医院接入无线网络，被定向到指定提示页面，提示访客关注医院微信号然后即可获取上网权限，访客关注医院微信号即可上网。这样便大大增加了医院的关注度，也便于后期的宣传。2.7 设备选型根据以上对xxx医院需求的分析，为了实现更快速、更安全的医院WLAN建设，XXX医院无线系统必须具备以下功能：1、 对无线网络的加速功能2、 对于医院重点的业务数据进行识别和带宽保障3、 对非法网络应用和URL进行识别和控制4、 802.1X配置能够实现自动一键配置5、 访客网络通过二维码认证或是单独的临时访客系统方式认证6、 无线接入点AP使用2.4G和5G双频接入保证接入数量和质量。基于此本次方案推荐使用深信服科技无线控制器WAC 系列和无线接入点AP 系列设备。然后基于XXX医院的实际环境，以及XXX 医院对于无线网络的信号要求选择部署X个AP-260,根据AP数量，选择深信服X 型号无线控制器。3、方案亮点与价值3.1 更快速、更稳定的医院业务 WLAN深信服无线通过特有的协议栈加速、射频优化、应用识别为 XXX 医院提供高速、稳定的无线网络，提升用户体验。并根据 XXX 医院内部 HIS、PACS、OA、邮件等业务系统进行带宽保障，建立更快速、更稳定的医院业务 WLAN。3.1.1 端到端的网络协议栈加速针对XXX医院干扰的无线网络环境，方案采用深信服独有的协议栈加速技术，客户端无需安装任何插件，在WAC 开启单边加速功能，通过改善无线传输协议算法，将无线网络的传输速度提升200% 以上。有效解决无线网络由于干扰导致的无线传输速率低、丢包等网络质量问题，大幅提升XXX 医院无线网络速度。3.1.2 终端识别与流量控制深信服方案通过无线控制器自动识别终端类型，根据终端类型设置相应的流量控制策略。实现了针对终端精细的流量控制。例如禁止手机耍微博、炒股等等。3.1.3 应用识别和流量控制对于 XXX 医院应用的杂乱无章，难以管控，本方案中深信服无线控制器通过内置全国最大的应用识别库和 URL 库，自动识别无线流量类型，并根据终端类型设置相应的流量控制策略。对于重要的 HIS、PACS、OA 、邮件、财务等办公系统进行重点的带宽保障，防止了其流量被抢占。对于高耗流量的风行、迅雷、电驴等 P 2 P 下载，视频浏览进行带宽限制，防止此类应用对于带宽的过分抢占，从而保障了医院正常的办公网络。3.1.4 针对无线的网络优化深信服方案针对无线传输中拉低网络速度的相关机制进行了相应的优化，使无线网络传输速度得道进一步的提升。3.2 更安全、更便捷的医院安全 WLAN3.2.1 更全面的安全防护深信服方案通过精细化的角色授权管理、危险应用和 URL 的识别与管理、内置证书、动态黑名单等为 XXX 医院提供了更全面的安全防护3.2.1.1 精细化角色授权管理医院内部结构的复杂、网络管理也越来越难。深信服的精细化角色授权管理针对不同角色对象，对用户进行多级的角色授权，根据不同角色分配不同的访问和流控策略。充分保证了各自的安全，防止越权。3.2.1.2 危险应用和 URL 的识别和管控调查表明 75%的网络攻击来自应用层，深信服通过内置全国最大的应用识别库和 URL库，自动识别危险应用和 URL，并加以控制和封堵，极大的提升了网络的安全性。3.2.2 更便捷的安全管理3.2.2.1 二维码认证通过二维码认证，访客从接入无线到通过审核、时间就在十秒之内完成，解决了便捷认证、防蹭网、责任溯源三大访客认证难点。3.2.2.2 802.1X 自动配置802.1X 能有效保证 XXX 医院网络的安全性,但 802.1X 复杂的配置往往另 802.1X 认证实施遇到巨大阻力。对此，深信服方案为 XXX 医院提供了 802.1X 自动配置工具，让各个部门的人能够轻松使用 802.1X 认证。大大降低了 802.1X 认证的推广实施难度3.2.2.3 帐号、MAC 自动绑定为了实现针对XXX公司领导等人员帐号需要重点保障的情况，深信服针对重点帐号使用帐号、MAC自动绑定。防止越权访问的同时减少管理员繁琐的操作。而且一个账号最多绑定5 个 MAC，实现了安全性与灵活性的兼顾。3.3 无线可运营化3.3.1 内置信息推送中心个性化内容推送深信服方案通过页面推送功能，可以实现针对不同位置或者不同用户推送个性化的Portal页面，同时，页面自定义功能可根据XXX医院的实际需要，灵活设置页面内容, 如医院产品最新信息推送、领导视察欢迎页面推送等。3.3.2 医院微信公共平台对接微信作为一个信息交流的平台，被越来越多的医院所重视，纷纷建立自己的微信公共平台，来实现医院宣传、资讯动态分享。SANGFOR 特有的微信认证方式，使用户通过对医院微信公共平台关注获得无线网络上网的授权，提高医院微信平台的利用率，帮助医院快速建立有效的信息分享平台。3.4 高扩展性、高可靠性根据不同组网规模，提供多样化的产品形态，用户可根据实际灵活选择，降低组网成本，提高效益。例如，针对中小规模网络、或者大型客户的分支机构，用户可以选择mini WAC，相较于同等性能的无线控制器，成本节省一半。同时，由于业务扩容，无线部署时需要考虑其扩展性，初期即购买高性能无线控制器投入太大，低端无线控制器又无法满足要求。深信服推出多样的产品形态，用户可根据组网规模按需部署。同时，虚拟化WAC 的解决方案可以部署于虚拟化服务器上，通过扩容license即可提升无线网络的规模，不必担心硬件设备淘汰浪费的问题。双机备份机制，配置实时同步，提供动态的故障转移机制，保证用户业务不因临时故障而中断，实现业务的快速恢复，降低系统因单点故障导致网络中断的风险。4、产品介绍4.1 无线控制器 WAC 系列深信服千兆系列无线控制器是深信服自主研发的集中管理无线接入点的控制设备，集防火墙，用户认证服务器，证书颁发中心，无线射频管理软于一体。具有多元化的认证方式，精细化的用户管理，协议优化，射频优化，二三层漫游，灵活的 Q0S 控制，本地转发、应用识别管控等功能。能够减少医院部署复杂度，降低医院部署成本，为客户打造安全、快速、可运营的无线网络。配合深信服无线 AP 系列，定位于中型 WLAN 接入业务，如：医院、商超连锁、校园、酒店、医院等高速的 wifi 应用场景。4.1.1 产品规格硬件规格 千兆系列无线控制器产品规格硬件规格项目 描述型号 WAC-3100 WAC-4100 WAC-4200 WAC-4300外形尺寸(长 宽高，单位：mm）275*175*44.5 430*300*44.5 430*375*44.5 430*500*89重量 1.6kg 3.85kg 6.65kg 15.3kg管理端口 1 个命令行管理 console 口，1 个 WEB 界面管理 MANAGE 口业务端口 2 个千兆电口 5 个千兆电口 5 个千兆电口5 个千兆电口 ；4 个 SPF 千兆光口USB 端口数 2 个 2 个 2 个 2 个功耗 4000 8000 15000 35000内置认证账户数 65000 65000 65000 65000VLAN 数量 04094 04094 04094 04094基础性能ESSID 数量 32 32 32 32802.11 协议簇 支持 802.11a/b/g/n 模式虚拟 AP 支持隐藏 SSID 支持多国家码部署 支持功率、信道调整 具备自动和手动两种方式调整功能用户在线检测 支持无线用户隔离 具备二层隔离和基于 SSID 的隔离功能无线用户强制断连支持多 SSID 个数 32用户无流量自动老化支持在线检测 具备 AP 和用户在线检测功能802.11mac40MHz 模式的20MHz/40MHz 自动切换支持新建连接数 防火墙并发连接数 本地转发 支持：具备 SSID+VLAN 的本地转发集中转发 支持数据转发部分集中转发部分本地转发支持二层漫游 支持漫游三层漫游 支