0引言
随着信息化进程的不断深化，计算机网络在影响着社会的各行各业的同时，也在不断冲击着传统医疗模式。近年来，为了适应新的形势，各个医疗机构都在积极进行信息化建设。本文以银川市中医医院为背景，探讨了当今医疗机构计算机网络存在的普遍问题，并进行具体分析和研究，给出了一套合理的计算机网络IP地址规划及VLAN划分方案，有效地解决了网络规划不合理、网速慢等问题，为医院的信息化建设提供了一个良好的基础环境。
1银川市中医医院计算机网络现状及存在的问题
1.1 IP地址问题
目前该院内网计算机的IP地址采用自动获取方式，但是由于管理疏忽，某些计算机的IP地址被用户或者网络管理员设置为固定IP。这样先开机的计算机就可能自动获取到未开机的计算机(该计算机的IP地址之前被手动设置为固定IP)的IP地址，当后者开机后会出现IP地址获取不到或者IP地址冲突等问题，导致无法连接网络。例如，计算机A的IP地址为固定IP: 192.168.1.56，计算机B的IP地址为自动获取方式取得，当计算机B的开机时间早于计算机A时，就有可能自动获取得到的IP地址为192.168.1.56，当计算机A开机时，计算机就会提示IP冲突，无法连接网络。虽然解决方法很简单，只需要将计算机A的IP设置为自动获取便可得到一个新的IP，但是也需要网络管理员到现场操作，给网络管理工作带来了极大的不便。
随着网络规模的不断扩大，网络覆盖范围的不断延伸，网络设备数量和种类也在不断地增加。对于网络管理人员，需要及时发现网络中存在的各种故障和隐患，以便能够快速故障处理，有效的排除网络故障，降低网络使用风险，确保各种业务的正常开展。在排除网络故障的过程中，经常需要网络管理人员对某一个IP地址的计算机进行地理位置的及时定位。例如，在杀毒软件查找到网络中攻击源计算机的IP地址时，网络管理员无法根据IP地址查找到该计算机的具体地理位置。
以上两个问题归根结底是由于IP地址规划不合理造成的。因此，如何对全院计算机的IP地址进行科学合理的规划成为网络规划的一个重要问题。
1.2 ARP攻击
ARP攻击，即地址解析协议攻击。首先，地址解析协议的作用是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的正常进行。ARP具体来说就是将网络层的IP地址解析成数据链路层的MAC地址。
ARP攻击则是通过伪造IP地址和MAC地址来实现ARP欺骗的，它能够在网络中产生大量的ARP通信量，使网络阻塞。攻击者只要持续不断地发出伪造的ARP响应包，就能更改目标主机ARP缓存表中的IP-MAC条目，从而造成用户上网速度慢，或者网络中断。
由于全院计算机内网均处于同一个网段内，较大的广播域造成了ARP攻击发生的可能性大大增加。而医疗行业又是关系到病人生命安危的重要行业，尤其对于门诊这样提供给病人及时性服务的重要区域，一旦发生ARP攻击，将造成大量的病人滞留门诊，不仅造成医院严重的经济损失，也会给医院的社会效应造成极大的负而影响。因此，怎样减少ARP攻击发生的可能性，并且在发生ARP攻击时能够尽可能快速地查找到攻击源，成为不容忽视的问题。
2医院计算机网络的设计原则
可用性:医院计算机网络应以医院的实际情况为根本和前提，充分考虑到医院的具体情况，在保证医院的门诊、住院流程顺利执行的基础上，最大程度地方便网络管理人员进行维护、管理，以减少医务人员运用网络的难度，从而降低人为操作引起的网络故障。
安全性:医院计算机网络中包含大量医疗信息和财务信息的重要数据，不论是损坏还是丢失，都会给医院造成极大的损失，因此网络的安全问题显得尤为重要。内外网严格分离是网络安全的基本设计，此外，主要的安全技术还有VLAN划分、IDS,IPS等技术。
可靠性:由于医院单位性质的特殊性，要求计算机网络支持24小时不间断的工作。网络一旦出现故障，就会影响医疗过程的顺利进行，严重的甚至导致医疗活动的停滞。所以，在网络设计中，要将高可靠性放在十分重要的位置，以确保医疗活动的正常进行。
可扩展性:随着信息技术的不断发展，及医院医疗活动对信息技术的依赖程度不断加深，医院网络的应用呈爆发式增长，只有具备扩展性和开放性的设备，才能拥有较长的生命力。
3计算机网络建设的基本技术
3.1 VLAN技术
VLAN (Virtual Local Area Network)技术，即虚拟局域网技术，是一种逻辑广播域，允许一组不限物理位置的用户群共享一个独立的广播域，即可使不同的用户群属于不同的广播域。这样，通过划分用户群，控制广播范围等方式，VLAN技术可以从根本上解决网络效率与安全性问题。
3.2三层交换技术
三层交换(也叫多层交换技术，或IP交换技术)是相对于传统交换概念而提出的。众所周知，传统的交换技术是在0SI网络标准模型中的第二层数据链路层进行操作的，而三层交换技术是在网络模型中的第三层实现了数据包的高速转发。
三层交换技术的出现，解决了局域网中的网段划分之后，网段中子网必须依赖路由器进行管理的局而，解决了传统路由器低速、复杂所造成的网络瓶颈问题。
3.3 NAT技术
NAT (Network Address Translation，网络地址转换)是将IP数据包头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT技术主要用于实现私有网络访问公共网络的功能。这种通过使用少量的公有IP地址代表较多的私有IP地址的方式，将有助于减缓可用的IP地址空间的枯竭。
3.4 VPN技术
VPN (Virtual Private Network)技术，即虚拟专用网络。该技术的功能是在公用网络上建立专用网络，进行加密通讯，在企业网络中有广泛应用。
4对该院的计算机网络进行IP地址规划及VLAN的划分
该院的网络系统可以分为门诊部、住院部、功能科室部、行政办公部及后勤部，其中，门诊部及住院部位于九层的综合大楼(其中一至三层属于门诊部，四至九层属于住院部)，功能科室与行政办公部位于后院三层小楼，后勤部位于后院的零散房间。根据该院的具体情况，为了使VLAN编号及IP地址能够和部门楼层对应起来，让管理人员一目了然，可以根据VLAN编号及IP地址确定用户的具体位置，本文提出如下VLAN及IP地址规划方案:
4.1 IP地址的规划
根据分析，本文将采用B类私有地址对该院的IP地址进行规划。IP地址中的第三段数字统一采用两位数，其中十位数字表示部门，个位数字表示楼层，具体规则如下: 1表示门诊部门，2表示住院部门，3表示功能科室部门，4表示行政办公部门，5表示后勤部门。1-9分别表示一至九层，其中后院零散房间的楼层号定为1。例如，172.16.12.3表示门诊部2楼的某个地址，172.16.31.3表示功能科室部门一楼的某个地址，172.16.51.3表示后勤部门的某个地址。
住院部门各个楼层均由病房区和工作区组成。对于住院部房间物理位置的规整性，本文将住院部IP地址的第四段数字进行统一规划，具体规则如下:第四段数字统一采用三位数字表示，如果该数字是一位数，则将其十位和百位数字用0代替，如果该数字是两位数，则将其百位数字用0替代，其中百位表示房间类别:0表示工作区，1,2表示病房区。例如，172.16.28.56表示住院部8楼工作区的某个IP地址，172.16.26.156表示住院部6楼病房区的某个IP地址。
4.2 VLAN的规划
完成IP地址的规划后，VLAN的划分可以根据IP地址的规划情况来确定。本文将每个楼宇的每个楼层划分为一个网段，因此可以将每个楼层划分为一个VLAN。VLAN的编号采用2位数。十位数字1表示九层的综合大楼，2表示三层的小楼，3表示后院零散房间。个位数字表示楼层。后院零散房间的楼层规定为1。例如，VLAN 17表示该VLAN是综合大楼7楼的VLAN。
5结论
通过以上方案可以看出，VLAN及IP地址的划分较为精确，管理人员仅仅依靠VLAN编号或IP地址，就能够确定出用户的具体位置，这为网络的维护带来了很大的方便。同时，由于VLAN减小了广播域的范围，使得ARP攻击只能影响到本楼层的用户，大大减少了ARP攻击的危害范围，同时也缩小了管理人员查找攻击源的排查范围，提高了解决问题的效率。
