网闸在医院网络安全管理中的应用

图１同闸工作原理示意图

如图１所示，当数据需要由外网向内网传递时，外部主机中止了外网所有的网络协议，中断了应用的客户和服务器的会话，将数据包还原为原始应用数据，并对数据进行完整性和安全性检查，安全处理后的数据被专用隔离开关系统摆渡到内部主机，摆渡时不采用任何协议，只有读和写两个命令，内部主机收到数据后，立即将数据重新封装为ＴＣＰ／ＩＰ格式，发往内网目的地。当数据需要从内网向外网传递时，也遵从相似的过程。通过摆渡技术，实现了内外网数据的动态交换，又保证了内外网永远不会直接相连，满足了内外网物理隔离的要求。

２医院内外网数据交换的安全设计

我院建有两个相互隔离的网络（见图２），一个是医院外网，通过防火墙和Ｉｎｔｅｒｎｅｔｆｆｆｌ连，划分有多个ＶＬＡＮ，通过三层交换实现ＶＬＡＮ间的路由，服务器区所处网段为１９２．１６８．１００．０／２４；另一个是医院内网，也划分有多个ＶＬＡＮ，通过三层交换实现ＶＬＡＮ间的路由，服务器区所处网段为１９２．１６８．２００．０／２４。

两个网络通过网闸相连，网闸连接外网的端口地址为１９２．１６８．１００．１／２４，连接内网的端口地址为１９２．１鹄．２００．１尼４。在没有配置网闸的情况下，两个网络的应用是不可以相互访问的，配置网闸时，为了安全起见，管理工作站必须连接在内网上，和网闸内网口通讯。

２．１外网数据交换的安全设置外网运行的办公ＯＡ系统，是基于Ｗｅｂ的应用，服务器名为ＯＡＳｒｖ，ＩＰ地址为１９２．１６８．１００．３０／２４，内网用户也需要访问外网的办公ＯＡ系统，这时需要在网闸上作如下配置：设置一条准出交换服务下的定制ＴＣｐｊＥｊ民务规则，代理地址为内网口地址１９２．１６８．２００．１，端口为８０：目标地址为外网ＯＡ系统服务器地址１９２．１６８．１００．３０，端口为８０，随后启动准出交换服务下的定制ＴＣＰ服务。

这样，内网用户就可以通过ｈｔｔｐ：／／１９２．１６８．２００．１／ｏａ来访问外网的办公ＯＡ系统了。

在内网ＤＮＳ服务器上加一条主机记录，名称ＯＡＳｒｖ，地址为１９２．１６８．２００．１。内外网用户都可以通过ｈｔｔｐＺ囝ＡＳｒｖ／ｏａ来访问办公ＯＡ系统。

２．２内网数据交换的安全设置内网运行的ＨＩＳ系统，是基于数据库的应用，采用的是ＳＱＬＳｅｒｖｅｒ数据库，服务器是Ｗｉｎｄｏｗｓ２００３双机群集系统，虚拟ＳＱＬＳｅｒｖｅｒ名称为ＨＩＳＳｒｖ，ｌＰ地址为１９２．１６８．２００．２０／２４。外网部分用户也需要访问内网ＨｌＳ系统中的综合查询系统，这时需要在网闸上作如下配置：设置一条准入交换服务下的定制ＴＣＰｆＪ艮务规则，代理地址为外网口地址

图２青岛大学医学院附属医院内外同络示意图

１９２．１６８．１００．１，端口为１４３３，目标地址为内网ＨｌＳ系统中ＳＱＬＳｅｒｖｅｒ虚拟地址１９２．１６８．２００．２０，端口为１４３３；随后启动准入交换服务下的定制ＴＣＰ服务。

这样，外网用户就可以通过代理地址１９２．１６８．１００．１访问内网的ＨＩＳ系统。

在外网ＤＮＳ服务器上加一条主机记录，名称为ＨＩＳＳｒｖ，地址为１９２．１６８．１００．１。内外网用户都可以通过同样配置的ＨＩＳ客户端来访问ＨＩＳ系统了。

网闸内网口和外网口，除了可以分别设置一个主地址外，还可以设置多个从地址，来满足多个应用需要多个代理地址的要求。

３应用效果

基于网闸的内外网隔离方案既能保证内外网的安全隔离，又能实现实时、高速、安全的进行数据交换。该方案在我院已运行２年多，其问外网经常受到ＡＲＰ欺骗、拒绝服务等病毒和木马的攻击，导致网络有时不稳定，出现短时部分网段时断时续现象，但内网核心业务系统始终保持连续安全运转，很好地满足了医院业务对网络安全的要求，为医院信息化建设提供了有力的保障。９

参考文献

ｆ１】刘雄飞，陈金雄．加强信息系统建设提高医院现代管理水平．中华医院管理杂志．２００４（２０）：５５２－５５６．

【２】２傅征，任连仲．医院信息系统建设与应用．北京：人民军医出版社，２００３：１５４－１５６．

【３】王瑁，李立新，李福林．物理隔离和网闸的技术原理浅析．微计算机信息，２００７（２３）：５３－５５．

【４１４蔡东蛟．基于物理隔离的网络安全的实现．计算机安全．２００７（１１）：４６—４９．

【５】万平国．网络隔离与网闸计算机安全，２００４（７）：ｚｏ一２２．

【收稿日期：２００９—０６—２４】

（责任编辑：刘华）

网闸在医院网络安全管理中的应用

作者：苗元青， 辛海燕， 徐浩， MIAO Yuan-qing， XIN Hai-yan， XU Hao

作者单位：青岛大学医学院附属医院计算机中心,266011,青岛市江苏路16号

刊名：

中国数字医学

英文刊名：CHINA DIGITAL MEDICINE

年，卷(期)：2009,4(9)

1.万平国网络隔离与网闸[期刊论文]-计算机安全 2004(07)

2.蔡东蛟基于物理隔离的网络安全的实现[期刊论文]-计算机安全 2007(11)

3.王瑁;李立新;李福林物理隔离和网闸的技术原理浅析[期刊论文]-微计算机信息 2007(23)

4.傅征;任连仲医院信息系统建设与应用 2003

5.刘雄飞;陈金雄加强信息系统建设提高医院现代管理水平[期刊论文]-中华医院管理杂志 2004(9)本文链接：/Periodical_zgszyx200909025.aspx