省三医院新门诊大楼网络安全建设项目实施方案

省三医院新门诊大楼网络安全建设项目实施方案

甲方：省三医院

乙方：武汉埃郭信息技术有限公司1组吴冰冰

项目背景

省三医院新建一栋门诊大楼，地址位于原三医院东南处空地。为了响应国家建设数字医疗，构建医联网、医共体的号召，新门诊大楼现有计算机网络，实现各门诊室、药房、医学影像科室及后勤科室的终端数据互通。同时能满足各相关科室连接总院 HIS（医院信息系统）、EMR（电子病历系统）、PACS（影像归档和通信系统）的需求。出于等保合规和自身业务安全的考虑，现需要该网络上通过网络安全设备实现安全建设。

项目具体方案：

1. 在互联网出口以三层模式部署两台防火墙，作为连接公网的出口设备；在核心交换机和服务器的接入交换机之间以二层模式部署一台防火墙。
2. 公网出口防火墙与内网核心交换机，汇聚交换机运行 OSPF，使内网路由互通。
3. 公网出口防火墙配置缺省路由，并把缺省路由引入到 OSPF，传递给其他三层设备学习。
4. 公网出口服务器配置 NATP，使内网的 PC 终端能够访问互联网。
5. 公网出口防火墙配置入侵防御策略，防御外网对内网发起的DDOS，扫描攻击。策略源区域设置为 untrust，目的区域为 trust。
6. 公网出口防火墙配置攻击防御策略，防御外网对内网的入侵行为。策略设置为 untrust，目的区域为 trust。
7. 公网出口防火墙配置 WAF 策略。防御外网对内网Web 服务器的入侵行为。策略源区域设置为 untrust，目的区域为 trust。
8. 公网出口防火墙，配置攻击防御策略，防御互联网上的病毒进入内网。策略源区域为 trust，目的区域为 untrust。
9. 服务器取得边界防火墙，配置攻击防御策略，入侵防御策略。源区域为 untrust，目的区域为 DMZ 区。
10. 在公网出口防火墙上配置 IPSec VPN，与市疾控中心建立连接。

项目拓扑图：

项目规划表格：

设备

接口

VLAN

IP地址

说明

SW1

G1/0/1

VLAN 20

10.0.0.1/30

连接SW4

SW1

G1/0/2

VLAN 21

10.0.0.5/30

连接SW6

SW1

G1/0/3

VLAN 22

10.0.0.9/30

连接SW8

SW1

G1/0/4

VLAN 23

10.0.0.13/30

连接SW10

SW1

G1/0/5

VLAN 24

10.0.0.17/30

连接SW12

SW1

G1/0/6

VLAN 25

10.0.0.22/30

连接FW1

SW2

G1/0/1

VLAN 15

192.168.5.254/24

业务服务的网关

SW2

G1/0/2

VLAN 26

10.0.0.25/30

连接SW5

SW2

G1/0/3

VLAN 27

10.0.0.29/30

连接SW7

SW2

G1/0/4

VLAN 28

10.0.0.33/30

连接SW9

SW2

G1/0/5

VLAN 29

10.0.0.37 /30

连接SW11

SW2

G1/0/6

VLAN 30

10.0.0.41 /30

连接SW13

SW2

G1/0/7

VLAN 31

10.0.0.46 /30

连接FW2

SW2

G1/0/8

VLAN 32

10.0.0.47/30

连接 FW3

SW-IRF1

/

VLAN 10

192.168.0.254/24

一楼门诊科室网关

SW-IRF1

/

VLAN 11

192.168.1.254/24

一楼药房网关

SW-IRF1

G1/0/1

VLAN 20

10.0.0.2 /30

连接SW1

SW-IRF1

G2/0/1

VLAN 26

10.0.0.26/30

连接SW2

SW-IRF2

/

VLAN 10

192.168.2.254/24

2楼门诊科室网关

SW-IRF2

/

VLAN 11

192.168.3.254/24

2楼药房网关

SW-IRF2

G1/0/1

VLAN 21

10.0.0.6 /30

连接SW1

SW-IRF2

G2/0/1

VLAN 27

10.0.0.30/30

连接SW2

SW-IRF3

/

VLAN 12

192.168.4.254/24

B超室网关

SW-IRF3

G1/0/1

VLAN 22

10.0.0.10/30

连接SW1

SW-IRF3

G2/0/1

VLAN 28

10.0.0.34/30

连接SW2

SW-IRF4

/

VLAN13

192.168.5.254/24

CT室网关

SW-IRF4

G1/0/1

VLAN 23

10.0.0.14/30

连接SW1

SW-IRF4

G2/0/1

VLAN 29

10.0.0.38/30

连接SW2

SW-IRF5

/

VLAN14

192.168.7.254/24

后勤科室网关

SW-IRF5

G1/0/1

VLAN 24

10.0.0.18/30

连接SW1

SW-IRF5

G2/0/1

VLAN 30

10.0.0.42/30

连接SW2

FW1

G1/0/1

VLAN 25

10.0.0.21/30

连接SW1

FW2

G1/0/1

VLAN 31

10.0.0.45 /30

连接SW2

FW3

G1/0/1

VLAN 15

192.168.5.254/24

业务服务的网关