Netzwerklösung in Spitalumgebung. Lösung realisiert im Spital Einsiedeln

Transkript

1

2

3 Netzwerklösung in Spitalumgebung Lösung realisiert im Spital Einsiedeln

4 Kälin Informatik AG IT-Dienstleister seit über 20 Jahren Team von 8 Mitarbeitern, davon 1 Lernender Hauptkundensegment: KMU von 5 bis 50 PCs Betreuung von Server-/ Netzwerkumgebung ZyXEL Produkte im Einsatz seit den ersten analogen Modems

5 Über das Spital Einsiedeln Bietet Notfall- und Grundversorgung für die Region 65 Betten 200 Mitarbeiter Privatabteilung ab 2014 Belegärzte & Klinikärzte

6 Die IT im Spital Einsiedeln Server 5 Hostserver ca. 20 virtuelle Server 1 Backup-Server Netzwerke Spital-Netz Patienten-Netz WLAN geplant Ca. 130 Client-Computer 50 Drucker Ca. 50 med. Geräte z. T. im Netzwerk 1 Leiter Informatik vor Ort Kälin Informatik AG als externer Dienstleister für Netzwerkbetreuung, Unterhalt, sowie Realisation von Projekten.

7 Gebäude Drei Gebäude in Distanzen von Meter. 2 Serverräume in 2 Gebäuden Hauptserverraum im Untergeschoss des Hauptgebäudes 2. Serverraum im Dachgeschoss des Gesundheitszentrum Verbindung zu Personalhaus

8 Ausgangslage Switches sind älter als 5 Jahre, Standard ist 100Mbit/s Technologie Teilweise Verwendung von 1 Gbit/s Uplink-Modulen Teilweise Fibre-Kupfer Adapter in Einsatz Separates Patientennetz Im Hauptserverraum ca. 80 Ethernet und 20 Glasverbindungen, verbunden über 7 Switches mit max. 24 Ports Viele Module sind immer schwerer erhältlich

9 Ist-Zustand Netzwerk

10 Aktuelle Situation Switches Netz Ort Ports - gesamt LWL LWL besetzt Kupfer Kupfer besetzt RSE-Netz Serverraum RSE-Netz Serverraum RSE-Netz Serverraum RSE-Netz Serverraum RSE-Netz Serverraum RSE-Netz Serverraum RSE-Netz Serverraum Zwischentotal RSE-Net EG Nord RSE-Net EG Süd RSE-Net 1. OG Mitte RSE-Net 1. OG Mitte Zwischentotal 48 37

11 Anforderung an neue Lösung Durchgängige 1 Gbit/s -Technologie Uplinks wenn machbar 10 Gbit/s Hauptserverraum soll eine vernünftige Ausfallsicherheit haben Überwachung des Patienten-Netzes IPv6-kompatibel Kleine Modellvielfalt Die Abhängigkeit von Drittanbietern sollte bei Störungen möglichst klein gehalten werden

12 Projektablauf Erstellen Plan und Inventar der vorhandenen Leitungen und Technologien Zusammenstellen der Anforderungen und Wünsche Evaluieren von Produkten Auswahl und Erstellen definitives Netzwerklayout Test-Installation Core-Switch und redundante Anbindung von ZyXEL XGS-Switches Migration des gesamten Netzwerkes

13 Gewählte Lösung Serverraum

14 Core-Lösung Zwei ZyXEL XGS sind redundant an den Core-Switch angebunden Zwei gestackte Switches Extreme Summit X670 mit je 48 Ports bestückbar mit: Ethernet 1 Gbit/s-Modul Ethernet 10 Gbit/s -Modul Fibre 1 Gbit/s -Modul Fibre 10 Gbit/s -Modul Redundanzen werden über redundante Leitungen oder manuell gewährleistet

15

16 Patientennetz Das bisher separat geführte Patientennetz wird neu mittels VLAN vom produktiven Netz getrennt. Im Konzept ist die spätere Integration von WLAN für Spital-Personal und Patienten vorzusehen.

17 Probleme und Feststellungen bei der Installation Probleme bei XGS mit Link-Aggregation bei mehr als einem Gerät mit Uplink auf Coreswitch. Firmwareupdate behob das Problem. Unterschiedliche Firmware bei 24- und 48-Port-Modell. Da es sich um managed Switches handelt, kann man mit einer Falschkonfiguration (z. B. VLAN) den Zugang zum Switch versperren (kein Speichern der Konfiguration nötig) Geräuschschwankungen bei Lüftern festgestellt

18 Argumente für ZyXEL Produkte Einfache Konfiguration über Webinterface Sehr gutes Preis-/Leistungs-Verhältnis sowohl bei Switches, wie aber auch bei den Modulen Dank 10GB-Uplink sehr schnelle Verbindungen möglich Gute Garantiebedingungen, kostenlose Firmware-Updates Kostengünstige Ersatzgeräte, dadurch hohe Lieferantenunabhängigkeit

19

20 Gast Zimmer 1 Mitarbeiter 1 Gast Zimmer 2 Mitarbeiter 2 Gast Zimmer 3 Abteilungsdrucker

21 Gast Zimmer 2 Gast Zimmer 1 Gast Zimmer 3

22 Gast Zimmer 2 Gast Zimmer 1 Gast Zimmer 3

23 Im VLAN-Segment eines Gäste-/Besucher-Zugangs oder auch bei Anschlüssen mit BYOD-Geräten müssen zusätzliche Massnahmen getroffen werden, um die angeschlossenen Geräte voreinander zu schützen. Risiken: Viren, die sich auf von der IT-Abteilung nicht kontrollierbaren Systemen im selben VLAN-Segment ungehindert verbreiten Gäste/Besucher können benachbarte Systeme ausspionieren und angreifen Ein Access-Switch mit VLAN-Segmentierung zusammen mit Port-Isolation kann hier den benötigten Schutz gewährleisten.

24 Öffentlich zugängliche Anschlüsse, wie sie für Gäste und Besucher benötigt werden, bergen das Risiko von versehentlichen Loops.

25 Gast-/Besucher-VLAN Internes VLAN

26 Netzwerk-Loops stören nicht nur den Traffic im betroffenen VLAN-Segment, sondern auch in allen weiteren VLAN-Segmente durch blockieren der Uplink- Verbindungen. Loop-Protection Pro: sehr einfache Konfiguration Pro: keine Netzwerkabhängigkeit/-beeinflussung Pro: kein Security-Impact Con: keine Uplink-Protection Spanning-Tree Pro: Uplink-Protection Con: komplexe Konfiguration Con: Abhängigkeit und Beeinflussung im ganzen Netzwerk Con: zusätzliche Security-Risiken

27 19874pps 15pps 50pps Gast-/Besucher-VLAN Internes VLAN

28 Die Limitierung der Broadcast- und Multicast-Pakete pro Port am Access-Switch kann einen Broadcast- Storm soweit eindämmen, um Störungen des Betriebs zu verhindern. Richtwerte für den Limiter Access-Ports pps Uplink-Ports 100pps x Access-Ports im VLAN-Segment

29 Bei der Auswahl eines Access-Switch ist zu beachten, dass im Einsatz mit Gäste- und BYOD-Netzwerkzugang erweiterte Funktionen zur Sicherung des Netzwerks und der User berücksichtigt werden. Empfohlene Funktionen VLAN Port-Isolation Loop-Protection/-Guard Broadcast-Storm-Control