Analýza síťové infrastruktury Nemocnice Kyjov Analýza datové infrastruktury nemocnice Kyjov 1/12
Analýza síťové infrastruktury Nemocnice Kyjov 1 Pojmy PACS Picture archiving and communication system Systém pro komunikaci a archivaci obrazových dat. Využívaný pro tzv. elektronické zobrazování rentgenových a jiných snímků. (http://en.wikipedia.org/wiki/picture_archiving_and_communication_system) NIS Nemocniční informační systém HA High availability Vysoká dostupnost systémů. Míra dostupnosti je vyjádřena v procentuální dostupnosti systémů. V návrzích systémů je tento požadavek zohledňován nasazením záložních řešení a případně dvojnásobným jištěním. (http://en.wikipedia.org/wiki/high_availability) VLAN Virtual local area network nezávislá logická síť. (http://cs.wikipedia.org/wiki/vlan) 2 Vstupní data, cíle a požadavky analýzy Cílem zadavatele je posouzení současného stavu datové infrastruktury v areálu nemocnice Kyjov. Na základě zjištěných výsledků požaduje zadavatel návrh koncepčního řešení úprav pro zajištění maximálního možného výkonu datové infrastruktury. S ohledem na dané finanční prostředky zadavatele. Zadavatel uvolňuje částku XXX.XXX, Kč ročně do správy a rozvoje datové infrastruktury na základě 'rámcových kupních smluv' (konkrétně s firmou NetSys, RKS aktivní a pasivní prvky, kabeláž, konektory a RKS poskytování IT služeb ) Důvodem analýzy bylo zjištění nízké datové propustnosti pro nově provozovaný systém PACS, kde se jedná zejména o přenosy větších objemů dat z modalit zobrazovacích zařízení na datová úložiště systému (v daném prostředí je tímto úložištěm NIS server) a následně také datový tok ze úložišť na PC s klientskými prohlížeči. V průběhu probíhajících stavebních úprav v budově 4 zadavatel zvažuje vybudování druhé serverovny v místnosti sklepních prostor této budovy. Do této místnosti je již nyní svedena nová kabeláž datových rozvodů a již nyní je v ní umístěny aktivní prveky sítě. Není mi známa konkrétní specifikace či požadavek na datovou infrastrukturu (např. rychlost nebo propustnost) od dodavatele PACS řešení. 3 Současný stav síťové infrastruktury K současné datové infrastruktuře není prakticky žádná plnohodnotná dokumentace. Proto je většina skutečnosti ověřena ze skutečnosti, nebo je přeznamenána z částečných podkladových materiálů dodaných k analýze. Hvězdicovitá topologie sítě má střed v administrativní budově č. 8 (viz. orientační plán), která je na okraji areálu. V centrálním bodu hvězdice je jediná serverovna se servery pro poskytování veškerých služeb a aplikací. Na aktivních prvcích v tomto bodě není použita žádná technologie pro QoS do jednotlivých větví sítě ani jiné omezení. V serverovně je přípojný bod k 'internetu'. 3.1 Aktivní prvky Aktivní prvky v síti jsou buď 100 Mbps a nebo 1Gbps. S hlediska celkové výkonnosti jsou umístěny přibližně na nejoptimálnějších bodech sítě. Optické převodníky jsou 1Gb. Vyjma nově pořízených prvků (hp baseline 2628) se jedná vesměs o starší prvky. 3.1.1 Switche Vzhledem k datu pořízení u většiny switchů (před 3 4 roky i více) a umístěním v topologii jsou jejich výkonnostní parametry převyšovány požadavky. Je nutné ale zmínit, že se jedná o velmi kvalitní produkty (v době svého pořízení), které mohou být umístěny na méně exponovaných místech v síti a kde mohou velmi dobře sloužit ještě několik let. Těmito místy můžou být aktivní prvky druhé a třetí skokové úrovně v topologii. 2/12
Analýza síťové infrastruktury Nemocnice Kyjov 3.1.2 Datové trasy Pro dlouhé datové trasy (<150m) je využita technologie optických vláken v kombinaci s jednotlivými převodníky pro každou optickou trasu na obou jejich koncích. Současné optické trasy jsou 1 Gb. Pro rozvody k ke koncovým datovým zásuvkám je použito metalického kabelu Cat5E stejně tak jako v případě spojení krátkých tras (spojení aktivních prvků uvnitř jednotlivých budov). 3.2 Datové toky, zdroje a směry Centrum zobrazovacích metod (RTG, CT atd.) je umístěno v budově 4 v 1.NP. CT modality využívají vlastní podsíť a jsou připojeny přes jeden vlastní bod (server) do prvku S01.1000/S21.1000. RTG modality jsou připojeny v budově 4 do stejného aktivního prvku. PACS prohlížeče snímků jsou na všech PC, ale největší četnost užívání je na chirurgických klinikách (budova 4), ARO (budova 4), TRN ambulance (budova 1). Všechny PC mají neomezený přístup do vnějšího internetu přes proxy server. 4 Úzká místa 4.1 Aktivní prvky V současné topologii je nejužším místem vrchol topologické sítě tedy konkrétně aktivní prvky S00.1000/S21.1000. Tyto jsou vzhledem ke svému výkonu (přibližně kolem 50Gbps), umístění a faktu, že je přes ně překládána téměř veškerá komunikace celé sítě nejslabším místem. Prvek S02.1000 svým umístěním v topologii a výkonností také není plně dostačující. 4.2 Nadměrná hloubka topologie Jako důsledek postupného budování datové infrastruktury stylem 'ad hock' je v některých případech až 7 násobný skok v cestě (viz. příloha topologie). Z toho plyne další, že k dalším ztrátám dochází právě těmito skoky. 4.3 Použití několika podsítí v rámci jedné fyzické sítě Vzhledem k počtu PC je použito několik podsítí s 24 bitovou maskou, tyto komunikují v jedné fyzické síti, tím dochází k částečné nadměrné komunikaci a plošného šíření broadcastů. 5 Závěr a doporučení Závěrečná doporučení jsou řazena postupně, bez uvedení celkových finančních částek za jejich realizaci. 5.1 Využití prostor nové serverovny v budově č. 4 Jednoznačným doporučením je vytvoření nové serverovny v budově č.4, jednak zde již je zakončení datových zásuvek a přípojů (pro budovu 4, 1.NP + 1.NP) ale hlavně se jedná o vhodně umístěnou budovu pro budování nových (rezevních, rozšiřujících) páteřních tras sítě. Samotná vyšší počáteční investice do vybudování nové serverovny se v budoucnu velmi vyplatí a lze tím dosáhnout bližšího fyzického umístění dat aplikací s vysokými požadavku (PACS, NIS). Zároveň se dosáhne předpokladu pro budování infrastruktury s podporou vysoké dostupnosti HA, která je v nemocničních zařízeních této velikosti žádoucí. Také předpoklad pro dislokované úložiště záloh a replik, které tímto vznikne je velkou výhodou pro budoucí plánování. Systémy určené k přenosu do nových prostor: NIS (nyní společně s PACS archivem) 3/12
Analýza síťové infrastruktury Nemocnice Kyjov kamerový systém 5.1.1 Podmínky pro vybudování serverovny Dostatečný příkon ze zálohovaných okruhů elektrické energie (s ohledem na maximalní osazení serverů) Dostatečná dvojitá nezávislá klimatizace (dvě samostatné klimatizační jednotky, každá o ~80% výkonu pro maximální kapacitu serverové kapacity). V případě havárie je možné jednou jednotkou poskytnout alespoň nekritické tepelné prostředí pro všechny stroje. Vybudování samohasícího zařízení s hasební náplní určenou pro tyto prostory Vybudování evidenčního systému pro pohyb oprávněných osob. Přistup do prostor pouze pro pověřené pracovníky umístěných systémů s možností zpětného zjištění těchto přístupů. (Čipové karty, čtečky otisku prstu, záznamový formulář) 5.2 Pořízení nových aktivních prvků Z analýzy úzkých míst je nutné nahradit prvky S00.1000/S21.1000, S01.1000/S29.1000 a S02.1000. Tyto prvky lze považovat za páteřní prvky s nejvyšší důležitostí. S ohledem na provoz a potřebnost rychlého řešení havárií je vhodnější volit prvky s 24 mi porty, kdy je možné nahradit celý nefunkční prvek jiným méně výkonným záložním zařízením, které lze v případě potřeby nakonfigurovat pro daný bod. Technické specifikace pro aktivní prvky switche lze rozložit do tří úrovní podle umístění v jednotlivých stupních hierarchie topologie: hlavní prvky jsou ty, které jsou přímo u optických převodníků a něž je směřována komunikace z nižších úrovní. Jsou určeny zejména pro připojení serverů a důležitých datových prvků. Tyto prvky by měly být vysoké kvality. Příkladem může být prvek uvedený v nabídce firmy NetSys HP E4210 24G (jde o plně Gb prvek s možností rozšíření na 10 Gb přípoj, který svým výkonem je na spodní hranici výkonnosti pro dané požadvky). Je nezbytné pro funkčnost a výkonnost snížit požadavky na tyto prvky. prvky se středními požadavky prvky druhé a třetí úrovně topologie. Alespoň plně 1Gb prvky s výkonem nad 100Gbps pro routing i forwarding. koncové prvky prvky pro koncové přípoje datových zásuvek. Prvky 1Gb nebo 100Mb s dostatečným výkonem pro daný počet koncových zásuvek. Všechny uvedené prvky by měly být s plným managementem. Záměrem by mělo být nahradit zastaralé a nevyhovující prvky. Je vhodné konsolidovat 8 mi a méně portové prvky do víceportových prvků, čímž dojde ke snížení počtu skoků. Celkem pro okamžité nasazení je zapotřebí 5 kusů hlavních aktivních prvků a 3 prvků se středními požadavky. 5.3 Vybudování nových páteřních tras Vybudování nových páteřních tras optických. Ve stejné topologii hvězda, avšak s centrem v nové serverovně. A to tak jak budou postupné finanční možnosti. Prvotní je vybudování přímé cesty pro aktivní prvek ke koncovým datovým zásuvkám pro oddělení ARO (současně napojení prvku pro bývalé odd. KOZ a PSY) Následná potřebná nová trasa je pro prvek odd. INT. a dále na RHB (budovy 2 a 3), kde je havarijní stav optického kabelu. Při budování nových optických tras lze (je vhodné) používat technologie umožňující zvýšení rychlosti páteřní komunikace na 10Gb. Není bezpodmínečně nutné zakončení všech optických vláken optické trasy (tyto lze zakončit až v případě potřeby pouze je nezbytné tuto možnost neopomenout). Pro optické trasy volit osmi vláknový optický kabel s propustností 10Gb. Cenu jednotlivých páteřních tras je těžké obecně finančně ohodnotit. Jedná se o velmi individuální cenové nabídky. V obecnosti lze ale říci, že cenově přijatelnější je 10Gb trasa zakončená 1Gb převodníky, kde poměr výkon/cena je výhodnější ve srovnání s plně 10Gb cestou. Výhodou může být realizace pokládky 4/12
Analýza síťové infrastruktury Nemocnice Kyjov optického kabelu při probíhajících stavebních úpravách, respektive při jejich dokončovacích pracech, aby nedošlo k poškození kabelu. Ušetří se tím náklady spojené s demontáží a montáží pohledových prvků. 5.4 Osamostatnění nezávislých datových toků Je vhodné převést nezávislé datové toky mimo vnitřní síť. Takový datový tok může například reprezentovat kamerový systém. 5.5 Zavedení koncepce VLAN Současně s nasazením nových prvků je vhodné pro jednotlivé logické skupiny (oddělení a pracoviště) používání VLAN. Tímto krokem se zvýší i bepečnost doatové komunikace. Zavedení serverové VLAN pro oddělenou komunikaci pouze pro servery, například pro potřeby zálohování atd. Pro tento síť je vhodné použít vlastní optickou trasu mezi serverovnami. 5.6 Další doporučení Doplnění dokumentace k síti. Vytvořit kompletní dokumentaci pro aktivní prvky sítě. Označení aktivních prvků štítky. Příkladem může být značení SXX.1000 _ rychlost Mb číslo aktivního prvku typ prvku: Switch Označení všech zásuvek a označení jejich zakončení u aktivních prvků štítky. Tento údaj lze zaznamenat do dokumentace. Analýza serverovny Použití statistického serveru pro sběr dat o objemech přenesených dat na jednotlivých aktivních prvcích. To umožní jejich další analýzy. (např. cacti) Použití sledovacího serveru (např. nagios) pro zajištění nepřetržitého dohledu nad aktivními prvky sítě. Omezení přístupu na internet proxy server s autentifikací, definivání skup uživatelů s neomezeným přístupem, omezeným přístupem a skupiny bez přístupu. Omezení podle obsahu stahovaných dat. 6 Přílohy 1. Orientační plán areálu 2. Seznam budov 3. Seznam prvků 4. Seznam tras 5. Schéma současné topologie 6. Schéma plánované topologie 7. Schéma zapojení serverovny 5/12
Analýza síťové infrastruktury Nemocnice Kyjov 6.1 Orientační plán areálu 6/12
Analýza síťové infrastruktury Nemocnice Kyjov 6.2 Seznam budov 7/12
Analýza síťové infrastruktury Nemocnice Kyjov 6.3 Seznam prvků 8/12
Analýza síťové infrastruktury Nemocnice Kyjov 6.4 Seznam tras 9/12
Analýza síťové infrastruktury Nemocnice Kyjov 6.5 Schéma současné topologie 10/12
Analýza síťové infrastruktury Nemocnice Kyjov 6.6 Schéma plánované topologie 11/12
Analýza síťové infrastruktury Nemocnice Kyjov 6.7 Schéma zapojení serverovny 12/12