医保网、妇幼网、互联网挤在一堆交换机上：一次讲清二级医院三网隔离怎么做

一、现场：看着三条线，其实是一张网

这是我们最近做的一个项目，客户是一家二级医院（含妇幼保健业务）。第一次进机房，看到的是很典型的一幕：

• 一台光猫接互联网，办公电脑、手机 Wi-Fi 全从这里出；
• 一条医保专线单独进来，接了医保结算的那几台电脑；
• 妇幼业务系统另有一套，服务器在角落的机柜里，几台工作站读它。

物理上看，确实拉了三条线。但只要打开机柜就明白了：这些线最后全插在同一堆交换机上，同一个网段，同一套 IP 规划。所谓「三张网」，只是三条进来的线，里面早就串成了一张网。

这种状态能跑起来，是因为平时没出事。但它是经不起问的：

• 医保结算那台电脑，能不能打开浏览器上网？—— 能。这就是问题。
• 妇幼业务系统里的数据，能不能从办公区那台电脑直接拷出来？—— 能。这也是问题。
• 办公区有人看视频、下载大文件时，结算会不会变卡？—— 会。

三个「能」，对应三件后果：医保接入检查过不去、患者数据有外泄通道、关键业务被娱乐流量挤占。

二、为什么这件事现在必须解决

1. 医保接入的检查，问的就是这一条

医保专网接入有明确要求：专网专用、与互联网隔离、终端不得双网混用。检查人员现场通常就做两件事——看结算终端能不能上网，看网络拓扑上两条线有没有真的分开。

像前面说的那种「一根交换机串起三张网」的状态，几乎不可能通过。而被要求整改的代价，往往不是「补点材料」那么简单，是停网整改——结算停摆，病人排到门外。

2. 妇幼数据的外泄通道，必须堵死

妇幼业务系统里是完整的患者信息：身份、孕产记录、检查结果。这类数据一旦能被办公区的任意一台电脑访问，就等于没有边界——不管是内部误操作、U 盘拷贝，还是员工电脑中了木马被远程拖走，事后都无从追溯。

3. 一台电脑中毒，可能带走整条结算线

这是最常见、也最容易被低估的场景：办公区某台电脑中了勒索病毒，因为和结算终端在同一个广播域，横向扩散过去，结算电脑被加密，当天所有医保结算全部停摆。这类事故在基层医疗机构里年年都有。

三、真正的难点：隔离要彻底，但一码通必须两边都通

如果只是「把三张网彻底断开」，这事很简单——三台交换机，谁也别连谁，十分钟搞定。

难就难在：客户的一码通软件，既要连内网（医保、妇幼业务），又要连互联网。它要在内网取业务数据，又要到外网做身份核验、支付、上传。你把网彻底断死，它就直接不能用。

于是现场经常出现两种「土办法」，两种都失败：

1. 拔网线、装双网隔离卡：员工要用一码通，就得在两台机器之间来回倒数据，用着难受，最后一定有人偷偷把网线插回去——回到原点。
2. 两台电脑，一台内网一台外网：成本翻倍、桌面翻倍，但员工还是会用 U 盘在两边搬文件，等于自己造了一条数据通道。

所以方案的目标不该是「都断开」，而应该是这句话：

四、方案：三张网，一台设备统一把关

落地方式是在三张网之间加装一台专业安全设备，让所有跨网流量都必须经过它，由它统一判断「谁能过、谁能过到哪、过了留什么痕迹」。

落到办公桌上，就是一张清清楚楚的「谁能上什么网」的清单：

这套方案有三个「不动」，是客户最关心的部分：

• IP 不动：现有电脑、打印机的网络设置和 IP 地址全部保持原样，不用逐个改；
• 业务不动：设备即插即用接入，施工可分步进行，中途随时可回退到原状态；
• 习惯不动：一码通还是那个一码通，员工的操作方式没有变化——变化发生在他们看不见的地方。

五、落地之后，客户拿到的六件事

① 医保网彻底独立

医保结算终端只连医保专网，与互联网在逻辑上完全断开。「专网专用、物理隔离」的检查要求，从「我们尽量」变成「拓扑上就是这样」。

② 妇幼数据不外流

妇幼业务区可以正常读取业务数据，但数据无法被传出专网——通道关了，拷也拷不走，杜绝了信息外泄的路径。

③ 一码通照常使用

一码通两边都能连，业务不受影响；同时它的跨网通信被收窄为唯一一条受控通道，走哪、走多少、几点走的，全部有记录。

④ 病毒和攻击进不来

互联网出口带病毒防护与攻击拦截，勒索病毒、恶意扫描在第一道关就被拦下并告警。办公区中招，也不会横向扩散到结算区。

⑤ 出问题查得到

所有跨网通信留有记录，保存半年以上：什么时间、哪台电脑、连了哪里、传了多少——随时可回溯。真出了事，能说清楚，而不是互相猜。

⑥ 业务带宽有保障

一码通、结算等业务流量优先通行，高峰期不会被看视频、下载文件挤占。这条往往是最先被客户感知到的改善。

六、四个几乎每次都会被问到的问题

问：会影响现有业务吗？要改我们现在的网络设置吗？

不会。设备采用即插即用的接入方式，现有电脑、打印机的网络设置、IP 地址全部不用改，业务不中断，施工可分步进行、随时可恢复原状。

问：一码通既要内网又要外网，装了隔离设备还能用吗？

能用，这正是方案专门设计的部分。我们会与您的一码通运维方对接确认后，单独开通它的通行权限——只放开它该去的那几个地址和端口，其它程序一律不放行。

问：为什么不直接用更高级的「网闸」？听说三级医院都用它

这是最专业、也最值得展开的一个问题。两者不是「谁更高级」，而是适用的场景根本不同：

一句话：网闸是「只传数据、不做交互」的极致隔离，一码通是「必须实时交互」的业务。用网闸，等于用对的手段解决错的问题——检查能过，业务不能用，最后还是会被拆掉。

还有一个更实际的判断依据：要不要上网闸，主要看医院等级和业务分区的复杂度，而不是看「哪个更安全」。

• 三级医院：业务系统多（HIS、LIS、PACS、电子病历、互联网医院……），等级保护要求高，内外网之间要分隔的面很多，很多场景确实要上网闸，预算也支撑得起。
• 二级医院及基层机构：场景通常就是「医保网 + 妇幼/业务网 + 互联网」三张网，加一套一码通。一台安全设备把边界划清楚、把跨网通信收窄成一条受控通道，就足以满足检查要求，投入也合理得多。

本文讲的这套方案，服务的正是后者——二级医院、妇幼保健机构、社区卫生服务中心这类「三张网 + 一套业务系统」的场景。如果你的医院已经是三级、或者正在往三级走，那评估口径要换成网闸那一套，别硬套本文的配置。

延伸：三级医院为什么必须走上「网闸 + 内外网服务器」

既然本文面向二级，这里就把三级那条路一并说清楚，方便判断自己该用哪一档。

三级医院和二级的分水岭不在于「谁更安全」，而在于网络之间要交换的是什么：二级通常只有「某个软件（如一码通）要两边都通」；三级则是成批的业务数据要跨网流动——预约挂号、检验检查报告查询、缴费与银医结算、影像调阅、互联网医院、第三方平台对接。数据是持续的、结构化的、要双向的，这时候边界就不能靠策略放行，必须物理断开 + 受控摆渡。

三级医院的标准路径是三段式：

• 外网前置机（外网服务器）：部署在互联网侧，正面对第三方支付、银联、医保、预约平台。负责协议接入、验签与预处理，把互联网环境的复杂度与风险挡在外面；它不碰内网任何业务库。
• 网闸（安全隔离与信息交换系统）：夹在中间，是唯一通道。主流产品采用「2+1」架构——外端机 + 隔离交换单元 + 内端机，内外端机的 CPU、内存、存储完全独立，中间那一段物理上没有任何网络链路。跨网数据到达后被彻底剥离 TCP/IP 协议头，只摆渡原始业务数据，摆渡前还要过病毒查杀、文件类型白名单、内容过滤、敏感信息脱敏、应用层协议深度解析这一整套安检。
• 内网前置机（内网服务器）：部署在内网侧，只与网闸和内网业务系统打交道，负责取数、打包、送过闸，以及回程数据的还原与转发。

加这两台前置机的核心目的只有一个：让核心数据库「不出库、不触网」。数据库一旦直接暴露在跨网通道上，等保测评基本过不了，出了事也说不清。

顺带把三类边界设备的分工说清楚，选型时最容易混：防火墙是「门」——两侧网络连通，靠策略放行，门被绕过就直抵内网；网闸是「摆渡船」——两岸不通，数据靠专有硬件一趟趟运，每趟都过安检，这正是等保三级边界隔离的标配；光闸是「单行道」——物理单向、只进不出，多用于涉密数据单向导入。

还有一点常被低估：三级这套是「设备 + 软件 + 业务厂商」三方配套工程。设备侧是两侧前置机、网闸（建议双机热备）、两侧防火墙与入侵防御、日志与数据库审计；软件侧是前置机上的交换代理、网闸上的通道白名单（必须细到具体源、目的、协议、端口），以及 HIS、PACS、体检、支付等各业务系统的跨网接口改造——这一块的协调量往往比买设备大得多。

所以判断口径很简单：要不要过等保三级、有没有成批业务数据要在断开的网络之间流动。两个都否，二级这套一台安全设备就够；有一个是，就得按网闸这套来评估，且顺序应该是「先做三网物理隔离 → 再定跨网业务清单 → 再由业务厂商报接口改造方案 → 最后才选网闸与前置机型号」，顺序反了，设备买回来也用不起来。

我们（锐捷 NaaS 厦门服务中心）主要服务二级及以下机构，以及园区、连锁、工厂这类多网点场景；三级医院的网闸与前置机体系需要专业安全厂商与业务厂商共同参与，网络侧的事我们可以一起看。论坛里有一篇三级医院信息科同行写的详细拆解，含踩过的坑，判断档位时可以直接参考。

问：以后设备出问题怎么办？

我们提供安装调试、策略维护和故障响应服务；设备带安全防护特征库订阅，订阅期内持续获得最新的病毒与攻击识别能力。安全设备的价值不在盒子里，在于一直有人给它更新、给它调策略。

七、上线当天，到底验什么

这类项目最常见的失败，不是设备买错了，而是「装完就走」——设备上架了，策略配了一半，一码通时通时不通，最后客户自己把线插回去，项目名存实亡。

我们在交付时坚持逐项现场验收，一次做完这五件事：

1. 医保不上网：在结算终端上实测打不开任何网页、连不上外网，截图留档；
2. 妇幼不外流：从办公区电脑尝试访问妇幼系统，实测不通；
3. 一码通双通：一码通完整跑一遍业务流程，内网读取、外网核验全部正常；
4. 病毒拦截演示：用测试样本现场演示拦截与告警，让客户亲眼看到它确实在工作；
5. 回滚演练：确认出问题能快速恢复原状——这一条是给客户的定心丸，也是我们的责任边界。

配套交付的还有：设备供货、上架、安装与调试（分步施工、业务不中断）；三张网的隔离策略配置与一码通通行联调；安全防护特征库订阅（含首年）与续订提醒；使用培训与日常运维支持。

八、结语：安全不是加一道墙，是划清一条线

回到那个机房。改造之后，物理上几乎看不出变化：还是那几台交换机，还是那些电脑，还是那个一码通，员工的操作一个字没改。

差别在于：从今往后，每一台设备能去哪里、不能去哪里，是被明确写下来的、被执行住的、被记录下来的。

这就是内外网隔离的本质——它不是买一堵墙把业务堵死，而是把边界划清楚：谁该在自己的圈子里，谁被允许跨出去一步，跨出去的那一步留下了什么痕迹。

如果你所在的机构也同时跑着医保网、妇幼网和互联网，且说不清它们之间是怎么隔开的，那这件事值得在下次检查之前先做一遍自查：打开一台结算电脑，试着上网看看。结果会告诉你答案。