best practice campus challenge - lumc

BEST
TITELPRACTICE
CAMPUS CHALLENGE - LUMC
NETWERK SCHEIDEN BIEDT VOORDEEL
VOOR ­ONDERZOEK ÉN ZORG
TEKSTJE OVER SURF??
2
Best Practice Campus Challenge – LUMC
LUMC:
NETWERK SCHEIDEN
BIEDT VOORDEEL VOOR
ONDERZOEK ÉN ZORG
In een academisch medisch centrum heeft het onderzoek andere
behoeften dan de zorg, ook als het om het netwerk gaat. Kort gezegd: onderzoek wil een flexibel, open netwerk, de zorg vooral een
netwerk waarin de patiëntgegevens optimaal beschermd worden.
Bij het Leids Universitair Medisch Centrum (LUMC) weten ze daar
alles van. De Campus Challenge van SURFnet en SIDN hielp de
ICT-afdeling van het LUMC op weg om beide doelgroepen optimale
netwerkvoorzieningen te bieden. Hoe hebben ze dat aangepakt?
We spreken met Taco Brouwer en Rob Cornelisse, beide vanuit het
LUMC betrokken bij dit project.
Onderzoek naar DNA-structuur
Rob Cornelisse, manager Projecten en
Ontwikkeling bij het LUMC: “De laatste
jaren zien we dat er in het onderzoek
steeds grotere hoeveelheden data
gebruikt worden, bijvoorbeeld in het
genoomonderzoek dat DNA-structuren
analyseert. Deze data worden bij ons in
het LUMC verzameld, maar vaak op andere plaatsen verwerkt. Daarnaast delen
we onderzoeksdata met collega-UMC’s
elders in het land en kunnen andere
UMC’s gebruikmaken van ICT-faciliteiten
die wij in huis hebben.
Ladingen harddisks
Wie staan er op de omslagfoto?
Rob Cornelisse, manager Projecten
en Ontwikkeling bij het LUMC en
Taco Brouwer, ICT-architect bij
het LUMC en als zodanig verantwoordelijk voor de ICT-infrastructuur van
het project.
We zagen dus vaak dat er hele ladingen
met harddisks verscheept werden tussen
verschillende ziekenhuizen en rekencentra. Die vervolgens ook ingelezen moesten worden, en weer teruggestuurd. Dat
kost veel geld en tijd: heel omslachtig
dus. We zijn een oplossing gaan bedenken: hoe kunnen we ervoor zorgen dat
onderzoekers hun grote hoeveelheden
data gemakkelijker met elkaar kunnen
delen en deze data makkelijker elders
kunnen laten verwerken of opslaan?
Data versturen via internet gaat
niet zomaar
Het SURFnet-netwerk biedt de mogelijkheid om grote hoeveelheden data
uit te wisselen. Echter, zomaar een
internetverbinding openstellen voor het
uitwisselen van onderzoeksdata gaat
niet. Taco Brouwer, ICT-architect bij het
LUMC: “We zijn naast een onderzoeksinstelling ook een zorginstelling. Hier zie
je dat zorg en onderzoek andere eisen
stellen aan een netwerk: onderzoekers
willen een snel en open netwerk, waarin
ze gemakkelijk data met de buitenwereld kunnen uitwisselen. Voor de zorg is
onder andere bescherming van patiëntgegevens van groot belang: zij willen
een meer gesloten netwerk, waar veiligheid voorop staat. We merkten daardoor
dat onderzoekers tegen beperkingen
aanliepen.”
“Hoe zorgen we voor
veilige data-uitwisseling
tussen twee gescheiden
netwerken?”
Campus Challenge biedt uitkomst
Het LUMC heeft daarom besloten om
zijn netwerk te scheiden in een zorggedeelte en een onderzoeksgedeelte.
Daarnaast is de bandbreedte van de
IP-aansluiting vergroot én is een Multi
Service Port, een aansluiting voor lichtpaden, in gebruik genomen. Om zo de
onderzoekers de snelheid en flexibiliteit
te bieden die ze wensen. Deze activiteiten
zijn binnen het Campus Challenge-project
van SURFnet en SIDN gerealiseerd.
Best Practice Campus Challenge – LUMC
3
SURFnetnetwerk
10 Gb
e
tiv
10
G
b
b
pa
ve
IP
CISCO 4500
ROUTER
20 Gb
CHECKPOINT
21700
FIREWALL
VSS
20 Gb
CISCO 6504
ROUTER
20 Gb
CISCO 6504
ROUTER
G
20 Gb
20 Gb
CHECKPOINT
21700
FIREWALL
10
ss
i
20 Gb
CISCO 4500
ROUTER
IP
ac
20 Gb
Allereerst moest de bandbreedte van
de internetverbinding omhoog. Er heeft
daarom een upgrade naar 10 Gbit/s
plaatsgevonden van de IP-aansluiting op
het SURFnet-netwerk. Bij deze operatie
zijn de externe routers en de koppelingen met het SURFnet-netwerk (de
PoP’s: points-of-presence) vervangen.
De nieuwe routers (Cisco 4500-serie)
moesten met het BGP-routerprotocol
kunnen werken, en met IPv6 bij een
snelheid van 10 Gbit/s. Ook de firewall
is in dit proces vervangen. Er is een 10
Gbit/s-firewall van Checkpoint gekomen
die al het verkeer aankan.
MSP
Grotere bandbreedte
Aansluiting voor lichtpaden
Onderzoekers willen hun data op een
snelle en veilige manier uitwisselen met
collega’s bij andere instellingen. Dit
is bij uitstek mogelijk met lichtpaden:
supersnelle, betrouwbare één-op-éénverbindingen tussen twee punten in een
netwerk. Hiermee kunnen gebruikers
bijvoorbeeld grote hoeveelheden data
versturen of realtime rekenen op externe
systemen, buiten het “gewone” IP-verkeer om.
LUMC kreeg voor deze lichtpaden, naast
een upgrade van de IP-aansluiting, ook
een nieuwe aansluiting op het SURFnetnetwerk: een zogenaamde Multi Service
Port (MSP, zie kader). Zo behoort het
heen en weer sturen van disks met onderzoeksdata tot het verleden.
“Het heen en weer ­sturen
van disks met onderzoeks­
data behoort tot het
­verleden.”
Netwerk scheiden
Om onderzoekers flexibeler toegang
tot het internet te bieden, is een logisch
gescheiden netwerk over het fysieke
netwerk heen gelegd, een VPN (Virtual
Private Network). Dit is ingericht in de
vorm van een VRF (Virtual Routing and
Forwarding). Omdat aan het gebruik van
VRF’s een limiet zit (circa 10) die snel bereikt zal zijn, zal de overstap naar MPLS
(Multi Protocol Label Switching) in de
nabije toekomst waarschijnlijk nodig zijn.
LUMCnet
Researchnet
Het netwerk van LUMC is logisch gescheiden
in twee netwerken, LUMCnet voor de zorg en
Researchnet voor onderzoekers.
Optimale flexibiliteit door nieuwe
firewall
Beide netwerken zijn aangesloten op
zowel de IP-aansluiting als de MSP van
LUMC. Zo is optimale flexibiliteit in gebruik mogelijk: beide netwerken kunnen
gebruikmaken van gewone IP-verbindingen én lichtpadverbindingen opzetten. De nieuwe firewall zorgt ervoor dat
beide netwerken op hun eigen voorwaarden verbindingen kunnen maken.
Een voordeel van de nieuwe firewall is
namelijk dat hij te scheiden is in twee
logische firewalls met een eigen rulebase, voor beide netwerken één (Next
Generation Firewalling). Daardoor kunnen onderzoekers vanuit hun netwerk
sneller en soepeler doorgangen door de
firewall aanvragen (voor internetverkeer
of lichtpaden), en de doorgang kan ook
sneller worden gerealiseerd. Binnen de
onderzoeksfirewall hoeft immers geen
rekening te worden gehouden met de
zwaardere restricties die gelden voor het
zorgnetwerk. Ook functies als Intrusion
Prevention System, Identity Awareness
en Application Control kun je apart aan
en uitzetten, wat de flexibiliteit vergroot.
4
Best Practice Campus Challenge – LUMC
Uitdaging: gedeelde faciliteiten
Nu er twee gescheiden netwerken zijn,
komen er ook nieuwe uitdagingen naar
boven. Inhoudelijk is onderzoek namelijk niet los te koppelen van de zorg.
Cornelisse: “De zorg levert praktijkdata
op aan onderzoekers. En het onderzoek
leidt tot nieuwe inzichten en behandelmethodes die in de zorg worden
toegepast. Er vindt dus data-uitwisseling
plaats. Verder zien we dat systemen
voor onderzoek, zoals het High Performance Computing-rekencluster (HPC)
en de sequencer (die DNA analyseert)
ook steeds meer gevraagd worden in
de zorg. De vraag is dus: hoe zorgen we
voor veilige data-uitwisseling en het delen van systemen tussen twee gescheiden netwerken?”
Colofon
Multi Service Port
Een Multi Service Port is een aansluiting op het SURFnet7-netwerk
waarop meerdere lichtpaden in
één keer kunnen worden afnemen.
De lichtpaden zijn te verdelen over
de beschikbare bandbreedte. Zo
wordt efficiënt omgegaan met de
poort. Op een MSP van 10 Gbit/s
kunnen bijvoorbeeld meerdere
lichtpaden van 1 Gbit/s naar andere
instellingen en een lichtpad naar
een cloudaanbieder worden aangesloten. Ook is het eenvoudig een
nieuw lichtpad toevoegen aan een
Multi Service Port, zonder dat extra
hardware moet worden geïnstalleerd.
Resourcenetwerk
Brouwer: “Een mogelijk antwoord op die
vraag is een derde netwerk. We hebben
nu het plan om systemen die zowel door
zorg als door het onderzoek gebruikt
worden, op te nemen in een zogenaamd
resourcenetwerk. Dit netwerk moet dan
benaderbaar zijn vanuit zowel het zorgals het onderzoeksnetwerk. Uiteraard op
zo’n manier dat veiligheid en betrouwbaarheid gegarandeerd zijn. Lichtpaden
kunnen hier een wellicht een oplossing
bieden.”
Meer mogelijkheden
Een ander punt voor de nabije toekomst
is het goed beschikbaar maken van alle
mogelijkheden die de netwerkscheiding
biedt. Cornelisse: “In het Campus Challenge-project is de netwerkscheiding, en
daarmee de flexibele internettoegang
voor onderzoekers, gerealiseerd. Nu komen er nog meer mogelijkheden binnen
bereik. In vervolgprojecten werken we er
hard aan om die beschikbaar te maken.”
Tekst
Jan Michielsen
Fotografie
Herbert Wiggerman
Vormgeving
Vrije Stijl
Juli 2014
SURFnet
Radboudkwartier 273
3511 CK Utrecht
Postbus 19035
3501 DA Utrecht
+31 (0)30 230 53 05
www.surfnet.nl
beschikbaar onder de licentie Creative
Commons Naamsvermelding 3.0 Nederland.
www.creativecommons.org/licenses/by/3.0/nl
2014