簡介本資源是深信服超融合HCIHyper-Converged Infrastructure官方用戶及部署手冊6.7.0R3版面向IT基礎(chǔ)設(shè)施工程師、虛擬化運(yùn)維人員與超融合系統(tǒng)實施技術(shù)人員聚焦分布式架構(gòu)下的云平臺建設(shè)與落地實踐。手冊系統(tǒng)覆蓋HCI整體架構(gòu)設(shè)計、aSV計算虛擬化、aSAN分布式存儲、aNET智能網(wǎng)絡(luò)等核心模塊詳述安裝組網(wǎng)規(guī)范、硬件配置要求、多場景網(wǎng)絡(luò)規(guī)劃、集群部署流程及基礎(chǔ)運(yùn)維要點(diǎn)含大量操作圖示、風(fēng)險提示與排錯說明具備強(qiáng)實操指導(dǎo)性。資源為單文件PDF格式共1個35.42MB的完整手冊內(nèi)容結(jié)構(gòu)清晰從產(chǎn)品簡介、關(guān)鍵特性到安裝部署逐層展開便于快速查閱與現(xiàn)場參考。目前已有1250人學(xué)習(xí)下載是掌握深信服超融合技術(shù)體系、開展項目交付與日常運(yùn)維的重要權(quán)威文檔。1. 深信服超融合 HCI 6.7.0R3 部署不是“點(diǎn)下一步”就能過三類人最容易在集群初始化階段卡死而問題往往出在網(wǎng)口綁定順序和時間同步精度上你手頭剛拿到深信服超融合 HCI 6.7.0R3 的 ISO 鏡像也確認(rèn)了服務(wù)器滿足最低配置雙路 CPU、≥64GB 內(nèi)存、≥3 塊 1TB SSD但裝完系統(tǒng)進(jìn) Web 控制臺卻卡在「添加主機(jī)」灰顯、「集群 IP 無法提交」或「存儲卷創(chuàng)建失敗」——這不是你操作錯了而是這套環(huán)境對底層網(wǎng)絡(luò)拓?fù)浜蜁r鐘一致性有硬性要求且文檔里沒明說的細(xì)節(jié)藏在組網(wǎng)邏輯和參數(shù)校驗中。我見過太多技術(shù)服務(wù)工程師在客戶現(xiàn)場耗掉一整天反復(fù)重裝最后發(fā)現(xiàn)只是管理口和存儲口插反了物理網(wǎng)卡槽位也見過某高校實驗室因 NTP 服務(wù)器偏差 500ms導(dǎo)致 aSAN 同步異常、集群狀態(tài)反復(fù)震蕩。這套部署手冊不是給純新手看的“安裝向?qū)А倍墙o已具備 Linux 網(wǎng)絡(luò)基礎(chǔ)、熟悉 RAID/存儲概念、能讀日志查進(jìn)程的運(yùn)維人員準(zhǔn)備的「可落地執(zhí)行清單」。它覆蓋從第三方服務(wù)器裸金屬安裝、仲裁節(jié)點(diǎn)接入、三網(wǎng)合一配置到 EDR 安全組件集成的完整鏈路。如果你正要為中小數(shù)據(jù)中心、邊緣計算節(jié)點(diǎn)或測試驗證環(huán)境搭建一套穩(wěn)定可用的超融合平臺且希望避開那些只在生產(chǎn)環(huán)境才暴露的玄學(xué)故障那這份基于 6.7.0R3 版本的實操筆記就是你該先通讀再動手的底線清單。2. 安裝前硬性準(zhǔn)備不滿足這 4 類條件后續(xù)所有操作都是徒勞深信服 HCI 不是傳統(tǒng)虛擬化軟件它的 aSV計算、aSAN存儲、aNET網(wǎng)絡(luò)三模塊深度耦合任何一項硬件或網(wǎng)絡(luò)條件不達(dá)標(biāo)都會在集群初始化或卷創(chuàng)建階段觸發(fā)強(qiáng)制阻斷。很多翻車案例根源都在這里被跳過了。2.1 服務(wù)器硬件與固件必須滿足的剛性門檻HCI 對硬件兼容性有嚴(yán)格白名單機(jī)制尤其在 6.7.0R3 版本中不支持 NVMe-oF 直通、不兼容部分 Intel C620 芯片組的板載網(wǎng)卡、對 U.2 接口 SSD 的固件版本有特定要求。這不是建議而是啟動安裝程序時就會校驗的硬性檢查項。注意深信服官方《兼容性列表》中明確標(biāo)注使用第三方服務(wù)器時必須選用已通過認(rèn)證的型號如 Dell R740、HPE DL380 Gen10、浪潮 NF5280M5。未認(rèn)證機(jī)型即使能進(jìn)入安裝界面也可能在 aSAN 初始化階段報錯Failed to initialize storage pool: device not supported。關(guān)鍵檢查項如下需在 BIOS/UEFI 中逐項確認(rèn)檢查項必須值說明CPU 虛擬化支持Intel VT-x / AMD-V必須啟用且Intel VT-d / AMD-Vi 必須啟用aSV 依賴 IOMMU 進(jìn)行設(shè)備直通禁用會導(dǎo)致后續(xù) GPU 或 USB 設(shè)備無法分配內(nèi)存配置≥64GB必須啟用 NUMA且單節(jié)點(diǎn)內(nèi)存通道數(shù) ≥3aSAN 元數(shù)據(jù)緩存對內(nèi)存帶寬敏感雙通道內(nèi)存易觸發(fā)aSAN memory bandwidth insufficient告警存儲設(shè)備≥3 塊同型號 SSDSATA/SAS/NVMeRAID 卡必須設(shè)為 JBOD 或 HBA 模式若啟用 RAID 5/6aSAN 將無法識別物理盤報錯No available disk for storage pool網(wǎng)卡配置至少 4 個千兆/萬兆網(wǎng)口其中 2 個用于管理存儲通信1 個用于業(yè)務(wù)1 個預(yù)留仲裁網(wǎng)口數(shù)量不足將導(dǎo)致「三網(wǎng)合一」配置失敗Web 界面直接禁用相關(guān)選項驗證命令安裝前在已有系統(tǒng)中執(zhí)行# 檢查 CPU 虛擬化支持 egrep -c (vmx|svm) /proc/cpuinfo # 返回值 ≥1 才有效 cat /sys/firmware/acpi/interrupts/err # 應(yīng)為 0非 0 表示 IOMMU 異常 # 檢查 RAID 卡模式以 LSI MegaRAID 為例 /opt/MegaRAID/MegaCli/MegaCli64 -AdpAllInfo -aALL | grep HBA Mode # 輸出應(yīng)含 HBA Mode: Enabled若返回值不符合必須重啟進(jìn) BIOS 修改否則安裝程序會在檢測階段直接退出并在/var/log/install.log中寫入Hardware pre-check failed: [reason]。2.2 網(wǎng)絡(luò)規(guī)劃不是畫張拓?fù)鋱D就行而是要精確到每個網(wǎng)口的 VLAN 和 MTUHCI 的「標(biāo)準(zhǔn)集群組網(wǎng)」本質(zhì)是邏輯隔離的三平面網(wǎng)絡(luò)管理平面Cluster IP、存儲平面aSAN Heartbeat Data、業(yè)務(wù)平面VM 流量。6.7.0R3 版本默認(rèn)要求存儲平面必須獨(dú)占物理鏈路禁止與管理口共用交換機(jī)端口或 VLAN。這是很多用戶部署失敗的核心原因——他們把所有網(wǎng)線都插在同一臺接入交換機(jī)上僅靠 VLAN 劃分結(jié)果 aSAN 心跳包被交換機(jī) QoS 丟棄集群狀態(tài)持續(xù)為Warning: Storage network unstable。正確做法是采用物理分離 邏輯綁定管理口eth0連接管理交換機(jī)IP 為192.168.10.10/24MTU1500存儲口eth1, eth2綁定為 bond0mode4LACP直連專用存儲交換機(jī)IP 為172.16.10.10/24MTU9000Jumbo Frame業(yè)務(wù)口eth3連接業(yè)務(wù)交換機(jī)不配 IP由 HCI 平臺自動分配虛擬子網(wǎng)提示深信服在 6.7.0R3 中強(qiáng)化了存儲網(wǎng)絡(luò) MTU 校驗。若 bond0 的 MTU 未設(shè)為 9000aSAN 初始化會失敗并報錯aSAN data path MTU mismatch: expected 9000, got 1500。該錯誤不會在 UI 顯示需查看/var/log/aSAN/aSAN_init.log。驗證腳本部署前在目標(biāo)服務(wù)器執(zhí)行# 檢查 bond0 是否存在且 MTU 正確 ip link show bond0 | grep mtu 9000 # 必須匹配 # 檢查存儲交換機(jī)連通性需提前配置好對端 IP ping -c 3 -M do -s 8972 172.16.10.1 # -M do 強(qiáng)制 DF 位-s 8972 9000 MTU - 28 ICMP 頭 # 若丟包或返回 Frag needed說明中間鏈路不支持 Jumbo Frame2.3 仲裁節(jié)點(diǎn)不是“可選”而是兩節(jié)點(diǎn)場景下的生存底線文檔寫“仲裁節(jié)點(diǎn)配置要求可選”但實際在兩主機(jī)部署延伸集群或防腦裂場景下它是強(qiáng)制必需項。沒有仲裁當(dāng)兩節(jié)點(diǎn)間心跳中斷時系統(tǒng)無法判斷哪邊是“健康方”會同時凍結(jié)存儲寫入導(dǎo)致業(yè)務(wù)中斷。6.7.0R3 支持三種仲裁形態(tài)適用場景不同aServer 一體機(jī)仲裁僅限深信服自研硬件部署最簡但成本高第三方服務(wù)器仲裁推薦方案需獨(dú)立物理機(jī)≥8GB 內(nèi)存、≥2 核 CPU、1 塊 100GB 系統(tǒng)盤必須與集群節(jié)點(diǎn)處于同一二層網(wǎng)絡(luò)VMware 平臺仲裁適用于已有 vSphere 環(huán)境但要求 VMware ESXi 版本 ≥6.7U3且虛擬機(jī)需配置2vCPU、4GB 內(nèi)存、1 塊 50GB 磁盤、網(wǎng)絡(luò)適配器類型為 VMXNET3。關(guān)鍵參數(shù)表第三方服務(wù)器仲裁節(jié)點(diǎn)參數(shù)推薦值說明操作系統(tǒng)CentOS 7.6最小化安裝6.7.0R3 仲裁服務(wù)僅兼容此版本內(nèi)核3.10.0-957網(wǎng)絡(luò)配置靜態(tài) IP與集群管理網(wǎng)段同網(wǎng)段如192.168.10.200/24不能使用 DHCP否則仲裁服務(wù)啟動失敗防火墻systemctl stop firewalld systemctl disable firewalld仲裁服務(wù)監(jiān)聽端口30001/tcpfirewalld 會攔截SELinuxsetenforce 0 sed -i s/SELINUXenforcing/SELINUXdisabled/g /etc/selinux/config否則arbitrationd進(jìn)程無法綁定端口安裝仲裁服務(wù)前必須在集群節(jié)點(diǎn)上執(zhí)行預(yù)檢# 在任一 HCI 節(jié)點(diǎn)執(zhí)行檢查仲裁可達(dá)性 curl -I http://192.168.10.200:30001/health # 應(yīng)返回 HTTP/1.1 200 OK # 若超時檢查 iptables 是否放行 iptables -L INPUT | grep 30001 # 應(yīng)有 ACCEPT 規(guī)則2.4 時間同步500ms 是生死線NTP 配置錯誤比沒配更危險aSAN 的分布式鎖機(jī)制依賴高精度時鐘。6.7.0R3 要求所有節(jié)點(diǎn)與仲裁節(jié)點(diǎn)之間的時間偏差絕對值 ≤500ms。超過此閾值aSAN 會主動拒絕寫入并在 Web 界面顯示Time skew too large: 842ms。但更隱蔽的坑是錯誤的 NTP 配置如指向不可達(dá)的 NTP 服務(wù)器會導(dǎo)致 chronyd 進(jìn)入 panic 模式反而放大時間漂移。我見過某客戶配置了pool cn.pool.ntp.org iburst但其出口防火墻屏蔽了 UDP 123 端口chronyd 日志持續(xù)報Source 114.114.114.114 Offline最終 drift 累積到 3 秒以上。正確配置步驟所有節(jié)點(diǎn)及仲裁機(jī)均需執(zhí)行# 1. 停止原有服務(wù) systemctl stop ntpd chronyd systemctl disable ntpd chronyd # 2. 編輯 chrony 配置/etc/chrony.conf sed -i /^server/d /etc/chrony.conf echo server 192.168.10.1 iburst minpoll 4 maxpoll 4 /etc/chrony.conf # 指向內(nèi)網(wǎng) NTP 服務(wù)器 echo makestep 1.0 3 /etc/chrony.conf # 偏差 1s 時立即校正關(guān)鍵 # 3. 啟動并驗證 systemctl enable chronyd systemctl start chronyd chronyc tracking | grep System time # 輸出應(yīng)為 System time : 0.000000000 seconds fast of NTP time chronyc sources -v | grep ^* # 星號行表示當(dāng)前同步源無星號則未同步注意makestep參數(shù)必須顯式設(shè)置。6.7.0R3 的 aSAN 初始化腳本會調(diào)用chronyc tracking獲取Last offset值若該值為空或超限直接終止流程。3. ISO 安裝與系統(tǒng)初始化從裸金屬到集群就緒的 7 個不可跳過動作安裝程序本身很安靜但后臺執(zhí)行的校驗和初始化動作極多。跳過任何一個都會在后續(xù)「組建集群」環(huán)節(jié)暴露為難以定位的灰色錯誤。3.1 ISO 啟動后首屏選擇別急著按回車先做三件事插入 U 盤或掛載 ISO 啟動后首屏是 GRUB 菜單此時不要直接回車。需按Tab鍵編輯啟動參數(shù)在quiet splash后追加以下內(nèi)核參數(shù)net.ifnames0 biosdevname0 crashkernelauto rd.md.uuidxxx rd.lvm.lvcentos/root rd.lvm.lvcentos/swapnet.ifnames0 biosdevname0強(qiáng)制使用eth0/eth1傳統(tǒng)命名避免 systemd-networkd 自動重命名為ens1f0導(dǎo)致網(wǎng)絡(luò)配置錯亂rd.md.uuidxxx必須替換為你的 RAID 卡實際 UUID可通過mdadm --examine /dev/sda查看缺失則安裝程序無法識別 RAID 陣列rd.lvm.lv...指定根分區(qū)和 swap 分區(qū)的 LV 名稱6.7.0R3 默認(rèn)使用 LVM名稱必須與安裝介質(zhì)內(nèi)置模板一致。避坑 / 常見問題 / 排查現(xiàn)象安裝界面卡在Starting installer...超過 5 分鐘無任何日志輸出原因BIOS 中CSMCompatibility Support Module未關(guān)閉導(dǎo)致 UEFI 模式下無法加載 NVMe 驅(qū)動解決重啟進(jìn) BIOS關(guān)閉 CSMSecure Boot 設(shè)為 Disabled保存重啟現(xiàn)象安裝完成后重啟系統(tǒng)黑屏或停留在 GRUB 提示符原因安裝時未正確識別系統(tǒng)盤GRUB 安裝到了錯誤設(shè)備如 U 盤而非/dev/sda解決重裝時在安裝向?qū)А窱nstallation Destination」頁手動勾選目標(biāo)磁盤并點(diǎn)擊I will configure partitioning在「Click here to create them automatically」下方確認(rèn)Device下拉框中顯示的是/dev/sda或你的系統(tǒng)盤現(xiàn)象安裝成功但登錄 Web 控制臺后首頁顯示No host found「添加主機(jī)」按鈕灰顯原因安裝時未配置管理 IP或配置的 IP 與當(dāng)前網(wǎng)絡(luò)不通解決在控制臺登錄后立即執(zhí)行sudo /opt/sangfor/hci/bin/set_management_ip.sh 192.168.10.10 255.255.255.0替換為你的真實 IP然后重啟網(wǎng)絡(luò)服務(wù)systemctl restart network現(xiàn)象aSAN 初始化失敗日志/var/log/aSAN/aSAN_init.log中出現(xiàn)Failed to format disk /dev/sdb: Device is busy原因該磁盤已被系統(tǒng)自動掛載如/mnt/data或存在殘留 LVM PV解決安裝前執(zhí)行umount /dev/sdb* pvremove /dev/sdb確保磁盤干凈現(xiàn)象集群初始化后存儲卷狀態(tài)為Initializing長時間不變成Online原因存儲網(wǎng)絡(luò) MTU 未設(shè)為 9000或交換機(jī)未開啟 Jumbo Frame解決在節(jié)點(diǎn)上執(zhí)行ip link set dev bond0 mtu 9000并登錄交換機(jī)配置interface range gigabitethernet 1/0/1-4; jumboframe 9000以 H3C 為例3.2 安裝過程中的關(guān)鍵配置點(diǎn)UI 看似簡單參數(shù)決定成敗安裝向?qū)Ч?5 步其中第 3 步「Network Hostname」和第 4 步「Installation Destination」是核心風(fēng)險點(diǎn)。Network HostnameHostname 必須為全小寫字母數(shù)字短橫線如hci-node01禁止下劃線或大寫字母否則集群 DNS 解析失敗Management Interface 選擇eth0確保是你規(guī)劃的管理口IP 配置為靜態(tài)Gateway 必須填寫即使不跨網(wǎng)段aSAN 服務(wù)依賴 gateway 字段生成路由不勾選Configure Network at Boot—— HCI 平臺會接管網(wǎng)絡(luò)管理此處勾選會導(dǎo)致沖突。Installation Destination必須選擇I will configure partitioning系統(tǒng)默認(rèn)的自動分區(qū)會創(chuàng)建/boot/efi分區(qū)但 6.7.0R3 要求 BIOS 模式安裝該分區(qū)會引發(fā) GRUB 錯誤手動創(chuàng)建分區(qū)方案以 1TB SSD 為例/boot1GBext4/50GBxfs/var/log20GBxfs日志單獨(dú)分區(qū)防爆滿swap16GB內(nèi)存 ≥64GB 時swap內(nèi)存/4剩余空間不分配留給 aSANaSAN 需要裸盤不能有文件系統(tǒng)3.3 安裝完成后的首次登錄繞過 Web 控制臺的“假死”陷阱安裝完成重啟后瀏覽器訪問https://管理IP大概率會遇到頁面加載緩慢、圖標(biāo)不顯示、甚至提示ERR_CONNECTION_TIMED_OUT。這不是服務(wù)沒起來而是 6.7.0R3 的 Web 服務(wù)nginx python backend啟動有依賴順序需等待約 3 分鐘。正確做法是先 SSH 登錄確認(rèn)服務(wù)狀態(tài)# 登錄后立即執(zhí)行 systemctl list-units --statefailed | grep -E (nginx|acloud|asand) # 查看是否有失敗單元 journalctl -u nginx -n 50 --no-pager | grep listen # 應(yīng)看到 listening on [::]:443 /opt/sangfor/hci/bin/check_cluster_status.sh # 檢查集群基礎(chǔ)服務(wù)若check_cluster_status.sh輸出All services are running但 Web 仍打不開則是瀏覽器緩存問題清除瀏覽器 SSL 狀態(tài)Chrome 地址欄輸入chrome://net-internals/#hsts刪除對應(yīng)域名或換用curl -k https://192.168.10.10若返回 HTML 片段證明服務(wù)正常純屬前端加載問題。4. 集群初始化實戰(zhàn)從單節(jié)點(diǎn)到三節(jié)點(diǎn)集群的 5 個必填字段與 3 個隱藏開關(guān)單節(jié)點(diǎn)安裝只是起點(diǎn)真正的超融合價值在于集群化。6.7.0R3 的集群初始化流程藏了三個 UI 上看不到的“隱藏開關(guān)”漏掉一個集群就永遠(yuǎn)停在Waiting for other nodes。4.1 集群 IP 配置不是填個 IP 就行而是要理解它的三層作用在「HCI 集群初始化」→「配置集群 IP」頁你填的這個 IP如192.168.10.100并非某個節(jié)點(diǎn)的地址而是整個集群的虛擬入口它承擔(dān)三重角色管理入口所有 Web 控制臺、API 請求都發(fā)往此 IPaSAN 仲裁代理當(dāng)節(jié)點(diǎn)失聯(lián)時此 IP 作為心跳代理參與投票虛擬網(wǎng)絡(luò)網(wǎng)關(guān)所有虛擬機(jī)默認(rèn)網(wǎng)關(guān)指向此 IP通過 aNET 實現(xiàn)。因此它必須滿足與所有節(jié)點(diǎn)管理口在同一網(wǎng)段不能與任何節(jié)點(diǎn) IP 沖突必須配置在集群第一個節(jié)點(diǎn)上后續(xù)節(jié)點(diǎn)加入時此 IP 會自動同步。填寫后系統(tǒng)會自動生成/etc/acloud/cluster.conf其中關(guān)鍵字段{ cluster_vip: 192.168.10.100, management_network: 192.168.10.0/24, storage_network: 172.16.10.0/24, // 必須與你規(guī)劃的存儲網(wǎng)段一致 enable_arp_monitor: true // 關(guān)鍵開啟 ARP 探測防 VIP 漂移 }注意enable_arp_monitor默認(rèn)為false但若不手動改為true當(dāng)主節(jié)點(diǎn)宕機(jī)時VIP 可能無法及時漂移到備用節(jié)點(diǎn)導(dǎo)致管理中斷。4.2 添加主機(jī)物理網(wǎng)口順序決定集群能否握手成功「添加主機(jī)」頁面要求輸入其他節(jié)點(diǎn)的管理 IP如192.168.10.11但背后發(fā)生的是復(fù)雜的四步握手當(dāng)前節(jié)點(diǎn)向目標(biāo) IP 發(fā)送acloud-agent探測包目標(biāo)節(jié)點(diǎn)響應(yīng)并返回其bond0存儲口的 MAC 地址當(dāng)前節(jié)點(diǎn)校驗該 MAC 是否在本地aSAN白名單中即是否為認(rèn)證網(wǎng)卡雙方交換aSAN元數(shù)據(jù)開始同步。失敗最常見的原因是目標(biāo)節(jié)點(diǎn)的bond0網(wǎng)口插在了錯誤的物理槽位導(dǎo)致 MAC 地址與集群預(yù)期不符。例如你規(guī)劃eth1eth2綁定為bond0但實際插在了eth3eth4槽位系統(tǒng)識別為bond1MAC 地址變更aSAN 拒絕握手。解決方案在目標(biāo)節(jié)點(diǎn)執(zhí)行cat /proc/net/bonding/bond0 | grep Slave Interface確認(rèn)eth1和eth2確實在bond0中若不在需修改/etc/sysconfig/network-scripts/ifcfg-bond0調(diào)整BONDING_OPTSmode4 miimon100 slaveseth1,eth2重啟網(wǎng)絡(luò)ifdown bond0 ifup bond0。4.3 存儲卷創(chuàng)建普通卷與延伸卷的本質(zhì)區(qū)別與配置陷阱創(chuàng)建卷時UI 提供「普通卷」和「延伸卷」兩個選項。很多人以為只是名字不同實則架構(gòu)級差異特性普通卷延伸卷副本策略3 副本跨 3 節(jié)點(diǎn)2 副本跨 2 個故障域 1 仲裁副本最小節(jié)點(diǎn)數(shù)321 仲裁適用場景標(biāo)準(zhǔn)集群延伸集群、兩地三中心網(wǎng)絡(luò)要求存儲網(wǎng)必須三層互通存儲網(wǎng)可二層隔離但需仲裁節(jié)點(diǎn)可達(dá)致命陷阱創(chuàng)建延伸卷時UI 會要求選擇「仲裁節(jié)點(diǎn)」但必須選擇已成功接入集群的仲裁節(jié)點(diǎn) IP。若你填的是仲裁服務(wù)器的管理 IP如192.168.10.200但該 IP 未在集群中注冊為仲裁節(jié)點(diǎn)會報錯Arbitration node not found in cluster。正確流程先在「系統(tǒng)設(shè)置」→「仲裁管理」中點(diǎn)擊Add Arbitration Node輸入192.168.10.200等待狀態(tài)變?yōu)镺nline再創(chuàng)建延伸卷在「仲裁節(jié)點(diǎn)」下拉框中選擇該節(jié)點(diǎn)而非手動輸入。驗證延伸卷狀態(tài)# 在任意節(jié)點(diǎn)執(zhí)行 /opt/sangfor/hci/bin/aSAN_cli volume list # 查看卷類型為 stretch /opt/sangfor/hci/bin/aSAN_cli volume info volume_name | grep Replica # 應(yīng)顯示 2 data replicas 1 arbitration replica4.4 三網(wǎng)合一配置不是合并網(wǎng)口而是用 OVS 實現(xiàn)流量標(biāo)簽化「三網(wǎng)合一」是深信服對 Open vSwitchOVS的定制封裝它允許將管理、存儲、業(yè)務(wù)流量復(fù)用同一物理網(wǎng)口如eth3通過 VLAN Tag 區(qū)分。但這不意味著可以省掉交換機(jī)配置。必須在交換機(jī)上為該端口配置switchport mode trunkswitchport trunk allowed vlan 10,20,30假設(shè)管理 VLAN10存儲 VLAN20業(yè)務(wù) VLAN30spanning-tree portfast trunk加速收斂HCI 節(jié)點(diǎn)側(cè)配置通過 Web 界面物理出口 → 新建 → 類型選Trunk綁定eth3添加子接口eth3.10管理、eth3.20存儲、eth3.30業(yè)務(wù)關(guān)鍵在「存儲通信網(wǎng)絡(luò)」配置中必須將eth3.20指定為 aSAN 數(shù)據(jù)口而非eth3本身。避坑 / 常見問題 / 排查現(xiàn)象三網(wǎng)合一啟用后虛擬機(jī)網(wǎng)絡(luò)正常但 aSAN 狀態(tài)變?yōu)镈egraded日志報Heartbeat timeout on vlan 20原因交換機(jī) trunk 端口未放行 VLAN 20或 PVID 設(shè)置錯誤解決在交換機(jī)執(zhí)行show interfaces trunk確認(rèn)eth3.20對應(yīng)的 VLAN 在Allowed VLANs列表中現(xiàn)象集群初始化成功但新增虛擬機(jī)無法獲取 IPDHCP 不響應(yīng)原因三網(wǎng)合一后aNET 的 DHCP 服務(wù)綁定在br-mgmt網(wǎng)橋但該網(wǎng)橋未正確關(guān)聯(lián)eth3.10解決執(zhí)行ovs-vsctl add-port br-mgmt eth3.10 tag10然后重啟acloud-network服務(wù)現(xiàn)象啟用三網(wǎng)合一后Web 控制臺響應(yīng)變慢top顯示ovs-vswitchdCPU 占用 90%原因OVS 流表規(guī)則過多未啟用硬件卸載解決在 Web 界面「系統(tǒng)設(shè)置」→「高級設(shè)置」中開啟Enable hardware offload for OVS需網(wǎng)卡支持 SR-IOV5. EDR 安全組件集成不是裝個客戶端就完事而是構(gòu)建可信終端閉環(huán)終端檢測響應(yīng)平臺EDR是深信服 HCI 的安全增強(qiáng)模塊但它與 aSV 的集成深度遠(yuǎn)超普通殺毒軟件。6.7.0R3 要求 EDR 服務(wù)器與 HCI 集群共享同一套證書體系否則會出現(xiàn)「客戶端在線但無響應(yīng)」的黑匣子問題。5.1 EDR 服務(wù)器安裝VMA 格式是唯一可靠路徑文檔提供 VMA 和 ISO 兩種安裝方式但實踐證明ISO 方式在 6.7.0R3 中存在證書簽名不兼容問題會導(dǎo)致后續(xù)客戶端無法注冊。VMAVirtual Appliance是 OVA 格式的深信服定制版它預(yù)裝了與 HCI 同源的 OpenSSL 1.1.1k 和自簽名 CA 證書。安裝步驟在 vSphere 或 HCI 平臺中選擇「導(dǎo)入 OVF 模板」上傳EDR_Server_V6.7.0R3.vma配置資源2vCPU、8GB 內(nèi)存、100GB 磁盤網(wǎng)絡(luò)配置必須選擇Management Network即集群管理網(wǎng)段IP 設(shè)為靜態(tài)如192.168.10.201開機(jī)后SSH 登錄執(zhí)行/opt/sangfor/edr/bin/init_cert.sh該腳本會自動從 HCI 集群拉取根證書。注意init_cert.sh必須在 EDR 服務(wù)器啟動后 5 分鐘內(nèi)執(zhí)行超時則需手動下載證書curl -k https://192.168.10.100:443/cert/ca.crt -o /opt/sangfor/edr/cert/ca.crt5.2 EDR 客戶端部署策略下發(fā)前的三次握手驗證客戶端不是簡單安裝而是要完成與 EDR 服務(wù)器、HCI 平臺、aSV 內(nèi)核模塊的三方握手。部署后必須依次驗證# 1. 與 EDR 服務(wù)器通信 /opt/sangfor/edr/bin/edr_agent status | grep Connected # 應(yīng)為 true # 2. 與 HCI 平臺注冊關(guān)鍵 curl -k https://192.168.10.100:443/api/v1/agent/list | jq .data[] | select(.ip192.168.10.50) # 替換為客戶機(jī) IP # 3. aSV 內(nèi)核模塊加載 lsmod | grep edr_kmod # 必須存在否則無法進(jìn)行進(jìn)程行為監(jiān)控若第 2 步無返回說明客戶端未向 HCI 注冊需檢查客戶端安裝時是否勾選了Register to HCI PlatformHCI 控制臺「安全中心」→「EDR 管理」中是否啟用了Auto-register agents。5.3 一致性組快照與 EDR 的聯(lián)動安全備份的隱藏邏輯EDR 的「勒索病毒防護(hù)」功能依賴 aSAN 的一致性組快照Consistency Group Snapshot。當(dāng)檢測到可疑加密行為時EDR 會觸發(fā) aSAN 創(chuàng)建一個包含所有相關(guān)虛擬機(jī)磁盤的原子快照。但此功能生效的前提是虛擬機(jī)必須加入同一個「一致性組」在「虛擬機(jī)管理」→「快照策略」中設(shè)置該組的快照保留策略中必須啟用Enable ransomware protectionEDR 服務(wù)器與 aSAN 的時間偏差 ≤100ms比集群要求更嚴(yán)。驗證聯(lián)動是否生效# 在 EDR 服務(wù)器上模擬勒索行為測試用 /opt/sangfor/edr/bin/edr_test_ransomware.sh --vm-name win10-test # 查看 aSAN 是否創(chuàng)建快照 /opt/sangfor/hci/bin/aSAN_cli snapshot list --group win10-test-group | grep Created若無輸出檢查/var/log/edr/edr_server.log常見錯誤為Failed to call aSAN API: certificate verify failed即 EDR 未正確信任 HCI 的證書。6. 驗證集群是否真正就緒5 個命令、3 個日志、1 個終極壓力測試裝完不等于跑通HCI 的穩(wěn)定性必須經(jīng)受住真實負(fù)載的考驗。我給自己定的驗收紅線是連續(xù) 72 小時無aSAN degraded、無acloud-agent timeout、無EDR agent offline且能承受 50 虛擬機(jī)并發(fā)克隆。6.1 五條黃金命令每條都直指一個核心模塊這些命令不是擺設(shè)而是我每次部署后必敲的「脈搏檢測」# 1. 檢查集群整體健康aCloud 層 /opt/sangfor/hci/bin/check_cluster_status.sh # ? 期望輸出All services are running, Cluster status: Normal # 2. 檢查存儲平面aSAN 層 /opt/sangfor/hci/bin/aSAN_cli health check # ? 期望輸出Overall health: OK, All disks online, No rebuilding # 3. 檢查網(wǎng)絡(luò)平面aNET 層 ovs-vsctl show | grep -E (br-mgmt|br-storage|br-business) # ? 期望輸出三個網(wǎng)橋均存在且各自綁定正確的物理口如 br-storage: eth1,eth2 # 4. 檢查虛擬化層aSV 層 virsh list --all | wc -l # ? 期望輸出≥5含 3 個 aSAN 元數(shù)據(jù) VM 1 個 EDR Agent VM 1 個測試 VM # 5. 檢查安全組件EDR 層 /opt/sangfor/edr/bin/edr_agent status | grep -E (Status|Version) # ? 期望輸出Status: Running, Version: 6.7.0R36.2 三個關(guān)鍵日志文件錯誤不在 UI在這里Web 控制臺的告警只是冰山一角真正的線索藏在日志深處日志路徑關(guān)鍵排查場景必查關(guān)鍵詞/var/log/aSAN/aSAN_init.log存儲初始化失敗format failed,disk not found,MTU mismatch/var/log/acloud/acloud-agent.log節(jié)點(diǎn)失聯(lián)、心跳中斷heartbeat timeout,connection refused,certificate verify failed/var/log/edr/edr_server.logEDR 策略不生效、客戶端離線register failed,api call error,cert expired實時跟蹤技巧部署后第一小時必做# 分屏監(jiān)控三大日志需安裝 screen 或 tmux screen -S hci-log screen -S 0 tail -f /var/log p a hrefhttps://download.csdn.net/download/musen208428/87606352 stylecolor:#ec7500;font-size:14px; 本文還有配套的精品資源點(diǎn)擊獲取 /a img altmenu-r.4af5f7ec.gif srchttps://csdnimg.cn/release/wenkucmsfe/public/img/menu-r.4af5f7ec.gif stylewidth:16px;margin-left:4px;vertical-align:text-bottom;cursor:text; /p