簡(jiǎn)介本資源是深信服超融合HCIHyper-Converged Infrastructure官方用戶及部署手冊(cè)6.7.0R3版面向IT基礎(chǔ)設(shè)施工程師、虛擬化運(yùn)維人員與超融合系統(tǒng)實(shí)施技術(shù)人員聚焦分布式架構(gòu)下的云平臺(tái)建設(shè)與落地實(shí)踐。手冊(cè)系統(tǒng)覆蓋HCI整體架構(gòu)設(shè)計(jì)、aSV計(jì)算虛擬化、aSAN分布式存儲(chǔ)、aNET智能網(wǎng)絡(luò)等核心模塊詳述安裝組網(wǎng)規(guī)范、硬件配置要求、多場(chǎng)景網(wǎng)絡(luò)規(guī)劃、集群部署流程及基礎(chǔ)運(yùn)維要點(diǎn)含大量操作圖示、風(fēng)險(xiǎn)提示與排錯(cuò)說(shuō)明具備強(qiáng)實(shí)操指導(dǎo)性。資源為單文件PDF格式共1個(gè)35.42MB的完整手冊(cè)內(nèi)容結(jié)構(gòu)清晰從產(chǎn)品簡(jiǎn)介、關(guān)鍵特性到安裝部署逐層展開(kāi)便于快速查閱與現(xiàn)場(chǎng)參考。目前已有1250人學(xué)習(xí)下載是掌握深信服超融合技術(shù)體系、開(kāi)展項(xiàng)目交付與日常運(yùn)維的重要權(quán)威文檔。1. 深信服超融合 HCI 6.7.0R3 部署不是“點(diǎn)下一步”就能過(guò)三類人最容易在集群初始化階段卡死而問(wèn)題往往出在網(wǎng)口綁定順序和時(shí)間同步精度上你手頭剛拿到深信服超融合 HCI 6.7.0R3 的 ISO 鏡像也確認(rèn)了服務(wù)器滿足最低配置雙路 CPU、≥64GB 內(nèi)存、≥3 塊 1TB SSD但裝完系統(tǒng)進(jìn) Web 控制臺(tái)卻卡在「添加主機(jī)」灰顯、「集群 IP 無(wú)法提交」或「存儲(chǔ)卷創(chuàng)建失敗」——這不是你操作錯(cuò)了而是這套環(huán)境對(duì)底層網(wǎng)絡(luò)拓?fù)浜蜁r(shí)鐘一致性有硬性要求且文檔里沒(méi)明說(shuō)的細(xì)節(jié)藏在組網(wǎng)邏輯和參數(shù)校驗(yàn)中。我見(jiàn)過(guò)太多技術(shù)服務(wù)工程師在客戶現(xiàn)場(chǎng)耗掉一整天反復(fù)重裝最后發(fā)現(xiàn)只是管理口和存儲(chǔ)口插反了物理網(wǎng)卡槽位也見(jiàn)過(guò)某高校實(shí)驗(yàn)室因 NTP 服務(wù)器偏差 500ms導(dǎo)致 aSAN 同步異常、集群狀態(tài)反復(fù)震蕩。這套部署手冊(cè)不是給純新手看的“安裝向?qū)А倍墙o已具備 Linux 網(wǎng)絡(luò)基礎(chǔ)、熟悉 RAID/存儲(chǔ)概念、能讀日志查進(jìn)程的運(yùn)維人員準(zhǔn)備的「可落地執(zhí)行清單」。它覆蓋從第三方服務(wù)器裸金屬安裝、仲裁節(jié)點(diǎn)接入、三網(wǎng)合一配置到 EDR 安全組件集成的完整鏈路。如果你正要為中小數(shù)據(jù)中心、邊緣計(jì)算節(jié)點(diǎn)或測(cè)試驗(yàn)證環(huán)境搭建一套穩(wěn)定可用的超融合平臺(tái)且希望避開(kāi)那些只在生產(chǎn)環(huán)境才暴露的玄學(xué)故障那這份基于 6.7.0R3 版本的實(shí)操筆記就是你該先通讀再動(dòng)手的底線清單。2. 安裝前硬性準(zhǔn)備不滿足這 4 類條件后續(xù)所有操作都是徒勞深信服 HCI 不是傳統(tǒng)虛擬化軟件它的 aSV計(jì)算、aSAN存儲(chǔ)、aNET網(wǎng)絡(luò)三模塊深度耦合任何一項(xiàng)硬件或網(wǎng)絡(luò)條件不達(dá)標(biāo)都會(huì)在集群初始化或卷創(chuàng)建階段觸發(fā)強(qiáng)制阻斷。很多翻車案例根源都在這里被跳過(guò)了。2.1 服務(wù)器硬件與固件必須滿足的剛性門(mén)檻HCI 對(duì)硬件兼容性有嚴(yán)格白名單機(jī)制尤其在 6.7.0R3 版本中不支持 NVMe-oF 直通、不兼容部分 Intel C620 芯片組的板載網(wǎng)卡、對(duì) U.2 接口 SSD 的固件版本有特定要求。這不是建議而是啟動(dòng)安裝程序時(shí)就會(huì)校驗(yàn)的硬性檢查項(xiàng)。注意深信服官方《兼容性列表》中明確標(biāo)注使用第三方服務(wù)器時(shí)必須選用已通過(guò)認(rèn)證的型號(hào)如 Dell R740、HPE DL380 Gen10、浪潮 NF5280M5。未認(rèn)證機(jī)型即使能進(jìn)入安裝界面也可能在 aSAN 初始化階段報(bào)錯(cuò)Failed to initialize storage pool: device not supported。關(guān)鍵檢查項(xiàng)如下需在 BIOS/UEFI 中逐項(xiàng)確認(rèn)檢查項(xiàng)必須值說(shuō)明CPU 虛擬化支持Intel VT-x / AMD-V必須啟用且Intel VT-d / AMD-Vi 必須啟用aSV 依賴 IOMMU 進(jìn)行設(shè)備直通禁用會(huì)導(dǎo)致后續(xù) GPU 或 USB 設(shè)備無(wú)法分配內(nèi)存配置≥64GB必須啟用 NUMA且單節(jié)點(diǎn)內(nèi)存通道數(shù) ≥3aSAN 元數(shù)據(jù)緩存對(duì)內(nèi)存帶寬敏感雙通道內(nèi)存易觸發(fā)aSAN memory bandwidth insufficient告警存儲(chǔ)設(shè)備≥3 塊同型號(hào) SSDSATA/SAS/NVMeRAID 卡必須設(shè)為 JBOD 或 HBA 模式若啟用 RAID 5/6aSAN 將無(wú)法識(shí)別物理盤(pán)報(bào)錯(cuò)No available disk for storage pool網(wǎng)卡配置至少 4 個(gè)千兆/萬(wàn)兆網(wǎng)口其中 2 個(gè)用于管理存儲(chǔ)通信1 個(gè)用于業(yè)務(wù)1 個(gè)預(yù)留仲裁網(wǎng)口數(shù)量不足將導(dǎo)致「三網(wǎng)合一」配置失敗Web 界面直接禁用相關(guān)選項(xiàng)驗(yàn)證命令安裝前在已有系統(tǒng)中執(zhí)行# 檢查 CPU 虛擬化支持 egrep -c (vmx|svm) /proc/cpuinfo # 返回值 ≥1 才有效 cat /sys/firmware/acpi/interrupts/err # 應(yīng)為 0非 0 表示 IOMMU 異常 # 檢查 RAID 卡模式以 LSI MegaRAID 為例 /opt/MegaRAID/MegaCli/MegaCli64 -AdpAllInfo -aALL | grep HBA Mode # 輸出應(yīng)含 HBA Mode: Enabled若返回值不符合必須重啟進(jìn) BIOS 修改否則安裝程序會(huì)在檢測(cè)階段直接退出并在/var/log/install.log中寫(xiě)入Hardware pre-check failed: [reason]。2.2 網(wǎng)絡(luò)規(guī)劃不是畫(huà)張拓?fù)鋱D就行而是要精確到每個(gè)網(wǎng)口的 VLAN 和 MTUHCI 的「標(biāo)準(zhǔn)集群組網(wǎng)」本質(zhì)是邏輯隔離的三平面網(wǎng)絡(luò)管理平面Cluster IP、存儲(chǔ)平面aSAN Heartbeat Data、業(yè)務(wù)平面VM 流量。6.7.0R3 版本默認(rèn)要求存儲(chǔ)平面必須獨(dú)占物理鏈路禁止與管理口共用交換機(jī)端口或 VLAN。這是很多用戶部署失敗的核心原因——他們把所有網(wǎng)線都插在同一臺(tái)接入交換機(jī)上僅靠 VLAN 劃分結(jié)果 aSAN 心跳包被交換機(jī) QoS 丟棄集群狀態(tài)持續(xù)為Warning: Storage network unstable。正確做法是采用物理分離 邏輯綁定管理口eth0連接管理交換機(jī)IP 為192.168.10.10/24MTU1500存儲(chǔ)口eth1, eth2綁定為 bond0mode4LACP直連專用存儲(chǔ)交換機(jī)IP 為172.16.10.10/24MTU9000Jumbo Frame業(yè)務(wù)口eth3連接業(yè)務(wù)交換機(jī)不配 IP由 HCI 平臺(tái)自動(dòng)分配虛擬子網(wǎng)提示深信服在 6.7.0R3 中強(qiáng)化了存儲(chǔ)網(wǎng)絡(luò) MTU 校驗(yàn)。若 bond0 的 MTU 未設(shè)為 9000aSAN 初始化會(huì)失敗并報(bào)錯(cuò)aSAN data path MTU mismatch: expected 9000, got 1500。該錯(cuò)誤不會(huì)在 UI 顯示需查看/var/log/aSAN/aSAN_init.log。驗(yàn)證腳本部署前在目標(biāo)服務(wù)器執(zhí)行# 檢查 bond0 是否存在且 MTU 正確 ip link show bond0 | grep mtu 9000 # 必須匹配 # 檢查存儲(chǔ)交換機(jī)連通性需提前配置好對(duì)端 IP ping -c 3 -M do -s 8972 172.16.10.1 # -M do 強(qiáng)制 DF 位-s 8972 9000 MTU - 28 ICMP 頭 # 若丟包或返回 Frag needed說(shuō)明中間鏈路不支持 Jumbo Frame2.3 仲裁節(jié)點(diǎn)不是“可選”而是兩節(jié)點(diǎn)場(chǎng)景下的生存底線文檔寫(xiě)“仲裁節(jié)點(diǎn)配置要求可選”但實(shí)際在兩主機(jī)部署延伸集群或防腦裂場(chǎng)景下它是強(qiáng)制必需項(xiàng)。沒(méi)有仲裁當(dāng)兩節(jié)點(diǎn)間心跳中斷時(shí)系統(tǒng)無(wú)法判斷哪邊是“健康方”會(huì)同時(shí)凍結(jié)存儲(chǔ)寫(xiě)入導(dǎo)致業(yè)務(wù)中斷。6.7.0R3 支持三種仲裁形態(tài)適用場(chǎng)景不同aServer 一體機(jī)仲裁僅限深信服自研硬件部署最簡(jiǎn)但成本高第三方服務(wù)器仲裁推薦方案需獨(dú)立物理機(jī)≥8GB 內(nèi)存、≥2 核 CPU、1 塊 100GB 系統(tǒng)盤(pán)必須與集群節(jié)點(diǎn)處于同一二層網(wǎng)絡(luò)VMware 平臺(tái)仲裁適用于已有 vSphere 環(huán)境但要求 VMware ESXi 版本 ≥6.7U3且虛擬機(jī)需配置2vCPU、4GB 內(nèi)存、1 塊 50GB 磁盤(pán)、網(wǎng)絡(luò)適配器類型為 VMXNET3。關(guān)鍵參數(shù)表第三方服務(wù)器仲裁節(jié)點(diǎn)參數(shù)推薦值說(shuō)明操作系統(tǒng)CentOS 7.6最小化安裝6.7.0R3 仲裁服務(wù)僅兼容此版本內(nèi)核3.10.0-957網(wǎng)絡(luò)配置靜態(tài) IP與集群管理網(wǎng)段同網(wǎng)段如192.168.10.200/24不能使用 DHCP否則仲裁服務(wù)啟動(dòng)失敗防火墻systemctl stop firewalld systemctl disable firewalld仲裁服務(wù)監(jiān)聽(tīng)端口30001/tcpfirewalld 會(huì)攔截SELinuxsetenforce 0 sed -i s/SELINUXenforcing/SELINUXdisabled/g /etc/selinux/config否則arbitrationd進(jìn)程無(wú)法綁定端口安裝仲裁服務(wù)前必須在集群節(jié)點(diǎn)上執(zhí)行預(yù)檢# 在任一 HCI 節(jié)點(diǎn)執(zhí)行檢查仲裁可達(dá)性 curl -I http://192.168.10.200:30001/health # 應(yīng)返回 HTTP/1.1 200 OK # 若超時(shí)檢查 iptables 是否放行 iptables -L INPUT | grep 30001 # 應(yīng)有 ACCEPT 規(guī)則2.4 時(shí)間同步500ms 是生死線NTP 配置錯(cuò)誤比沒(méi)配更危險(xiǎn)aSAN 的分布式鎖機(jī)制依賴高精度時(shí)鐘。6.7.0R3 要求所有節(jié)點(diǎn)與仲裁節(jié)點(diǎn)之間的時(shí)間偏差絕對(duì)值 ≤500ms。超過(guò)此閾值aSAN 會(huì)主動(dòng)拒絕寫(xiě)入并在 Web 界面顯示Time skew too large: 842ms。但更隱蔽的坑是錯(cuò)誤的 NTP 配置如指向不可達(dá)的 NTP 服務(wù)器會(huì)導(dǎo)致 chronyd 進(jìn)入 panic 模式反而放大時(shí)間漂移。我見(jiàn)過(guò)某客戶配置了pool cn.pool.ntp.org iburst但其出口防火墻屏蔽了 UDP 123 端口chronyd 日志持續(xù)報(bào)Source 114.114.114.114 Offline最終 drift 累積到 3 秒以上。正確配置步驟所有節(jié)點(diǎn)及仲裁機(jī)均需執(zhí)行# 1. 停止原有服務(wù) systemctl stop ntpd chronyd systemctl disable ntpd chronyd # 2. 編輯 chrony 配置/etc/chrony.conf sed -i /^server/d /etc/chrony.conf echo server 192.168.10.1 iburst minpoll 4 maxpoll 4 /etc/chrony.conf # 指向內(nèi)網(wǎng) NTP 服務(wù)器 echo makestep 1.0 3 /etc/chrony.conf # 偏差 1s 時(shí)立即校正關(guān)鍵 # 3. 啟動(dòng)并驗(yàn)證 systemctl enable chronyd systemctl start chronyd chronyc tracking | grep System time # 輸出應(yīng)為 System time : 0.000000000 seconds fast of NTP time chronyc sources -v | grep ^* # 星號(hào)行表示當(dāng)前同步源無(wú)星號(hào)則未同步注意makestep參數(shù)必須顯式設(shè)置。6.7.0R3 的 aSAN 初始化腳本會(huì)調(diào)用chronyc tracking獲取Last offset值若該值為空或超限直接終止流程。3. ISO 安裝與系統(tǒng)初始化從裸金屬到集群就緒的 7 個(gè)不可跳過(guò)動(dòng)作安裝程序本身很安靜但后臺(tái)執(zhí)行的校驗(yàn)和初始化動(dòng)作極多。跳過(guò)任何一個(gè)都會(huì)在后續(xù)「組建集群」環(huán)節(jié)暴露為難以定位的灰色錯(cuò)誤。3.1 ISO 啟動(dòng)后首屏選擇別急著按回車先做三件事插入 U 盤(pán)或掛載 ISO 啟動(dòng)后首屏是 GRUB 菜單此時(shí)不要直接回車。需按Tab鍵編輯啟動(dòng)參數(shù)在quiet splash后追加以下內(nèi)核參數(shù)net.ifnames0 biosdevname0 crashkernelauto rd.md.uuidxxx rd.lvm.lvcentos/root rd.lvm.lvcentos/swapnet.ifnames0 biosdevname0強(qiáng)制使用eth0/eth1傳統(tǒng)命名避免 systemd-networkd 自動(dòng)重命名為ens1f0導(dǎo)致網(wǎng)絡(luò)配置錯(cuò)亂rd.md.uuidxxx必須替換為你的 RAID 卡實(shí)際 UUID可通過(guò)mdadm --examine /dev/sda查看缺失則安裝程序無(wú)法識(shí)別 RAID 陣列rd.lvm.lv...指定根分區(qū)和 swap 分區(qū)的 LV 名稱6.7.0R3 默認(rèn)使用 LVM名稱必須與安裝介質(zhì)內(nèi)置模板一致。避坑 / 常見(jiàn)問(wèn)題 / 排查現(xiàn)象安裝界面卡在Starting installer...超過(guò) 5 分鐘無(wú)任何日志輸出原因BIOS 中CSMCompatibility Support Module未關(guān)閉導(dǎo)致 UEFI 模式下無(wú)法加載 NVMe 驅(qū)動(dòng)解決重啟進(jìn) BIOS關(guān)閉 CSMSecure Boot 設(shè)為 Disabled保存重啟現(xiàn)象安裝完成后重啟系統(tǒng)黑屏或停留在 GRUB 提示符原因安裝時(shí)未正確識(shí)別系統(tǒng)盤(pán)GRUB 安裝到了錯(cuò)誤設(shè)備如 U 盤(pán)而非/dev/sda解決重裝時(shí)在安裝向?qū)А窱nstallation Destination」頁(yè)手動(dòng)勾選目標(biāo)磁盤(pán)并點(diǎn)擊I will configure partitioning在「Click here to create them automatically」下方確認(rèn)Device下拉框中顯示的是/dev/sda或你的系統(tǒng)盤(pán)現(xiàn)象安裝成功但登錄 Web 控制臺(tái)后首頁(yè)顯示No host found「添加主機(jī)」按鈕灰顯原因安裝時(shí)未配置管理 IP或配置的 IP 與當(dāng)前網(wǎng)絡(luò)不通解決在控制臺(tái)登錄后立即執(zhí)行sudo /opt/sangfor/hci/bin/set_management_ip.sh 192.168.10.10 255.255.255.0替換為你的真實(shí) IP然后重啟網(wǎng)絡(luò)服務(wù)systemctl restart network現(xiàn)象aSAN 初始化失敗日志/var/log/aSAN/aSAN_init.log中出現(xiàn)Failed to format disk /dev/sdb: Device is busy原因該磁盤(pán)已被系統(tǒng)自動(dòng)掛載如/mnt/data或存在殘留 LVM PV解決安裝前執(zhí)行umount /dev/sdb* pvremove /dev/sdb確保磁盤(pán)干凈現(xiàn)象集群初始化后存儲(chǔ)卷狀態(tài)為Initializing長(zhǎng)時(shí)間不變成Online原因存儲(chǔ)網(wǎng)絡(luò) MTU 未設(shè)為 9000或交換機(jī)未開(kāi)啟 Jumbo Frame解決在節(jié)點(diǎn)上執(zhí)行ip link set dev bond0 mtu 9000并登錄交換機(jī)配置interface range gigabitethernet 1/0/1-4; jumboframe 9000以 H3C 為例3.2 安裝過(guò)程中的關(guān)鍵配置點(diǎn)UI 看似簡(jiǎn)單參數(shù)決定成敗安裝向?qū)Ч?5 步其中第 3 步「Network Hostname」和第 4 步「Installation Destination」是核心風(fēng)險(xiǎn)點(diǎn)。Network HostnameHostname 必須為全小寫(xiě)字母數(shù)字短橫線如hci-node01禁止下劃線或大寫(xiě)字母否則集群 DNS 解析失敗Management Interface 選擇eth0確保是你規(guī)劃的管理口IP 配置為靜態(tài)Gateway 必須填寫(xiě)即使不跨網(wǎng)段aSAN 服務(wù)依賴 gateway 字段生成路由不勾選Configure Network at Boot—— HCI 平臺(tái)會(huì)接管網(wǎng)絡(luò)管理此處勾選會(huì)導(dǎo)致沖突。Installation Destination必須選擇I will configure partitioning系統(tǒng)默認(rèn)的自動(dòng)分區(qū)會(huì)創(chuàng)建/boot/efi分區(qū)但 6.7.0R3 要求 BIOS 模式安裝該分區(qū)會(huì)引發(fā) GRUB 錯(cuò)誤手動(dòng)創(chuàng)建分區(qū)方案以 1TB SSD 為例/boot1GBext4/50GBxfs/var/log20GBxfs日志單獨(dú)分區(qū)防爆滿swap16GB內(nèi)存 ≥64GB 時(shí)swap內(nèi)存/4剩余空間不分配留給 aSANaSAN 需要裸盤(pán)不能有文件系統(tǒng)3.3 安裝完成后的首次登錄繞過(guò) Web 控制臺(tái)的“假死”陷阱安裝完成重啟后瀏覽器訪問(wèn)https://管理IP大概率會(huì)遇到頁(yè)面加載緩慢、圖標(biāo)不顯示、甚至提示ERR_CONNECTION_TIMED_OUT。這不是服務(wù)沒(méi)起來(lái)而是 6.7.0R3 的 Web 服務(wù)nginx python backend啟動(dòng)有依賴順序需等待約 3 分鐘。正確做法是先 SSH 登錄確認(rèn)服務(wù)狀態(tài)# 登錄后立即執(zhí)行 systemctl list-units --statefailed | grep -E (nginx|acloud|asand) # 查看是否有失敗單元 journalctl -u nginx -n 50 --no-pager | grep listen # 應(yīng)看到 listening on [::]:443 /opt/sangfor/hci/bin/check_cluster_status.sh # 檢查集群基礎(chǔ)服務(wù)若check_cluster_status.sh輸出All services are running但 Web 仍打不開(kāi)則是瀏覽器緩存問(wèn)題清除瀏覽器 SSL 狀態(tài)Chrome 地址欄輸入chrome://net-internals/#hsts刪除對(duì)應(yīng)域名或換用curl -k https://192.168.10.10若返回 HTML 片段證明服務(wù)正常純屬前端加載問(wèn)題。4. 集群初始化實(shí)戰(zhàn)從單節(jié)點(diǎn)到三節(jié)點(diǎn)集群的 5 個(gè)必填字段與 3 個(gè)隱藏開(kāi)關(guān)單節(jié)點(diǎn)安裝只是起點(diǎn)真正的超融合價(jià)值在于集群化。6.7.0R3 的集群初始化流程藏了三個(gè) UI 上看不到的“隱藏開(kāi)關(guān)”漏掉一個(gè)集群就永遠(yuǎn)停在Waiting for other nodes。4.1 集群 IP 配置不是填個(gè) IP 就行而是要理解它的三層作用在「HCI 集群初始化」→「配置集群 IP」頁(yè)你填的這個(gè) IP如192.168.10.100并非某個(gè)節(jié)點(diǎn)的地址而是整個(gè)集群的虛擬入口它承擔(dān)三重角色管理入口所有 Web 控制臺(tái)、API 請(qǐng)求都發(fā)往此 IPaSAN 仲裁代理當(dāng)節(jié)點(diǎn)失聯(lián)時(shí)此 IP 作為心跳代理參與投票虛擬網(wǎng)絡(luò)網(wǎng)關(guān)所有虛擬機(jī)默認(rèn)網(wǎng)關(guān)指向此 IP通過(guò) aNET 實(shí)現(xiàn)。因此它必須滿足與所有節(jié)點(diǎn)管理口在同一網(wǎng)段不能與任何節(jié)點(diǎn) IP 沖突必須配置在集群第一個(gè)節(jié)點(diǎn)上后續(xù)節(jié)點(diǎn)加入時(shí)此 IP 會(huì)自動(dòng)同步。填寫(xiě)后系統(tǒng)會(huì)自動(dòng)生成/etc/acloud/cluster.conf其中關(guān)鍵字段{ cluster_vip: 192.168.10.100, management_network: 192.168.10.0/24, storage_network: 172.16.10.0/24, // 必須與你規(guī)劃的存儲(chǔ)網(wǎng)段一致 enable_arp_monitor: true // 關(guān)鍵開(kāi)啟 ARP 探測(cè)防 VIP 漂移 }注意enable_arp_monitor默認(rèn)為false但若不手動(dòng)改為true當(dāng)主節(jié)點(diǎn)宕機(jī)時(shí)VIP 可能無(wú)法及時(shí)漂移到備用節(jié)點(diǎn)導(dǎo)致管理中斷。4.2 添加主機(jī)物理網(wǎng)口順序決定集群能否握手成功「添加主機(jī)」頁(yè)面要求輸入其他節(jié)點(diǎn)的管理 IP如192.168.10.11但背后發(fā)生的是復(fù)雜的四步握手當(dāng)前節(jié)點(diǎn)向目標(biāo) IP 發(fā)送acloud-agent探測(cè)包目標(biāo)節(jié)點(diǎn)響應(yīng)并返回其bond0存儲(chǔ)口的 MAC 地址當(dāng)前節(jié)點(diǎn)校驗(yàn)該 MAC 是否在本地aSAN白名單中即是否為認(rèn)證網(wǎng)卡雙方交換aSAN元數(shù)據(jù)開(kāi)始同步。失敗最常見(jiàn)的原因是目標(biāo)節(jié)點(diǎn)的bond0網(wǎng)口插在了錯(cuò)誤的物理槽位導(dǎo)致 MAC 地址與集群預(yù)期不符。例如你規(guī)劃eth1eth2綁定為bond0但實(shí)際插在了eth3eth4槽位系統(tǒng)識(shí)別為bond1MAC 地址變更aSAN 拒絕握手。解決方案在目標(biāo)節(jié)點(diǎn)執(zhí)行cat /proc/net/bonding/bond0 | grep Slave Interface確認(rèn)eth1和eth2確實(shí)在bond0中若不在需修改/etc/sysconfig/network-scripts/ifcfg-bond0調(diào)整BONDING_OPTSmode4 miimon100 slaveseth1,eth2重啟網(wǎng)絡(luò)ifdown bond0 ifup bond0。4.3 存儲(chǔ)卷創(chuàng)建普通卷與延伸卷的本質(zhì)區(qū)別與配置陷阱創(chuàng)建卷時(shí)UI 提供「普通卷」和「延伸卷」兩個(gè)選項(xiàng)。很多人以為只是名字不同實(shí)則架構(gòu)級(jí)差異特性普通卷延伸卷副本策略3 副本跨 3 節(jié)點(diǎn)2 副本跨 2 個(gè)故障域 1 仲裁副本最小節(jié)點(diǎn)數(shù)321 仲裁適用場(chǎng)景標(biāo)準(zhǔn)集群延伸集群、兩地三中心網(wǎng)絡(luò)要求存儲(chǔ)網(wǎng)必須三層互通存儲(chǔ)網(wǎng)可二層隔離但需仲裁節(jié)點(diǎn)可達(dá)致命陷阱創(chuàng)建延伸卷時(shí)UI 會(huì)要求選擇「仲裁節(jié)點(diǎn)」但必須選擇已成功接入集群的仲裁節(jié)點(diǎn) IP。若你填的是仲裁服務(wù)器的管理 IP如192.168.10.200但該 IP 未在集群中注冊(cè)為仲裁節(jié)點(diǎn)會(huì)報(bào)錯(cuò)Arbitration node not found in cluster。正確流程先在「系統(tǒng)設(shè)置」→「仲裁管理」中點(diǎn)擊Add Arbitration Node輸入192.168.10.200等待狀態(tài)變?yōu)镺nline再創(chuàng)建延伸卷在「仲裁節(jié)點(diǎn)」下拉框中選擇該節(jié)點(diǎn)而非手動(dòng)輸入。驗(yàn)證延伸卷狀態(tài)# 在任意節(jié)點(diǎn)執(zhí)行 /opt/sangfor/hci/bin/aSAN_cli volume list # 查看卷類型為 stretch /opt/sangfor/hci/bin/aSAN_cli volume info volume_name | grep Replica # 應(yīng)顯示 2 data replicas 1 arbitration replica4.4 三網(wǎng)合一配置不是合并網(wǎng)口而是用 OVS 實(shí)現(xiàn)流量標(biāo)簽化「三網(wǎng)合一」是深信服對(duì) Open vSwitchOVS的定制封裝它允許將管理、存儲(chǔ)、業(yè)務(wù)流量復(fù)用同一物理網(wǎng)口如eth3通過(guò) VLAN Tag 區(qū)分。但這不意味著可以省掉交換機(jī)配置。必須在交換機(jī)上為該端口配置switchport mode trunkswitchport trunk allowed vlan 10,20,30假設(shè)管理 VLAN10存儲(chǔ) VLAN20業(yè)務(wù) VLAN30spanning-tree portfast trunk加速收斂HCI 節(jié)點(diǎn)側(cè)配置通過(guò) Web 界面物理出口 → 新建 → 類型選Trunk綁定eth3添加子接口eth3.10管理、eth3.20存儲(chǔ)、eth3.30業(yè)務(wù)關(guān)鍵在「存儲(chǔ)通信網(wǎng)絡(luò)」配置中必須將eth3.20指定為 aSAN 數(shù)據(jù)口而非eth3本身。避坑 / 常見(jiàn)問(wèn)題 / 排查現(xiàn)象三網(wǎng)合一啟用后虛擬機(jī)網(wǎng)絡(luò)正常但 aSAN 狀態(tài)變?yōu)镈egraded日志報(bào)Heartbeat timeout on vlan 20原因交換機(jī) trunk 端口未放行 VLAN 20或 PVID 設(shè)置錯(cuò)誤解決在交換機(jī)執(zhí)行show interfaces trunk確認(rèn)eth3.20對(duì)應(yīng)的 VLAN 在Allowed VLANs列表中現(xiàn)象集群初始化成功但新增虛擬機(jī)無(wú)法獲取 IPDHCP 不響應(yīng)原因三網(wǎng)合一后aNET 的 DHCP 服務(wù)綁定在br-mgmt網(wǎng)橋但該網(wǎng)橋未正確關(guān)聯(lián)eth3.10解決執(zhí)行ovs-vsctl add-port br-mgmt eth3.10 tag10然后重啟acloud-network服務(wù)現(xiàn)象啟用三網(wǎng)合一后Web 控制臺(tái)響應(yīng)變慢top顯示ovs-vswitchdCPU 占用 90%原因OVS 流表規(guī)則過(guò)多未啟用硬件卸載解決在 Web 界面「系統(tǒng)設(shè)置」→「高級(jí)設(shè)置」中開(kāi)啟Enable hardware offload for OVS需網(wǎng)卡支持 SR-IOV5. EDR 安全組件集成不是裝個(gè)客戶端就完事而是構(gòu)建可信終端閉環(huán)終端檢測(cè)響應(yīng)平臺(tái)EDR是深信服 HCI 的安全增強(qiáng)模塊但它與 aSV 的集成深度遠(yuǎn)超普通殺毒軟件。6.7.0R3 要求 EDR 服務(wù)器與 HCI 集群共享同一套證書(shū)體系否則會(huì)出現(xiàn)「客戶端在線但無(wú)響應(yīng)」的黑匣子問(wèn)題。5.1 EDR 服務(wù)器安裝VMA 格式是唯一可靠路徑文檔提供 VMA 和 ISO 兩種安裝方式但實(shí)踐證明ISO 方式在 6.7.0R3 中存在證書(shū)簽名不兼容問(wèn)題會(huì)導(dǎo)致后續(xù)客戶端無(wú)法注冊(cè)。VMAVirtual Appliance是 OVA 格式的深信服定制版它預(yù)裝了與 HCI 同源的 OpenSSL 1.1.1k 和自簽名 CA 證書(shū)。安裝步驟在 vSphere 或 HCI 平臺(tái)中選擇「導(dǎo)入 OVF 模板」上傳EDR_Server_V6.7.0R3.vma配置資源2vCPU、8GB 內(nèi)存、100GB 磁盤(pán)網(wǎng)絡(luò)配置必須選擇Management Network即集群管理網(wǎng)段IP 設(shè)為靜態(tài)如192.168.10.201開(kāi)機(jī)后SSH 登錄執(zhí)行/opt/sangfor/edr/bin/init_cert.sh該腳本會(huì)自動(dòng)從 HCI 集群拉取根證書(shū)。注意init_cert.sh必須在 EDR 服務(wù)器啟動(dòng)后 5 分鐘內(nèi)執(zhí)行超時(shí)則需手動(dòng)下載證書(shū)curl -k https://192.168.10.100:443/cert/ca.crt -o /opt/sangfor/edr/cert/ca.crt5.2 EDR 客戶端部署策略下發(fā)前的三次握手驗(yàn)證客戶端不是簡(jiǎn)單安裝而是要完成與 EDR 服務(wù)器、HCI 平臺(tái)、aSV 內(nèi)核模塊的三方握手。部署后必須依次驗(yàn)證# 1. 與 EDR 服務(wù)器通信 /opt/sangfor/edr/bin/edr_agent status | grep Connected # 應(yīng)為 true # 2. 與 HCI 平臺(tái)注冊(cè)關(guān)鍵 curl -k https://192.168.10.100:443/api/v1/agent/list | jq .data[] | select(.ip192.168.10.50) # 替換為客戶機(jī) IP # 3. aSV 內(nèi)核模塊加載 lsmod | grep edr_kmod # 必須存在否則無(wú)法進(jìn)行進(jìn)程行為監(jiān)控若第 2 步無(wú)返回說(shuō)明客戶端未向 HCI 注冊(cè)需檢查客戶端安裝時(shí)是否勾選了Register to HCI PlatformHCI 控制臺(tái)「安全中心」→「EDR 管理」中是否啟用了Auto-register agents。5.3 一致性組快照與 EDR 的聯(lián)動(dòng)安全備份的隱藏邏輯EDR 的「勒索病毒防護(hù)」功能依賴 aSAN 的一致性組快照Consistency Group Snapshot。當(dāng)檢測(cè)到可疑加密行為時(shí)EDR 會(huì)觸發(fā) aSAN 創(chuàng)建一個(gè)包含所有相關(guān)虛擬機(jī)磁盤(pán)的原子快照。但此功能生效的前提是虛擬機(jī)必須加入同一個(gè)「一致性組」在「虛擬機(jī)管理」→「快照策略」中設(shè)置該組的快照保留策略中必須啟用Enable ransomware protectionEDR 服務(wù)器與 aSAN 的時(shí)間偏差 ≤100ms比集群要求更嚴(yán)。驗(yàn)證聯(lián)動(dòng)是否生效# 在 EDR 服務(wù)器上模擬勒索行為測(cè)試用 /opt/sangfor/edr/bin/edr_test_ransomware.sh --vm-name win10-test # 查看 aSAN 是否創(chuàng)建快照 /opt/sangfor/hci/bin/aSAN_cli snapshot list --group win10-test-group | grep Created若無(wú)輸出檢查/var/log/edr/edr_server.log常見(jiàn)錯(cuò)誤為Failed to call aSAN API: certificate verify failed即 EDR 未正確信任 HCI 的證書(shū)。6. 驗(yàn)證集群是否真正就緒5 個(gè)命令、3 個(gè)日志、1 個(gè)終極壓力測(cè)試裝完不等于跑通HCI 的穩(wěn)定性必須經(jīng)受住真實(shí)負(fù)載的考驗(yàn)。我給自己定的驗(yàn)收紅線是連續(xù) 72 小時(shí)無(wú)aSAN degraded、無(wú)acloud-agent timeout、無(wú)EDR agent offline且能承受 50 虛擬機(jī)并發(fā)克隆。6.1 五條黃金命令每條都直指一個(gè)核心模塊這些命令不是擺設(shè)而是我每次部署后必敲的「脈搏檢測(cè)」# 1. 檢查集群整體健康aCloud 層 /opt/sangfor/hci/bin/check_cluster_status.sh # ? 期望輸出All services are running, Cluster status: Normal # 2. 檢查存儲(chǔ)平面aSAN 層 /opt/sangfor/hci/bin/aSAN_cli health check # ? 期望輸出Overall health: OK, All disks online, No rebuilding # 3. 檢查網(wǎng)絡(luò)平面aNET 層 ovs-vsctl show | grep -E (br-mgmt|br-storage|br-business) # ? 期望輸出三個(gè)網(wǎng)橋均存在且各自綁定正確的物理口如 br-storage: eth1,eth2 # 4. 檢查虛擬化層aSV 層 virsh list --all | wc -l # ? 期望輸出≥5含 3 個(gè) aSAN 元數(shù)據(jù) VM 1 個(gè) EDR Agent VM 1 個(gè)測(cè)試 VM # 5. 檢查安全組件EDR 層 /opt/sangfor/edr/bin/edr_agent status | grep -E (Status|Version) # ? 期望輸出Status: Running, Version: 6.7.0R36.2 三個(gè)關(guān)鍵日志文件錯(cuò)誤不在 UI在這里Web 控制臺(tái)的告警只是冰山一角真正的線索藏在日志深處日志路徑關(guān)鍵排查場(chǎng)景必查關(guān)鍵詞/var/log/aSAN/aSAN_init.log存儲(chǔ)初始化失敗format failed,disk not found,MTU mismatch/var/log/acloud/acloud-agent.log節(jié)點(diǎn)失聯(lián)、心跳中斷heartbeat timeout,connection refused,certificate verify failed/var/log/edr/edr_server.logEDR 策略不生效、客戶端離線register failed,api call error,cert expired實(shí)時(shí)跟蹤技巧部署后第一小時(shí)必做# 分屏監(jiān)控三大日志需安裝 screen 或 tmux screen -S hci-log screen -S 0 tail -f /var/log p a hrefhttps://download.csdn.net/download/musen208428/87606352 stylecolor:#ec7500;font-size:14px; 本文還有配套的精品資源點(diǎn)擊獲取 /a img altmenu-r.4af5f7ec.gif srchttps://csdnimg.cn/release/wenkucmsfe/public/img/menu-r.4af5f7ec.gif stylewidth:16px;margin-left:4px;vertical-align:text-bottom;cursor:text; /p