📚 课程目录第3章网关操作系统与基础环境配置

3. 网关操作系统与基础环境配置

农业物联网网关出厂时通常处于“裸机”状态：系统未初始化、网络参数为出厂默认值、时间不准确、没有远程维护通道。如果直接把它接入田间网络并开始挂接传感器，后续会遇到一系列麻烦——IP 冲突导致设备离线、时间戳错乱使历史数据无法对齐、现场故障必须驱车到地头插显示器排查。因此，在部署任何采集与协议转换业务之前，必须先完成操作系统初始化与基础环境配置，建立一个可远程维护的基线环境。本节围绕这条基线展开：设备初始化、网络参数设置、时间同步、远程管理通道与安全登录，逐项说明做什么、怎么做、如何验证。

一、设备初始化：从出厂状态到可用系统

常见的农业网关多基于嵌入式 Linux（如 OpenWrt、Debian 精简版或厂商定制系统），初始化一般包括三步：首次登录、固件确认与升级、基础系统设置。首次登录通常通过串口控制台（如 115200 8N1）或设备默认管理地址（例如 192.168.1.1）进入。登录后第一件事不是改配置，而是核对固件版本与硬件型号是否匹配，并记录设备序列号，形成资产台账的起点。

随后完成基础系统设置：修改默认管理员密码、设置主机名（建议采用“站点-设备类型-编号”规则，如 gw-north-greenhouse-01）、关闭不需要的服务（如未使用的蓝牙、USB 存储自动挂载），并确认存储空间与日志分区可用。若网关带 SD 卡或 eMMC，应检查挂载状态，避免日志写满根分区导致系统异常。初始化完成后重启一次，确认配置持久化生效——很多现场问题恰恰源于“改了但没保存”。

二、网络参数设置：让网关稳定接入田间网络

农业现场网络环境复杂：大棚内可能有多个网段，4G 备份链路与有线链路并存，摄像头、控制器、网关共享交换机。网络配置的核心是地址规划清晰、双链路可控。建议为网关规划固定管理地址，例如管理网段 192.168.10.0/24，网关取 192.168.10.2，业务采集网段另设 192.168.20.0/24，通过网关路由或双网口隔离。以下为基于 Linux 的静态地址配置示例（示例参数，实际以现场规划为准）：

# /etc/network/interfaces 片段（示例）
auto eth0
iface eth0 inet static
    address 192.168.10.2/24
    gateway 192.168.10.1
    dns-nameservers 223.5.5.5 114.114.114.114

# 4G 备份链路（通常由 ModemManager 或厂商脚本管理）
# 目标：有线断开时自动切换，恢复后切回，且管理地址不变

配置完成后用 ip addr、ip route 验证地址与默认路由，用 ping 测试同网段设备与公网连通性。若使用 4G 备份，需要额外确认：拨号成功、获取到运营商地址、路由优先级低于有线链路、断线重连策略已启用。一个实用判断是拔掉网线观察 30～60 秒内是否能通过 4G 地址远程访问，再插回网线确认回切。这一步不做，双链路就只是纸面配置。

三、时间同步：数据可追溯的前提

农业数据（温湿度、土壤墒情、灌溉记录）几乎全部带时间戳，多台设备数据融合、故障回溯、协议转换中的时序判断都依赖统一时间。网关应配置 NTP 客户端，优先使用内网 NTP 服务器，公网 NTP 作为备份。配置后必须验证：执行 timedatectl 或 ntpq -p 查看同步状态与偏差，确认时区为 Asia/Shanghai，并检查系统重启后 NTP 服务自启。若现场无外网，可在本地工控机或路由器上部署 NTP 服务，网关指向该地址，避免所有设备各自漂移。

建议把“时间偏差小于 1 秒”写入验收标准。对于需要按分钟对齐的多点采集场景，时间漂移会直接表现为曲线错位，排查成本很高。

四、远程管理通道与安全登录

远程维护通道是降低运维成本的关键。常见做法是启用 SSH 并限制来源网段，配合 VPN（如 WireGuard）或厂商云平台的反向隧道，使运维人员无需公网暴露管理端口即可登录。安全登录应至少落实：禁用 root 密码直登、改用密钥认证、修改默认端口（可选）、配置防火墙仅放行必要端口、开启登录失败锁定。以下为 SSH 加固示例：

# /etc/ssh/sshd_config 关键项（示例）
PermitRootLogin prohibit-password
PasswordAuthentication no
PubkeyAuthentication yes
AllowUsers iotadmin
Port 2222

修改后先保留一个已登录会话，另开窗口验证密钥登录成功，再关闭旧会话，避免把自己锁在门外。防火墙侧仅放行管理网段访问 2222 端口，业务端口按需开放。最后做一次“断网演练”：模拟现场断网后通过 4G 或 VPN 重新接入，确认远程通道可用、日志可查、配置可改。

五、形成基线并验证

五项配置完成后，应把当前状态固化为“基线”：导出配置文件、记录固件版本与关键参数、保存一份系统快照（若平台支持）。随后按一张简短的验收清单逐项确认，例如：重启后主机名与静态地址仍生效；拔网线 60 秒内 4G 可远程登录；timedatectl 显示已同步且时区正确；SSH 仅密钥可登录、密码登录被拒；防火墙规则在重启后仍生效。任何一项不通过，都应回到对应环节修正，而不是带着隐患进入下一阶段的协议转换配置。

常见坑：只改运行配置未写入持久化文件，重启即失效；双链路未设路由优先级，导致有线恢复后仍走 4G 产生流量费用；NTP 指向公网地址而现场无外网，时间长期漂移；SSH 改端口后忘记同步防火墙规则，远程直接失联。

完成本节后，网关具备了一个干净、可远程维护、时间可信的基础环境。这个基线看似与“协议转换”无关，但它决定了后续每一次配置变更是否可追溯、每一次现场故障是否能远程定位。把基线做扎实，后面的采集与转换工作才有稳定的落脚点。