3. 管理平面安全隔离
在 Pure Storage 阵列的日常运维中，管理平面与数据平面承担着完全不同的职责。数据平面承载主机 I/O，走的是 FC、iSCSI 或 NVMe/TCP 等协议；管理平面则承载阵列自身的配置、监控、远程支持与云端遥测，涉及 Pure1 云服务、Pure1 Connect 远程协助、阵列管理 VIP、管理 Web UI、CLI、SNMP、Syslog、REST API 等接口。如果管理平面与生产网络混跑在同一广播域、同一 VLAN，甚至共用同一组交换机端口，那么一次管理口的误配置、一次云连接异常、一次远程支持会话，都可能波及生产 I/O 路径。因此，管理平面安全隔离的核心目标可以概括为三句话：管理流量与生产流量物理或逻辑分离、管理入口最小化且可审计、出站云连接受控且可验证。
一、管理平面的组成与隔离边界
Pure Storage 阵列的管理平面通常包含以下几类对象：
- 阵列管理 VIP：用于访问 Web UI、CLI、REST API 的虚拟 IP，通常绑定在管理端口上，与数据 VIP 分离。
- 管理物理端口：FlashArray 上通常为 eth0/eth1 或 mgmt 端口，FlashBlade 上为管理网络端口，独立于数据端口。
- Pure1 云连接：阵列通过出站 HTTPS（TCP 443）主动连接 Pure1，用于遥测、健康检查、容量预测与支持工单。
- Pure1 Connect：Pure Storage 支持工程师通过 Pure1 建立的受控远程协助通道，用于排障，通常需要客户侧显式授权。
- 辅助管理协议：SNMP Trap、Syslog、SMTP、LDAP/AD、REST API 等，用于监控、日志、认证与自动化。
隔离设计的第一步，是明确这些对象分别属于哪个网络区域。推荐做法是：为管理平面单独划分一个管理 VLAN（例如 VLAN 100），生产数据使用独立的 VLAN（例如 VLAN 200/201），两者在三层通过防火墙或 ACL 受控互通。管理 VLAN 内只允许运维跳板机、监控服务器、日志服务器、AD/LDAP 服务器访问阵列管理 VIP 的特定端口，禁止生产服务器网段直接访问管理 VIP。
二、部署要点：从 VLAN 划分到云连接策略
在部署阶段，建议按以下顺序推进，每一步都留下可验证的配置痕迹。
1. 管理 VLAN 与端口规划。为阵列管理端口分配独立 VLAN，管理 VIP 使用该 VLAN 内的静态地址。以 FlashArray 为例，假设管理 VLAN 为 100，管理 VIP 为 10.10.100.20/24，网关为 10.10.100.1。数据端口则配置在 VLAN 200 上，数据 VIP 为 10.10.200.20/24。两者不在同一子网，天然隔离广播域。
2. 防火墙策略最小化。管理区到阵列管理 VIP 只放行必要端口：HTTPS 443（Web UI/REST）、SSH 22（CLI）、SNMP 161/162（如启用）、Syslog 514（如阵列主动外发）。生产区到管理 VIP 应全部拒绝。阵列到 Pure1 的出站方向，只允许目标为 Pure1 服务地址的 TCP 443，其余出站一律拒绝。
3. Pure1 连接配置。在阵列上启用 Pure1 连接后，阵列会主动向 Pure1 注册并周期性上报遥测。配置时需确认阵列管理 VIP 能解析并访问 Pure1 端点。若环境使用代理，需在阵列上配置 HTTPS 代理地址与端口。Pure1 Connect 默认关闭，只有在支持工单需要时才由客户在 Pure1 门户中显式授权，授权可设置时间窗口，到期自动失效。
4. 管理协议加固。关闭未使用的管理协议；SNMP 使用 v3 并限制来源；Syslog 使用 TLS 传输；LDAP/AD 集成启用 LDAPS；REST API 使用专用服务账号并限制来源 IP。管理 Web UI 建议只允许跳板机访问，避免运维人员从办公网直接登录。
三、验证方法：如何确认隔离真的生效
隔离设计完成后，必须通过实际测试确认。以下验证项建议逐条执行并记录结果。
| 验证项 | 操作 | 预期结果 |
|---|---|---|
| 管理 VLAN 隔离 | 从生产服务器 ping 管理 VIP | 超时或不可达 |
| 管理入口可达 | 从跳板机访问 https://10.10.100.20 | 正常打开 Web UI |
| Pure1 出站连通 | 在阵列 CLI 执行 pure1 connect --test 或查看 Pure1 连接状态 |
显示已连接、最近上报时间正常 |
| Pure1 Connect 默认关闭 | 在 Pure1 门户查看远程协助状态 | 未授权、无活动会话 |
| 管理端口暴露面 | 从管理区扫描管理 VIP 端口 | 仅开放 443/22 等必要端口 |
| 数据平面不受影响 | 管理 VLAN 断网或管理口 down 时，主机 I/O 持续 | 生产 I/O 无中断 |
其中“管理 VLAN 断网时生产 I/O 不中断”是最关键的验证。可以在维护窗口内临时关闭管理交换机端口，观察主机侧多路径状态与阵列数据端口链路状态，确认数据路径完全独立。若发现管理口 down 导致数据 I/O 抖动，说明管理平面与数据平面存在未预期的耦合，需要回到 VLAN 与端口规划阶段排查。
pure1 status 或 Web UI 的 System > Pure1 页面查看。若显示未连接，优先检查管理 VIP 的 DNS 解析、出站 443 策略与代理配置，而不是先怀疑阵列故障。
四、常见误区与排障思路
实践中常见的误区有三个。第一，把管理 VIP 和数据 VIP 配在同一子网，认为“反正都是阵列的 IP”，结果管理广播与数据流量互相影响。第二，只做了 VLAN 划分但没有防火墙策略，管理 VLAN 与生产 VLAN 在三层仍可互通，隔离形同虚设。第三，Pure1 出站被防火墙全阻后，阵列反复重试连接，虽然不影响 I/O，但遥测中断会导致支持能力下降，且日志中会持续出现连接告警。
排障时可按“先看阵列侧状态、再看网络路径、最后看策略”的顺序。阵列侧用 CLI 确认管理 VIP、网关、DNS、Pure1 状态；网络侧用 traceroute 或防火墙日志确认出站 443 是否被丢弃；策略侧核对 ACL 与代理配置。每一步都应有明确的观察点，而不是笼统地“检查网络”。
总结来说，管理平面安全隔离不是一次性的配置动作，而是贯穿规划、部署、验证与日常运维的持续要求。把管理 VLAN、防火墙策略、Pure1 出站与 Pure1 Connect 授权这四件事管住，管理平面就能在保持可运维性的同时，与生产网络保持清晰、可验证的边界。