3. 边缘操作系统与基础配置

边缘计算设备出厂时通常处于“裸机”状态：操作系统镜像已写入，但主机名、网络参数、账户体系、时间基准和远程通道都还是默认值。把这样一台设备直接接入产线网络，轻则出现 IP 冲突、日志时间错乱，重则因默认口令暴露管理入口。本章围绕 EcoStruxure 工业边缘应用部署的前置条件，梳理从首次上电到具备远程运维能力的完整基础配置链路。需要说明的是，下文出现的 IP 地址、主机名、账户名等均为教学示例，实际部署时应按现场网络规划替换。

系统初始化：先建立可识别的身份

首次上电后，第一件事不是装应用，而是让设备在网络中“有名字、有身份”。典型操作包括设置主机名、确认系统版本与固件基线、更新安全补丁、配置时区与键盘布局。主机名建议采用“站点-区域-功能-序号”的可读规则，例如 shp-a1-edge-01，这样在后续远程访问和日志检索时能快速定位物理位置。

固件基线需要与边缘应用运行环境匹配。以基于 Linux 的边缘控制器为例，可先查看系统信息：

hostnamectl
uname -a
cat /etc/os-release

确认版本后，再决定是否升级。升级前应记录当前版本号，并确认升级不会破坏已授权的运行时组件。若设备支持恢复出厂镜像，建议在初始化阶段就验证一次恢复流程，避免现场故障时才发现恢复介质不可用。

网络设置：管理口与业务口分离

工业边缘设备通常具备多个网口，常见做法是将管理流量与业务流量分离。管理口用于远程登录、固件升级和平台纳管；业务口用于连接 PLC、变频器、仪表等现场设备。这样即使业务网络出现广播风暴，管理通道仍可保持可达。

以双网口设备为例，可规划如下：管理口使用静态地址 192.168.10.21/24，网关 192.168.10.1；业务口使用 192.168.20.21/24，不配置默认网关，仅保留直连路由。配置时需注意：默认网关只能有一个，否则会出现路由抖动。若使用 DHCP，应确保现场 DHCP 服务器已做 MAC 地址绑定，避免地址漂移导致远程连接中断。

配置完成后，用以下命令验证链路与路由：

ip addr show
ip route show
ping -c 4 192.168.10.1
ping -c 4 192.168.20.100

判断依据很直接：管理口能 ping 通网关，业务口能 ping 通现场设备，且 ip route 中默认路由指向管理网关。若业务口误配了默认网关，会出现“管理能通、业务不通”或反向的异常，需要优先排查路由表。

用户权限：最小权限与审计留痕

边缘设备不应长期使用 root 或 administrator 账户日常操作。推荐建立三类角色：管理员（系统配置、固件升级）、运维员（应用部署、日志查看）、只读用户（监控与诊断）。每类角色只授予完成其职责所需的最小权限。

以 Linux 边缘设备为例，可创建运维账户并加入特定用户组：

useradd -m -s /bin/bash edgeops
usermod -aG docker edgeops
passwd edgeops

同时应禁用默认账户的远程登录，或至少修改默认口令并限制其登录来源。SSH 服务建议关闭密码登录，改用密钥认证：

PasswordAuthentication no
PubkeyAuthentication yes
AllowUsers edgeops

修改后重启 SSH 服务，并保留一个已登录会话作为回退通道，确认新会话能正常登录后再关闭旧会话。权限配置的验证方法是：用只读账户尝试执行一次写操作，应被拒绝；用运维账户执行应用部署，应成功。若两者结果相反，说明用户组或 sudo 规则配置有误。

时间同步：让日志和事件有共同基准

边缘设备的时间如果偏差过大，会导致日志时间戳错乱、证书校验失败、时序数据无法对齐。工业现场通常不直接访问公网 NTP，而是由本地时钟源或厂级 NTP 服务器统一授时。配置时需指定至少两个时间源，并设置合理的同步间隔。

以 systemd-timesyncd 或 chrony 为例，配置片段如下：

server ntp1.plant.local iburst
server ntp2.plant.local iburst
makestep 1.0 3

配置后查看同步状态：

timedatectl status
chronyc sources -v

判断依据：System clock synchronized 显示为 yes，且偏移量在毫秒级以内。若长期显示未同步，应检查 UDP 123 端口是否被防火墙拦截，或 NTP 服务器地址是否可达。对于没有本地 NTP 的孤立现场，可将边缘设备自身配置为临时时钟源，但需明确其精度有限，仅用于日志排序而非精密时序控制。

远程访问准备：通道、凭证与回退

远程访问是边缘运维的关键能力，但也是最容易引入风险的环节。推荐采用“跳板机 + 密钥 + 端口转发”的方式，而不是把边缘设备的管理端口直接暴露到公网。典型做法是：边缘设备主动向运维跳板机建立反向隧道，运维人员通过跳板机登录，再跳转到目标设备。

准备阶段需要确认三件事：一是远程访问账户已启用密钥认证；二是防火墙仅放行必要的源地址和端口；三是保留一条本地带外管理通道（如串口或本地显示器），以防网络配置错误导致设备失联。

可用以下命令测试远程通道：

ssh -i ~/.ssh/edge_key edgeops@192.168.10.21
ss -tlnp | grep 22

若连接失败，按“物理链路→IP 可达→端口监听→认证方式”的顺序逐层排查，不要直接跳到应用层。远程访问配置完成后，建议立即做一次断网演练：拔掉管理网线，确认本地带外通道仍可登录并恢复网络配置。

配置顺序与回退意识

上述五项配置存在依赖关系：网络不通，远程访问无从谈起；时间不同步，日志和证书校验会失败；权限未收敛，远程通道就是风险入口。因此建议按“系统初始化→网络设置→用户权限→时间同步→远程访问准备”的顺序推进，每完成一步就做一次验证，确认无误后再进入下一步。

同时要保留回退意识。修改网络前记录原配置，修改 SSH 前保留一个已登录会话，开放远程访问前确认带外通道可用。边缘设备往往安装在机柜深处或高空位置，一次失联可能意味着数小时的现场排查。把回退手段准备好，比把配置做得漂亮更重要。