第1章 迁移环境搭建：虚拟机配置、依赖安装、网络隔离、数据保护SDK部署、验证脚本

1.1 环境概述与原理

数据保护组件化迁移的第一步是在隔离环境中搭建完整的开发和验证基础设施。本章通过五层标准化流程——虚拟机配置、依赖安装、网络隔离、SDK部署、验证脚本——构建一个可复现的迁移沙箱。核心原理是：利用虚拟机快照实现环境回滚，通过二层网络隔离切断生产流量，使用最小依赖集减少版本冲突，最终用自动化验证脚本检验SDK集成完整性。

1.2 虚拟机配置

# 使用Vagrant快速创建
vagrant init ubuntu/jammy64
vagrant up
vagrant ssh   # 进入虚拟机后执行后续操作

注意事项： 启用嵌套虚拟化（如Intel VT-x/AMD-V），保证后续在虚拟机内运行性能测试。磁盘分区建议：/boot 1GB，/ 39GB（ext4），swap 2GB（可选）。

1.3 依赖安装

数据保护SDK通常依赖libssl、libcurl、libuuid、cmake、gcc、python3等基础库。为避免系统级污染，建议使用apt安装固定版本。

sudo apt update && sudo apt upgrade -y
sudo apt install -y build-essential cmake git libssl-dev libcurl4-openssl-dev uuid-dev python3 python3-pip

常见错误： 部分发行版默认openssl-dev版本过低，导致SDK握手失败。解决办法：添加libssl1.1或从源码编译OpenSSL 1.1.1。

1.4 网络隔离

采用Linux bridge + netfilter实现二层/三层隔离。建立专用子网10.0.100.0/24，只允许宿主机管理口与虚拟机通信。

# 创建桥接网络
sudo ip link add name br-data type bridge
sudo ip addr add 10.0.100.1/24 dev br-data
sudo ip link set br-data up
# 将虚拟机的虚拟网卡接入br-data（假设为vnet0）
sudo ip link set dev vnet0 master br-data
# 设置iptables规则，仅允许SSH与SDK端口
sudo iptables -A FORWARD -i br-data -o br-data -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o br-data -p tcp --dport 22 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o br-data -p tcp --dport 8443 -j ACCEPT
sudo iptables -A FORWARD -j DROP

验证命令： sudo iptables -L -n -v

常见问题： 网卡顺序变更后桥接失效。建议在/etc/network/interfaces或netplan中配置持久化桥接。

1.5 数据保护SDK部署

从内部制品仓库（Nexus/Artifactory）或官方CDN下载SDK包。假设SDK版本为v2.3.1，以tar.gz提供。

# 解压安装
mkdir -p /opt/dp-sdk && cd /opt/dp-sdk
tar -xzf /tmp/dp-sdk-2.3.1.tar.gz
# 设置环境变量（追加到 ~/.bashrc）
echo 'export DP_SDK_ROOT=/opt/dp-sdk' >> ~/.bashrc
echo 'export LD_LIBRARY_PATH=$DP_SDK_ROOT/lib:$LD_LIBRARY_PATH' >> ~/.bashrc
source ~/.bashrc
# 测试加载
ldconfig -p | grep dp_sdk

1.6 验证脚本

编写自动化验证脚本 verify_env.sh，检查以下关键点：依赖存在、网络隔离生效、SDK库可加载、最小加解密功能正常。

#!/bin/bash
# 验证脚本 —— 数据保护迁移环境
set -e
echo "[1/5] 检查依赖..."
dpkg -l build-essential cmake git libssl-dev | grep -E '^ii' > /dev/null || { echo "FAIL: missing deps"; exit 1; }
echo "[2/5] 检查网络隔离..."
ip addr show br-data | grep "10.0.100.1" > /dev/null || { echo "FAIL: bridge not up"; exit 1; }
echo "[3/5] 检查SDK库..."
ldconfig -p | grep dp_sdk > /dev/null || { echo "FAIL: SDK not loaded"; exit 1; }
echo "[4/5] 编译测试程序..."
cd /opt/dp-sdk/examples
gcc -o encrypt_test encrypt_test.c -I/opt/dp-sdk/include -L/opt/dp-sdk/lib -ldp_sdk
./encrypt_test || { echo "FAIL: sdk function error"; exit 1; }
echo "[5/5] 环境完全有效！"
exit 0

执行方式：bash verify_env.sh。推荐将其注册为systemd服务，用于开机自检。

1.7 环境架构总览（SVG）

下图展示了本章搭建的完整迁移环境逻辑结构：宿主管理机、隔离虚拟机、数据保护SDK以及验证流水线。

1.8 常见错误与故障排除

• 依赖安装失败： 检查Ubuntu APT源是否过期，执行sudo apt update --fix-missing。
• 网络隔离后SSH超时： 确认宿主机网卡eth0的iptables规则中放行了22端口，且虚拟机网卡正确桥接到br-data。
• SDK库找不到符号： 执行ldd /opt/dp-sdk/lib/libdp_sdk.so查看缺失的共享库。
• 验证脚本报错： 使用bash -x verify_env.sh逐行调试。

完成以上步骤后，您的环境即具备数据保护组件迁移的基本条件。接下来可进入第2章“SDK API基础封装与原系统调用适配”。