4. HSM设备初始配置
拿到一台新的HSM密码机，第一件事是什么？
不是插电就完事了。我见过不少项目，设备到货后直接上架通电，结果连管理口IP都找不到，折腾半天发现是网线插错了口。嗯，咱们按步骤来，先把基础打牢。
物理上架：别小看这一步
先说说上架。HSM和普通服务器不太一样，很多型号是1U或2U的专用硬件，对散热和物理安全有严格的要求。
- 机架位置：尽量放在机柜中部。上下留1U空间散热。我见过有人把HSM挤在交换机中间，结果夏天频频过热重启。
- 导轨安装：务必使用原厂导轨。淘宝买的那种通用导轨，螺丝孔对不上不说，抽拉时还容易卡住。
- 电源接入：HSM通常双电源冗余。两个电源分别接不同的PDU。我记得有一次客户只插了一个电源，结果PDU跳闸，业务直接中断。
- 接地线：有些型号前面板有接地螺柱。别嫌麻烦，接上。静电对密码芯片的损伤是不可逆的。
我个人的习惯：上架时用标签机把管理口IP、序列号、资产编号都贴在前面板上。后面排障时不用翻来翻去找机器，省很多事。
连接管理口：找对入口
HSM背面通常有好几个网口。哪些是管理口，哪些是业务口？
说白了，管理口是给你配设备用的。业务口才是真正处理加解密流量的。
| 接口类型 | 典型标识 | 用途 | 连接方式 |
|---|---|---|---|
| 管理口（MGMT） | 带锁图标或标“MGMT” | SSH/Web管理、初始配置 | 直连管理交换机，使用独立网段 |
| 业务口（NET/NIC） | 标“NET0/1/2”或无特殊标识 | 接收加解密请求、与业务服务器通信 | 连接业务网络，通常配置为聚合链路 |
| 串口（Console） | RJ45或DB9接口，标“Console” | 带外管理、故障恢复、初始IP配置 | 使用Console线连接电脑串口或USB转串口 |
| USB/HID | 标准USB接口 | 插入授权、U盾、固件升级 | 直接插入专用USB设备 |
你可能会问：”我第一次连管理口，不知道IP怎么办？“
嗯，这个问题很常见。不同厂商的处理方式不太一样：
- 有些HSM出厂时管理口默认启用DHCP。你可以在交换机上查一下ARP表，找到对应的MAC地址对应的IP。
- 另一类HSM默认管理IP是固定的，比如
192.168.1.100/24。需要把你的电脑网卡也配到同一网段，才能访问。 - 还有的HSM前面板带一个液晶小屏和按键。可以在上面直接设置管理IP，我个人很喜欢这种设计，省去串口的麻烦。
注意：有些厂商会把管理口和业务口在逻辑上合并。也就是说，你插任何一个网口，都可以既管理又跑业务。但我在项目中遇到过这种情况：配置时不小心把管理服务绑在了错误的接口上，导致后续无法远程管理。所以初始配置时，建议严格按照厂商手册来区分接口角色。
第一次通电与自检
连接好电源和网线，按下前面板的电源按钮。这时你会听到风扇转动的声音，前面板的指示灯会依次亮起。
正常流程是这样的：
- 电源灯：绿色常亮，表示供电正常。
- 系统状态灯：先橙色闪烁（自检中），大概30秒到1分钟后变为绿色常亮（自检通过）。
- 网络接口灯：对应的管理口Link灯亮起。
- HSM状态灯：有些型号会有专门的密码模块状态灯，绿色表示密钥库就绪。
如果系统状态灯一直橙色或者红色常亮，说明自检没通过。这种情况，我记得有一次是内存条松动，重新插拔就好了。如果是新设备，直接联系厂商售后。
初始化登录：第一次握手
通电自检通过后，就可以登录了。登录方式取决于你的连接情况：
方式一：通过串口登录
用Console线连接电脑和HSM的串口。在电脑上打开终端软件（比如PuTTY、SecureCRT或自带的screen）。
串口参数：
波特率：115200
数据位：8
停止位：1
校验位：无
流控：无连接后按回车，应该能看到登录提示。
方式二：通过SSH登录（如果你已知管理IP）
ssh admin@192.168.1.100首次连接，SSH会提示你确认主机密钥。确认后输入默认密码。
默认凭证与首次操作
每个厂商的默认用户名和密码不同，但一般会在设备底部的贴纸或快速入门指南上。常见组合有：
| 厂商（举例） | 默认用户名 | 默认密码 |
|---|---|---|
| 厂商A | admin |
admin 或 Chang3Me! |
| 厂商B | hsmadmin |
序列号后8位 |
| 厂商C | root |
出厂随机生成，贴在设备上 |
第一次登录后，系统会强制你修改密码。这里有一点需要特别注意：
初始化密码复杂度要求：通常至少12位，包含大写字母、小写字母、数字和特殊字符。我见过有人设了一个超级复杂的密码，结果自己记不住，最后只能联系厂商重置。建议使用密码管理器生成并保存。
修改密码后，系统通常还会让你接受最终用户许可协议（EULA），设置时区、NTP服务器等基本信息。有些HSM会提示你进行”首次配置向导“。按提示一步步走即可。
登录成功后，你会看到一个命令行界面或菜单。常见的初始命令：
# 查看设备基本信息，确认型号和固件版本
hsm> show system info
# 查看当前网络配置
hsm> show network interface
# 查看HSM状态
hsm> show hsm status
# 初始化密钥库（部分型号需要手动执行）
hsm> crypto init非常重要：一旦登录成功，立即执行以下操作：
- 修改所有默认管理员账号密码。
- 禁用SSH密码登录，改为密钥认证（如果支持）。
- 记录当前固件版本，确认是否需要升级。
- 如果设备有内置的物理防篡改开关或封条，检查是否完好。
我曾经碰到过一个案例，有人做完初始化后没管它，结果过了几个月发现设备被植入了后门——就是因为在裸机状态下暴露在公网太久，默认密码没改。
做到这一步，HSM的初始配置就基本完成了。接下来你可以根据业务需求，配置网络、创建管理员用户、导入密钥或者加入集群。不过这些内容，咱们后面慢慢聊。
嗯，简单总结一下：上架时注意物理安全和散热；连接管理口不要插错；通电后观察自检灯；第一次登录用默认凭证，改密码要记牢。这些都是基本功，但很多线上故障的根因，往往就是这些基础步骤没做到位。