📚 课程目录第4章 Nexus初始部署与ZTP自动化

4. Nexus初始部署与ZTP自动化

当数据中心需要一次性上架数十台甚至上百台Nexus交换机时，逐台通过Console口敲命令显然不现实。Cisco Nexus提供的零接触上线能力，正是为了解决“设备开箱即用、配置自动下发”的问题。在Nexus平台上，这套能力主要由两个机制承载：ZTP（Zero Touch Provisioning）和POAP（PowerOn Auto Provisioning）。理解它们的差异、依赖的服务组件以及脚本编写方式，是完成批量初始部署的关键。

ZTP与POAP的定位差异

ZTP是NX-OS较新版本引入的通用零配置机制，它依赖DHCP下发脚本文件位置，再通过HTTP、TFTP、FTP等方式获取脚本并执行。POAP则是Nexus早期就存在的自动化部署机制，同样依赖DHCP和TFTP/HTTP，但它的脚本模型更偏向“引导镜像+配置文件”的组合，常用于设备首次上电时完成NX-OS镜像升级和基础配置下发。

两者在触发条件上也有区别：ZTP通常在设备启动后检测到“无启动配置”时触发；POAP则通过DHCP Option 150或Option 67等字段识别脚本服务器，并在脚本中完成镜像下载、校验、安装和配置应用。实际项目中，如果设备出厂版本较新且只需下发配置，ZTP更轻量；如果还需要统一升级NX-OS版本，POAP的镜像管理能力更完整。

DHCP与TFTP服务器的关键配置

整个零接触流程的起点是DHCP。交换机在无配置状态下会从管理口或指定上行口发出DHCP Discover，DHCP服务器除了分配管理IP、网关、DNS之外，还必须通过Option字段告诉交换机“去哪里找脚本”。在POAP场景中，常用Option 150指定TFTP服务器地址；在ZTP场景中，常用Option 67指定脚本文件的完整URL，例如：

# ISC DHCP 示例片段
subnet 10.10.10.0 netmask 255.255.255.0 {
  range 10.10.10.100 10.10.10.200;
  option routers 10.10.10.1;
  option domain-name-servers 10.10.10.53;

  # POAP：指定TFTP服务器
  option tftp-server-name "10.10.10.50";

  # ZTP：指定脚本URL
  option bootfile-name "http://10.10.10.50/ztp/nexus_ztp.py";
}

TFTP或HTTP服务器需要放置两类文件：一是引导脚本，二是可选的NX-OS镜像。脚本文件通常以poap.py或ztp.py命名，内容由Python编写，运行在Nexus的Guest Shell或原生Python环境中。脚本中需要定义镜像文件名、MD5校验值、配置文件路径以及目标版本号。一个简化的POAP脚本结构如下：

# poap.py 示例结构
import os
import hashlib

IMAGE_NAME = "nxos.9.3.10.bin"
IMAGE_MD5  = "a1b2c3d4e5f6..."
CONFIG_FILE = "nexus_base_config.cfg"

def download_image():
    # 从TFTP/HTTP下载镜像到bootflash
    pass

def verify_md5(file_path, expected_md5):
    # 计算并比对MD5
    pass

def install_image():
    # 安装NX-OS镜像
    pass

def apply_config():
    # 应用基础配置
    pass

if __name__ == "__main__":
    download_image()
    if verify_md5(IMAGE_NAME, IMAGE_MD5):
        install_image()
        apply_config()

脚本中的MD5校验不是可选项。镜像在传输过程中可能损坏，若跳过校验直接安装，可能导致设备无法启动。校验失败时，脚本应记录日志并停止后续安装，保留当前可用版本。

零接触上线脚本的编写要点

编写POAP/ZTP脚本时，需要重点关注几个实际约束。第一，脚本必须能在设备首次启动、网络尚未完全就绪的环境中运行，因此要加入重试逻辑，例如DHCP获取失败后等待30秒重试，最多重试5次。第二，脚本中引用的镜像文件名和配置文件路径必须与TFTP/HTTP服务器上的实际路径完全一致，大小写敏感。第三，配置文件应包含管理IP、默认网关、SSH、NTP、SNMP等基础项，避免设备上线后无法远程管理。

一个可参考的基础配置模板如下：

hostname N9K-SPINE-01
feature ssh
feature nxapi
interface mgmt0
  ip address 10.10.10.101/24
  no shutdown
ip route 0.0.0.0/0 10.10.10.1
ntp server 10.10.10.53
snmp-server community public ro
username admin password Cisco12345 role network-admin
copy running-config startup-config

注意，示例中的IP地址、密码和SNMP团体名仅用于教学演示，实际部署时应根据现场规划替换，并避免使用弱密码。

验证与排障

设备上电后，可以通过Console口观察启动日志。当看到POAP: Starting POAP process或ZTP: Starting ZTP process时，说明零接触流程已被触发。随后设备会依次输出DHCP获取结果、脚本下载进度、镜像校验结果和配置应用状态。如果流程卡住，优先检查三个点：DHCP Option字段是否被正确解析、TFTP/HTTP服务器是否可达、脚本中引用的文件路径是否存在。

验证阶段可以在设备上执行以下命令确认结果：

show version | include system:
show ip interface brief | include mgmt0
show running-config | include hostname
show boot | include nxos
dir bootflash: | include .bin

如果show version显示的目标版本与脚本中定义一致，mgmt0已获取正确IP，且startup-config中包含预期配置，则说明零接触上线成功。若镜像未安装但配置已下发，通常是MD5校验失败或镜像文件权限问题；若DHCP未获取到地址，则需检查交换机管理口与DHCP服务器之间的二层连通性以及DHCP中继配置。

POAP和ZTP都依赖DHCP作为“第一跳”引导。生产环境中建议为自动化部署单独划分管理网段，并在DHCP服务器上按交换机序列号或MAC地址做静态绑定，避免IP冲突和脚本错配。

脚本中不要硬编码明文密码。可以使用Cisco NX-OS的密码加密机制，或在脚本执行后通过username命令配合password 0之外的加密方式处理。同时，TFTP本身不加密，若环境安全要求较高，应改用HTTPS或SCP传输脚本和镜像。

整体来看，Nexus零接触上线的核心链路是“DHCP引导 → 脚本获取 → 镜像校验与安装 → 配置应用 → 验证”。把DHCP Option、TFTP/HTTP文件路径、脚本重试逻辑和MD5校验这四个环节做扎实，批量部署的可靠性和可重复性就能得到基本保障。