📚 课程目录第4章初始配置

4. 初始配置：交换机管理接口访问、CLI基础、IP配置、用户与权限管理

4.1 核心原理：带外管理与首次启动流程

InfiniBand交换机（以Mellanox/NVIDIA Quantum系列为例）在出厂状态下，所有数据端口（InfiniBand端口）均不承载管理流量。管理员必须通过带外管理通道访问交换机，该通道独立于IB数据平面，通常为RJ45以太网口（Mgmt Port）或USB串口。首次配置的核心逻辑是：先建立管理通道，再分配IP，最后创建用户并锁定权限。若跳过IP配置直接使用DHCP，交换机会在启动时自动请求地址，但生产环境强烈建议使用静态IP，避免管理地址漂移。

关键认知：IB交换机的CLI（命令行接口）与以太网交换机（如Cisco IOS）有显著差异。其命令分层为switch (config) #模式，但具体命令动词更接近Linux风格（如show、configure、interface）。所有配置变更需通过write memory或configuration write持久化，否则重启后丢失。

4.2 方法流程：CLI基础与IP配置实操

IB交换机的CLI采用分层模式，与Cisco风格类似但命令集不同。首次登录后，建议按以下顺序执行配置：

查看当前状态：使用show version确认固件版本，show interfaces查看IB端口状态。
进入配置模式：执行configure terminal，提示符变为switch(config)#。
配置管理IP：管理接口通常为mgmt0，命令如下：

switch(config)# interface mgmt0
switch(config-if)# ip address 192.168.10.2 255.255.255.0
switch(config-if)# exit
switch(config)# ip default-gateway 192.168.10.1
switch(config)# end
switch# write memory

配置完成后，务必从管理终端ping 192.168.10.2验证连通性。若ping不通，检查管理网线是否连接正确、终端IP是否在同一子网、交换机是否已保存配置。

4.3 用户与权限管理：角色模型与安全基线

IB交换机支持基于角色的访问控制（RBAC）。默认角色包括：

角色名称	权限范围	典型用途
admin	全部读写权限，可修改系统配置	网络管理员
operator	查看配置、执行基本诊断命令	一线运维人员
monitor	只读权限，仅可查看状态	审计或监控系统

创建用户时，建议遵循最小权限原则。例如，为日常巡检创建只读账号：

switch(config)# username monitor_user password Monitor@2024 role monitor
switch(config)# username oper_user password Oper@2024 role operator
switch(config)# end
switch# write memory

最佳实践：密码复杂度要求至少10位，包含大小写字母、数字和特殊字符。对于多台交换机，建议配置TACACS+或RADIUS集中认证，避免本地账号密码散落各处。

4.4 案例场景：新交换机上线配置全流程

某数据中心新增一台Quantum QM8700交换机，需接入管理网络。现场工程师按以下步骤操作：

场景还原：机柜上架后，工程师使用笔记本串口线连接交换机Console口，终端参数设置为115200-8-N-1。登录后执行show version发现固件版本为旧版，先升级固件再配置IP。

# 1. 升级固件（通过FTP或USB）
switch# copy ftp://192.168.1.100/fw_xx.bfi image
switch# boot image

# 2. 配置管理IP
switch(config)# interface mgmt0
switch(config-if)# ip address 10.20.30.5 255.255.255.0
switch(config-if)# exit
switch(config)# ip default-gateway 10.20.30.1

# 3. 创建管理用户
switch(config)# username netadmin password N3t@dmin!2024 role admin
switch(config)# username auditor password Aud1t@2024 role monitor

# 4. 验证并保存
switch# ping 10.20.30.1
switch# write memory

配置完成后，工程师断开串口线，改用SSH从管理网络远程登录，确认admin默认账号已禁用（通过no username admin删除），并验证auditor账号无法执行配置命令。

4.5 误区与复盘：常见配置错误及规避

高频失误1：忘记保存配置。IB交换机在重启后未保存的配置全部丢失，导致管理IP失效，必须重新串口登录。规避方法：每次配置变更后立即执行write memory，并养成show running-config核对习惯。

高频失误2：管理IP与业务网段冲突。IB交换机的mgmt0口属于带外管理，必须与IB数据网段（如192.168.200.0/24）隔离。若误将管理IP配置为IB子网地址，可能导致路由混乱。

复盘要点：在配置用户权限时，部分管理员为图省事将所有账号设为admin角色，这违背了安全基线。建议建立账号生命周期管理流程：人员离职时立即禁用其账号，定期审计show users查看当前登录会话。此外，开启日志记录功能，将配置变更事件发送至集中日志服务器，便于事后追溯。

最后，验证配置是否完整，可使用show running-config检查输出中的关键行：

interface mgmt0
  ip address 10.20.30.5 255.255.255.0
  no shutdown
ip default-gateway 10.20.30.1
username netadmin password encrypted role admin
username auditor password encrypted role monitor

确认无误后，将交换机纳入监控系统，通过SNMP或Redfish API定期采集管理接口状态与端口健康信息，完成初始配置闭环。