📚 课程目录第4章初始配置

4、初始配置：交换机管理接口（串口、以太网、USB）、IP地址设置、SSH访问、用户与权限管理

4.1 管理接口类型与适用场景

英伟达IB交换机（如Quantum系列、Spectrum系列）在出厂后首次上电时，并不具备任何网络可达性。管理员必须通过带外管理通道进入设备，才能完成后续的IP规划、协议配置与业务下发。理解三类管理接口的物理特性与适用场景，是避免“到现场才发现线缆不对”的第一步。

接口类型	物理形态	默认参数	典型用途
串口（Console）	RJ-45 / DB-9（附转接头）	115200-8-N-1	首次配置、救砖、密码恢复
带外以太网（Mgmt）	RJ-45（10/100/1000自适应）	DHCP客户端（部分型号默认）	日常SSH管理、日志上报、监控集成
USB（存储/控制）	USB-A（前面板）	自动挂载 /mnt/usb	批量灌装配置、升级固件、日志导出

实操提示：Spectrum-2及以后型号的交换机，其管理以太网口默认可能开启DHCP客户端。若现场无DHCP服务器，交换机将回退到169.254.x.x链路本地地址。此时可用笔记本电脑配置同网段地址后直连扫描，但更稳妥的做法是直接使用串口完成初始固化。

4.2 IP地址设置方法与流程

IB交换机的管理IP与业务IP（IB子网接口）是相互独立的。管理IP承载SSH、SNMP、Syslog、RADIUS等带外管理流量，通常规划在独立的管理VLAN中。在MLNX-OS中，管理接口的IP配置通过 interface mgmt0 子命令完成。

switch (config) # interface mgmt0
switch (config interface mgmt0) # ip address 192.168.10.2 255.255.255.0
switch (config interface mgmt0) # exit
switch (config) # ip route default 192.168.10.1
switch (config) # exit
switch # write memory

  配置要点：
  默认网关必须单独配置，ip route default 命令中的下一跳地址应与管理IP同网段。
若现场使用DHCP自动获取地址，可用 show dhcp client lease 查看已获取的IP。
配置完成后务必执行 write memory，否则重启后配置丢失。
部分型号支持IPv6管理地址，命令为 ipv6 address，需确认固件版本支持。

4.3 SSH访问配置与安全加固

SSH是日常管理IB交换机的主要通道。MLNX-OS默认禁用SSH服务，需手动启用并生成主机密钥。同时，应关闭Telnet、HTTP等不安全服务，仅保留HTTPS（用于Web管理）和SSH。

switch (config) # ssh server enable
switch (config) # crypto key generate rsa
switch (config) # ip ssh password-authentication enable
switch (config) # ip ssh idle-timeout 15
switch (config) # no telnet server enable
switch (config) # no http server enable

SSH访问的完整链路包含三个关键环节：认证方式（密码或密钥）、访问控制（ACL限制源地址）、会话策略（超时与重试限制）。推荐在生产环境中使用SSH密钥认证，并配置管理ACL仅允许运维网段访问。

安全警示：不要在所有接口上开放SSH。应通过 ip access-group 将SSH服务绑定到管理接口ACL，仅允许公司堡垒机或运维跳板机的IP地址访问。否则，一旦管理IP暴露在非信任网络，交换机将面临暴力破解风险。

4.4 用户与权限管理模型

MLNX-OS采用基于角色的访问控制（RBAC），内置四种用户角色：admin（完全控制）、operator（可查看配置并执行常规操作）、monitor（只读）、maintenance（可执行维护命令但不可修改配置）。实际部署中，建议按“最小权限”原则分配账号。

switch (config) # username netadmin password plaintext Nvidia@2024 role admin
switch (config) # username netops password plaintext Nvidia@Ops123 role operator
switch (config) # username netview password plaintext Nvidia@View456 role monitor
switch (config) # aaa authentication login default local
switch (config) # aaa authorization commands default local

对于多管理员团队，可进一步启用TACACS+或RADIUS集中认证，实现账号统一管理与操作审计。本地账号仅作为应急备用通道，密码策略应满足复杂度要求并定期轮换。

4.5 典型配置案例：从零到可管理

以下为一个完整的初始化流程示例，适用于Spectrum SN3700系列交换机。假设现场管理网段为 10.20.30.0/24，交换机管理IP规划为 10.20.30.10，网关为 10.20.30.1。

使用串口线连接Console口，终端参数设置为115200-8-N-1，登录后进入CLI。
进入配置模式，设置管理IP与默认网关。
启用SSH服务并生成RSA密钥。
创建本地用户，分配不同角色。
配置ACL，仅允许10.20.30.0/24网段访问SSH。
保存配置并验证连通性。

switch (config) # interface mgmt0
switch (config interface mgmt0) # ip address 10.20.30.10 255.255.255.0
switch (config interface mgmt0) # exit
switch (config) # ip route default 10.20.30.1
switch (config) # ssh server enable
switch (config) # crypto key generate rsa
switch (config) # ip access-list ssh-acl
switch (config ip access-list ssh-acl) # permit ip 10.20.30.0/24 any
switch (config ip access-list ssh-acl) # deny ip any any
switch (config ip access-list ssh-acl) # exit
switch (config) # interface mgmt0
switch (config interface mgmt0) # ip access-group ssh-acl in
switch (config interface mgmt0) # exit
switch (config) # username admin01 password plaintext Admin@2024 role admin
switch (config) # username oper01 password plaintext Oper@2024 role operator
switch (config) # write memory

配置完成后，在管理终端执行 ssh admin01@10.20.30.10 验证SSH登录。若无法连接，优先检查ACL是否放行了源地址、SSH服务是否已启用、管理接口状态是否为UP。

4.6 常见误区与故障复盘

误区一：将业务IP与管理IP混用。IB交换机的业务接口（如p1、p2）运行InfiniBand协议，无法承载TCP/IP管理流量。若误将SSH绑定到IB接口，将导致完全无法远程管理。

误区二：忘记保存配置。MLNX-OS中，运行配置与启动配置分离。仅执行命令而未执行 write memory，设备重启后所有配置将丢失。这是现场最常见的“配置丢失”原因。

  故障复盘案例：某数据中心新上线一台Quantum QM8700，工程师通过Console完成IP配置后，从跳板机SSH连接超时。排查过程：
  检查Console口，确认 show interface mgmt0 显示状态为UP，IP地址正确。
从交换机ping网关10.20.30.1成功，说明二层连通正常。
检查ACL，发现 ssh-acl 中误将源地址写为 10.20.30.0/24，但实际跳板机位于 10.20.40.0/24 网段。
修正ACL后SSH恢复。复盘结论：ACL配置前应确认管理终端的真实源IP，避免想当然。

此外，部分工程师习惯在配置SSH后立即断开Console，建议在切换管理通道前，先保留一个Console会话用于验证，确认SSH可用后再断开，以降低“锁死”风险。