简介这份资源是奇安信网神SecADS 3600应用交付系统的快速配置手册面向网络运维工程师、售前技术支持及渠道商技术人员帮助读者快速掌握设备部署与日常配置方法。压缩包内仅含1个docx文档大小约1.18MB内容以图文步骤形式呈现便于对照设备实操。手册围绕网络部署、账户管理、设备管理、WEB快速配置及软件升级等模块展开涵盖设备默认配置、管理口默认配置、默认管理员用户、设备高可用设置以及登录设备、配置VLAN、配置IP地址、配置服务器负载均衡与链路负载均衡等关键操作并说明通过WEB进行软件升级的流程。目前已有1458人学习下载适合需要快速上手该型号应用交付设备、梳理配置思路或排查部署问题的技术人员参考也可作为售前与售后支持中的操作依据。1. 网神应用交付系统快速配置从开箱到业务上线一份手册能省掉多少试错很多同行第一次拿到网神 SecADS 3600 应用交付系统时会下意识把它当成一台普通负载均衡器——插上电、配个 VIP、指个后端池就完事。真到机房里才发现这台设备的配置逻辑是「先有 VLAN 和 IP再有虚拟服务最后才谈调度算法」顺序错了页面根本走不通。这份《网神 SecADS 3600 应用交付系统快速配置手册》解决的正是这个断层它不讲产品白皮书里那些架构图而是把网络部署、账户体系、设备管理、Web 快速配置、软件升级五个环节按真实上架顺序串了一遍。适合两类人看——刚接手网神应用交付设备、需要当天把业务跑通的实施工程师以及想搞清楚服务器负载均衡和链路负载均衡在国产 ADC 上到底怎么落地的运维。手册本身是文档形态不是脚本包所以下面我会把文档里的关键参数、页面路径和容易翻车的地方拆开讲让你照着做就能复现。2. 上架前必须锁死的三件事网络部署、账户与设备默认配置2.1 串行接入与 HA 双链路到底怎么摆手册开篇给了一个很明确的部署前提SecADS 3600 是串行接入网络的所有流量先经过设备处理虚拟服务VS配公网 IP内部服务器配私有 IP。这句话背后其实藏着一个选型判断——你把它放在防火墙和核心交换机之间还是放在核心交换机和服务器区之间直接决定了后面虚拟服务的目标地址怎么写。典型的串行结构是设备采用 HA 方式和上下层交换机双链路交叉连接。注意「交叉」两个字不是每台交换机拉一根线到同一台设备就完事而是主备两台设备各自与上下层交换机形成交叉这样任何一条链路断掉或者任何一台设备宕机流量都能从另一条路径绕过去。我一般会在上架前先把这张拓扑画在纸上标清楚哪个口接上联、哪个口接下联、心跳线走哪个口再动手插线。因为一旦线插错后面 Web 页面里配 VLAN 成员时你会对不上号排查起来非常费时间。提示手册里没有展开讲 HA 心跳口是否必须独立但按常见做法心跳口最好用独立物理接口直连不要和业务口混用否则业务流量突发时心跳报文可能被挤掉导致主备误切换。2.2 出厂默认账户与 G1 管理口设备出厂自带一套默认配置允许你通过 Web 完成初始配置。这里有几个硬信息必须记牢项目默认值出厂默认地址https://10.0.0.1admin 账号admin / adminaccount 账号account / accountaudit 账号audit / audit管理口G1管理口 IP10.0.0.1/24管理口开放服务Telnet、Ping、HTTPSG1 被默认为管理口允许对该接口做 Telnet、Ping、HTTPS 操作。实际配置时我会先把笔记本的网卡地址改成 10.0.0.1/24 网段里的一个空闲地址比如 10.0.0.2/24然后用网线直连 G1。注意是直连不要经过交换机再绕一圈因为出厂状态下设备还没有任何 VLAN 和路由配置绕交换机大概率不通。三个默认账户的权限差异手册没有细说但按这类设备的通用设计admin 是超级管理员account 偏向日常操作audit 偏向日志审计。首次登录后第一件事应该是改掉 admin 的默认密码而不是急着配业务。我见过太多现场为了赶进度跳过这步结果设备在公网可达的环境里裸奔了好几天。2.3 高可用模式的选择与参数含义进入「系统管理 高可靠性」选择工作模式为主主模式然后设置首先通讯地址、备选通讯地址、对端 IP、抢占模式、心跳发送间隔。这几个参数里最容易配错的是「首先通讯地址」和「备选通讯地址」——它们不是随便填两个 IP而是主备设备之间用来协商状态的地址必须和对端 IP 在同一网段且互相可达。抢占模式要不要开取决于你的业务容忍度。开了抢占原主设备恢复后会抢回主角色适合对主设备性能有明确预期的场景不开抢占则当前主设备会一直保持避免角色频繁切换带来的短暂抖动。心跳发送间隔默认值一般够用但如果你的网络本身抖动较大间隔设得太短会导致误切换设得太长又会导致故障发现不及时。我一般会先按默认值跑观察一段时间后再根据实际链路质量微调。3. Web 快速配置全流程VLAN、IP、服务器负载均衡与链路负载均衡3.1 登录设备与配置 VLAN本机 IP 配成 10.0.0.1/24 后网线接 G1浏览器输入 https://10.0.0.1输入 admin / admin 和随机验证码即可登录。登录后第一件事不是直接建虚拟服务而是先配 VLAN。手册里说得很清楚SecADS 3600 使用 VLAN 提供转发业务在配置其他业务前需要根据网络环境创建 VLAN 并在其中加入物理接口成员。进入「网络配置 接口 物理接口列表」点击新建关键参数如下参数说明示例值名称VLAN 名称vlan1TagVLAN 标签号1管理状态接口状态UPMTU最大传输单元1500默认资源物理接口成员ge0/1 Untaggedge0/2 TaggedSTP生成树启用桥优先级 32768Hello 2 秒老化 20 秒端口延迟 15 秒这里有个细节值得展开ge0/1 以 Untagged 方式加入ge0/2 以 Tagged 方式加入。Untagged 意味着从这个口出去的报文不带 VLAN 标签通常接的是对端不支持 VLAN 的设备或者服务器Tagged 意味着报文带标签通常接的是交换机 Trunk 口。如果你把该 Untagged 的口配成了 Tagged或者反过来现象就是链路看起来是 UP 的但业务不通抓包能看到报文带着你不期望的标签。STP 参数里桥优先级 32768 是默认值Hello 时间 2 秒、老化时间 20 秒、端口状态延迟 15 秒也都是标准值。除非你的网络里有特殊收敛要求否则保持默认即可。点击提交完成 VLAN 创建。3.2 配置 VLAN IP 地址VLAN 建好后如果要做网络层以上业务处理必须在 VLAN 上配 IP。进入「网络配置 设备 IP VLAN IP」点击新建参数说明示例值IP 地址VLAN 接口 IP134.71.14.144掩码子网掩码255.255.0.0Vlan关联的 VLANvlan1浮动 IP是否浮动不选单元 ID单元标识不选手册里这个例子用的是 134.71.14.144/16掩码 255.255.0.0。实际项目中你肯定要用自己规划的内网地址段但要注意一点这个 IP 是设备上 VLAN 接口的地址不是虚拟服务的 VIP。虚拟服务的 VIP 可以配成这个地址也可以另配一个客户端可达的地址。手册在服务器负载均衡部分提到「虚拟服务的目标地址必须是客户端可达的也可以配为 VLAN 接口地址」这句话给了你灵活性但也意味着你要想清楚 VIP 到底用哪个地址避免和现有网络冲突。3.3 服务器负载均衡服务池、虚拟服务与源 NAT服务器负载均衡的案例拓扑是单臂接入SecADS 3600 和真实服务器在同一内部网络PC 客户端访问虚拟服务的 FTP 服务VS 把请求调度到后端真实服务器真实服务器响应的报文经由设备处理后回到 PC。配置步骤分两大块。第一块是新建服务器池进入「服务器负载 服务池 新建」配置一个包含所有后端 FTP 真实服务器地址的池。第二块是新建虚拟服务进入「服务器负载 虚拟服务 虚拟服务列表 新建」。虚拟服务里有几个关键配置项目标地址必须是客户端可达的可以配为 VLAN 接口地址。源 NAT 地址池为了保证真实服务器的回复报文必须经过设备可以配源 NAT或者把内网真实服务器的网关设为设备。手册这里采用源 NAT 方式。目的地址转换和目的端口转换必须选中。默认服务池选中之前配置的服务池。FTP 负载只支持高性能模式代理模式不支持。最后这条「FTP 负载只支持高性能模式」是很多人会忽略的硬限制。如果你在代理模式下配 FTP 虚拟服务页面可能让你提交成功但业务就是不通因为代理模式根本不支持 FTP 的载荷处理。我一般会在配之前先确认业务协议如果是 FTP直接选高性能模式省得后面来回改。源 NAT 的配置逻辑也值得说一句配了源 NAT 之后真实服务器看到的请求源地址是设备的地址而不是客户端的真实地址。这样真实服务器的回复自然会回到设备设备再做一次转换发回给客户端。如果你不配源 NAT也不把真实服务器网关指向设备那真实服务器的回复就会直接走自己的默认网关绕过设备导致客户端收到一个源地址不对的响应连接建立失败。3.4 链路负载均衡三条出口链路的路由策略与链路池链路负载均衡的案例更贴近多线机房场景内网 192.168.0.0/24三条出口链路分别属于电信、网通和移动公网地址和网关分别是 13.13.13.13/13.13.13.1、11.11.11.11/11.11.11.1、12.12.12.12/12.12.12.1。用户需求列了八条核心逻辑是目的地址属于哪个 ISP就走哪个 ISP 的链路该链路拥塞后按优先级切到备用链路目的地址不属于任何 ISP则均匀选择出链路不限定协议和端口。配置步骤分五步进入「模板和对象 对象管理 地址对象」分别创建电信、网通、移动的 ISP 地址库对象。进入「链路负载 虚拟链路 路由策略」分别创建电信、网通、移动的路由策略。进入「链路负载 虚拟链路 链路节点」分别创建电信、网通、移动链路。进入「链路负载 虚拟链路 链路池」分别创建电信链路池、网通链路池、移动链路池和默认地址池。进入「链路负载 虚拟链路 链路列表」创建虚拟链路「lc」。链路池的优先级设计是这里最绕的地方。手册的描述是电信链路池电信优先级最高拥塞时使用次优先级链路移动设为次优先级。网通链路池网通优先级最高拥塞时使用次优先级链路移动设为次优先级。移动链路池移动优先级最高拥塞时使用次优先级链路电信和网通优先级都为 1实现均匀引导。默认链路池报文未匹配到路由策略时均匀转发到不同链路。翻译成可操作的配置就是在电信链路池里电信链路优先级设为最高比如 2移动链路优先级设为次高比如 1网通链路池同理移动链路池里移动优先级最高电信和网通都设为 1。这样当电信链路拥塞时流量会切到移动当移动链路拥塞时流量会均匀分到电信和网通。注意链路池的优先级数值方向要和页面上的提示一致有的版本是数值越大优先级越高有的是越小越高。配完后一定要用模拟流量验证不要只看页面显示。虚拟链路「lc」的基本属性里需要引用默认链路池这样未匹配到路由策略的报文才有地方去。资源部分则关联前面建好的链路池。整个链路负载均衡配完后内网用户访问不同 ISP 的目标地址时就会按你设计的策略选择出口。4. 避坑与排查那些手册没展开但现场一定会遇到的事4.1 现象Web 页面能登录但配完 VLAN 后业务不通原因物理接口的 Tagged / Untagged 成员关系配反了。对端交换机是 Trunk 口你却在设备侧配了 Untagged或者对端是 Access 口你配了 Tagged。链路层 UP 但报文标签不匹配业务自然不通。解决抓包确认报文是否带 VLAN 标签对照对端交换机的端口模式重新配置。Untagged 对应 Access 或 Hybrid 的 Untagged 行为Tagged 对应 Trunk。4.2 现象虚拟服务提交成功但客户端访问 VIP 无响应原因虚拟服务的目标地址不是客户端可达的或者源 NAT 没配、真实服务器网关也没指向设备导致回复报文绕过设备。解决先确认 VIP 在客户端所在网段是否可达再检查源 NAT 地址池是否配置正确。如果不想用源 NAT就把真实服务器的默认网关改成设备的 VLAN IP。4.3 现象FTP 负载配了代理模式业务时通时不通原因手册明确写了 FTP 负载只支持高性能模式代理模式不支持。代理模式下设备会尝试解析应用层载荷FTP 的控制连接和数据连接分离特性会导致处理异常。解决把虚拟服务的负载模式改成高性能模式重新提交。4.4 现象链路负载均衡配完后流量没有按预期切换原因链路池的优先级数值方向理解反了或者路由策略没有正确关联地址对象。另外链路节点如果没有配置健康检查设备无法感知链路拥塞自然不会触发切换。解决逐条核对路由策略匹配的地址对象是否包含目标 ISP 地址库检查链路池优先级数值方向确认链路节点健康检查已启用并生效。4.5 现象HA 主备频繁切换原因心跳发送间隔设得太短或者心跳口和业务口混用导致心跳报文被业务流量挤掉。解决适当加大心跳发送间隔心跳口改用独立物理接口直连。如果网络本身抖动大可以考虑关闭抢占模式减少角色切换次数。5. 软件升级与配置验证一次完整的版本切换该怎么做软件升级这部分手册写得很简洁进入「系统管理 版本管理」点击软件镜像-浏览选中软件版本文件点击提交然后进入「系统管理 配置 设备重启」点击确定重启设备新版本在启动后加载。但实际做升级时有几个动作手册没写但必须做。第一升级前备份当前配置。进入「系统管理 配置」找配置导出或备份选项把当前运行的配置导出来存到本地。因为升级后如果新版本和旧配置不兼容你还能回滚。我一般会把备份文件按「设备名_版本号_日期」命名避免多个项目搞混。第二确认升级文件的完整性。手册没有提供校验方式但常见做法是对比文件大小或者用厂商提供的校验值。如果文件在传输过程中损坏升级后设备可能起不来那就不是重启能解决的了。第三升级窗口要留足。提交软件镜像后设备需要时间写入重启后新版本加载也需要时间。这期间业务会中断所以一定要在维护窗口做不要在工作时间操作。第四升级后逐项验证。不要只看设备起来了就完事要按这个清单过一遍验证项检查内容管理口G1 是否仍为 10.0.0.1/24HTTPS 是否可登录VLAN原有 VLAN 及成员关系是否保留VLAN IP原有 IP 地址是否还在服务器负载服务池、虚拟服务是否正常FTP 业务是否通链路负载路由策略、链路池、虚拟链路是否生效HA主备状态是否正常心跳是否通账户默认账户密码是否被重置自定义账户是否保留这套流程走下来基本能覆盖升级后的主要风险点。我自己的习惯是每次升级前把这份清单打印出来升完一项勾一项不凭记忆。因为升级后页面布局可能有细微变化凭记忆很容易漏掉某个角落里的配置。最后说一个验证链路负载均衡是否生效的土办法在内网找一台机器分别 tracert 电信、网通、移动的目标地址看第一跳是不是你预期的出口网关。如果 tracert 结果和你的链路池优先级设计一致说明策略生效了如果不一致就回去检查路由策略的匹配顺序和地址对象范围。这个办法比看页面状态直观得多也更容易说服自己配置真的对了。从那以后我每次配完链路负载都会强制走一遍 tracert 验证不管页面显示得多正常。希望帮到你。本文还有配套的精品资源点击获取
