客户端配置

Zerotier 客户端支持：Windows、Mac、Linux、Android

Windows 配置

1. 去 Zerotier 官网 下载客户端并安装。

2. 将 planet 文件覆盖粘贴到：

   C:\ProgramData\ZeroTier\One

   注意：该目录为隐藏目录，需要允许显示隐藏文件夹才能访问。

• 重启 Zerotier 服务：

  • Win+S → 搜索“服务” → 找到 ZeroTier One → 重启服务。

• 加入网络：

  • 使用管理员身份打开 PowerShell

  • 执行命令：

    zerotier-cli.bat join <网络ID>

  • 出现 200 join OK 即表示加入成功

Linux 客户端（适用于 OpenWrt、群晖等）

1. 安装 Zerotier Linux 客户端。

2. 进入目录：

   /var/lib/zerotier-one

3. 替换目录下的 planet 文件。

4. 重启服务：

   service zerotier-one restart

5. 加入网络：

   zerotier-cli join <网络ID>

6. 登录 Zerotier 管理后台，批准客户端加入请求。

7. 查看 Planet 节点角色：

   zerotier-cli peers

1.3 MacOS 客户端配置

1. 进入目录：

   /Library/Application Support/ZeroTier/One/

2. 替换 planet 文件。

3. 重启 Zerotier One：

   cat /Library/Application\ Support/ZeroTier/One/zerotier-one.pid | sudo xargs kill

4. 加入网络：

   zerotier-cli join <网络ID>

5. 管理后台批准请求，使用 zerotier-cli peers 查看 Planet 节点角色。

安卓客户端配置

Zerotier 非官方安卓客户端

• 使用非官方 Zerotier 安卓客户端即可，方法类似：加入网络 → 管理后台批准。

不过我这边测试安卓官方APP已经支持更换planet

Planet 文件说明

Planet 文件对应 Zerotier 根节点角色

华中BGP---主线路
华中BGP---备线路
华西移动-- 主线路

• 请咨询你的服务商确认服务器所在节点，按节点选择 planet 文件使用即可

大家好，我是云核筑梦家。

在服务器实际部署中，经常会遇到这样的网络需求：

• 第一张网卡连接公网，负责服务器默认上网。

• 第二张网卡连接内部网络。

• 第二张网卡不能抢占默认路由。

• 需要通过第二张网卡的上联网关访问多个其他内网网段。

• 所有配置需要在服务器重启后自动恢复。

这类场景如果直接给两张网卡都配置 gateway，很容易出现默认路由冲突，甚至导致 Debian 的 networking.service 启动失败。

本文以 Debian 12 / Debian 13 为例，介绍一种更加稳定的配置方法：主网卡保留默认网关，副网卡只配置 IP，通过静态路由访问其他内网。

一、网络拓扑示例

本文所有 IP 均为实验示例，请根据自己的实际网络进行修改。

假设服务器拥有两张网卡：

ens18：公网网卡
IP：203.0.113.10/24
网关：203.0.113.1

ens19：内网网卡
IP：10.10.11.6/24

内网下一跳网关：

10.10.11.1

另外还需要通过这个网关访问：

10.10.12.0/24
10.10.13.0/24
10.10.14.0/24

最终我们需要实现：

普通公网流量
    ↓
ens18
    ↓
203.0.113.1

10.10.11.0/24
    ↓
ens19 直接访问

10.10.12.0/24
10.10.13.0/24
10.10.14.0/24
    ↓
10.10.11.1
    ↓
ens19

这样主网卡和内网网卡互不影响。

二、查看当前网卡

首先执行：

ip addr

例如：

2: ens18: <BROADCAST,MULTICAST,UP,LOWER_UP>
    inet 203.0.113.10/24

3: ens19: <BROADCAST,MULTICAST>

可以看到：

ens18 = 已经配置公网 IP
ens19 = 第二张网卡，暂未配置

再查看当前路由：

ip route

正常情况下公网默认路由类似：

default via 203.0.113.1 dev ens18

这条默认路由需要保留。

三、配置第二张网卡

Debian 使用传统 ifupdown 网络配置时，可以给第二张网卡创建独立配置文件。

创建：

nano /etc/network/interfaces.d/ens19

写入：

auto ens19
iface ens19 inet static
    address 10.10.11.6/24

这里有一个很重要的地方：

不要配置 gateway。

不要写成：

auto ens19
iface ens19 inet static
    address 10.10.11.6/24
    gateway 10.10.11.1

因为主网卡本身已经存在默认网关。

如果第二张网卡再次配置：

gateway 10.10.11.1

Debian 会尝试再向主路由表添加一条默认路由。

某些环境下可能出现：

RTNETLINK answers: File exists

甚至：

Job for networking.service failed because the control process exited with error code.

所以这种网络结构下，副网卡没有必要配置默认网关。

四、启动第二张网卡

可以先单独启动网卡：

ip link set ens19 up

然后：

ifup ens19

如果之前已经启动过，可能会看到：

ifup: interface ens19 already configured

这并不一定代表配置错误。

查看：

ip addr show ens19

正常应该可以看到：

inet 10.10.11.6/24

同时系统会自动生成一条直连路由：

10.10.11.0/24 dev ens19 proto kernel scope link src 10.10.11.6

这意味着：

10.10.11.0/24

这个网段不需要额外配置静态路由。

五、测试内网网关

首先确认第二张网卡到内网网关正常。

执行：

ping -I ens19 10.10.11.1

正常返回：

64 bytes from 10.10.11.1: icmp_seq=1 ttl=64 time=0.xxx ms

说明：

服务器
  ↓
ens19
  ↓
10.10.11.1

这一段网络已经正常。

六、添加其他内网静态路由

接下来添加需要通过 10.10.11.1 访问的网段。

执行：

ip route replace 10.10.12.0/24 via 10.10.11.1 dev ens19
ip route replace 10.10.13.0/24 via 10.10.11.1 dev ens19
ip route replace 10.10.14.0/24 via 10.10.11.1 dev ens19

这里推荐使用：

ip route replace

而不是：

ip route add

因为 replace 在路由已经存在时会直接更新，不容易出现：

RTNETLINK answers: File exists

七、查看路由是否正确

执行：

ip route

最终应该类似：

default via 203.0.113.1 dev ens18

203.0.113.0/24 dev ens18 proto kernel scope link src 203.0.113.10

10.10.11.0/24 dev ens19 proto kernel scope link src 10.10.11.6

10.10.12.0/24 via 10.10.11.1 dev ens19
10.10.13.0/24 via 10.10.11.1 dev ens19
10.10.14.0/24 via 10.10.11.1 dev ens19

这时候服务器的默认上网出口仍然是：

203.0.113.1 → ens18

而三个内网网段则全部从：

10.10.11.1 → ens19

访问。

八、验证具体流量走哪张网卡

Linux 有一个非常好用的命令：

ip route get

例如：

ip route get 10.10.12.1

正常应该返回：

10.10.12.1 via 10.10.11.1 dev ens19 src 10.10.11.6

这句话的意思就是：

目标：10.10.12.1

下一跳：
10.10.11.1

出口网卡：
ens19

源地址：
10.10.11.6

同样可以检查：

ip route get 10.10.13.1
ip route get 10.10.14.1

九、测试三个内网

分别执行：

ping 10.10.12.1

ping 10.10.13.1

ping 10.10.14.1

如果都能够正常收到回复，就说明静态路由已经生效。

十、配置永久静态路由

前面执行的：

ip route replace

只对当前系统运行状态生效。

服务器重启以后，这些手动添加的路由会消失。

所以需要写入：

/etc/network/interfaces.d/ens19

最终配置如下：

auto ens19
iface ens19 inet static
    address 10.10.11.6/24

    up ip route replace 10.10.12.0/24 via 10.10.11.1 dev ens19
    up ip route replace 10.10.13.0/24 via 10.10.11.1 dev ens19
    up ip route replace 10.10.14.0/24 via 10.10.11.1 dev ens19

也可以直接使用命令生成：

cat >/etc/network/interfaces.d/ens19 <<'EOF'
auto ens19
iface ens19 inet static
    address 10.10.11.6/24

    up ip route replace 10.10.12.0/24 via 10.10.11.1 dev ens19
    up ip route replace 10.10.13.0/24 via 10.10.11.1 dev ens19
    up ip route replace 10.10.14.0/24 via 10.10.11.1 dev ens19
EOF

查看：

cat /etc/network/interfaces.d/ens19

这样以后 ens19 启动时，就会自动添加这些路由。

十一、为什么第二张网卡不需要 gateway？

很多人容易产生一个误区：

第二张网卡连接了一个三层网关，所以一定要配置 gateway。

实际上并不是。

在 Linux 中：

gateway

通常意味着：

默认路由

例如：

gateway 203.0.113.1

最终实际上就是：

ip route add default via 203.0.113.1

但我们的服务器已经有：

default via 203.0.113.1 dev ens18

服务器只需要通过第二张网卡访问指定内网，所以真正需要的是：

10.10.12.0/24 → 10.10.11.1
10.10.13.0/24 → 10.10.11.1
10.10.14.0/24 → 10.10.11.1

而不是再增加一个默认路由。

所以：

第二张网卡不配置 gateway

并不代表它不能经过网关。

我们只是通过静态路由明确告诉系统哪些目标需要经过这个网关。

十二、为什么直接 ping 其他内网最开始不通？

假设最开始路由表只有：

default via 203.0.113.1 dev ens18

10.10.11.0/24 dev ens19

这时候执行：

ping 10.10.12.1

Linux 查看路由表后发现：

没有 10.10.12.0/24 的路由

于是只能使用：

default

最终流量就会变成：

10.10.12.1
    ↓
默认路由
    ↓
ens18
    ↓
公网网关

自然无法访问内部网络。

添加：

ip route replace 10.10.12.0/24 via 10.10.11.1 dev ens19

以后，就变成：

10.10.12.1
    ↓
10.10.11.1
    ↓
ens19

所以访问恢复正常。

十三、不要随意重启整个 networking

远程 SSH 操作服务器的时候，不建议随便执行：

systemctl restart networking

因为这个操作可能同时重启：

ens18
ens19

如果 ens18 是当前 SSH 使用的公网网卡，一旦配置存在问题，很可能直接导致服务器失联。

修改第二张网卡时，更推荐：

ifdown ens19
ifup ens19

或者先通过临时命令测试：

ip addr
ip route

确认完全正常后，再写入永久配置。

十四、常用排查命令

查看所有网卡

ip addr

查看路由表

ip route

查看指定网卡

ip addr show ens19

查看访问某个 IP 使用哪条路由

ip route get 10.10.12.1

指定网卡 Ping

ping -I ens19 10.10.11.1

查看 Debian 网络服务

systemctl status networking --no-pager -l

查看网络服务日志

journalctl -u networking -n 50 --no-pager

十五、最终方案总结

本次网络配置可以概括为：

              Debian Server

        ┌─────────────────────┐
        │                     │
公网 ──→│ ens18               │
        │ 主默认路由           │
        │                     │
内网 ──→│ ens19               │
        │ 仅配置内网 IP        │
        │ + 静态路由           │
        └─────────────────────┘

公网：

默认流量
↓
ens18
↓
公网网关

内网：

10.10.11.0/24
↓
ens19 直连

其他内部网段：

10.10.12.0/24
10.10.13.0/24
10.10.14.0/24
↓
10.10.11.1
↓
ens19

这种方式的优势是：

• 不影响公网默认出口

• 不需要双默认网关

• 路由关系清晰

• 不容易出现默认路由冲突

• 支持多个内部网段

• Debian 重启后可以自动恢复

• 非常适合 IDC、管理网络、监控网络、业务内网等双网卡服务器环境

对于一台同时连接公网和多个内部网段的 Debian 服务器来说，主网卡负责默认路由，副网卡配合静态路由，通常是更加简单、稳定、容易维护的方案。

大家好，我是云核筑梦家。

在使用 Windows 远程桌面连接服务器时，有时候会遇到下面这样的提示：

“为安全考虑，已锁定该用户账户，原因是登录尝试或密码更改尝试过多。请稍候片刻再重试，或与系统管理员联系。”

这种情况通常是 Windows 的账户锁定策略被触发。

如果此时远程桌面已经无法登录，但是还可以通过服务器的 VNC 控制台进入 Windows，就可以直接在系统中修改账户锁定策略。

一、通过VNC进入Windows

首先通过服务器提供的 VNC 控制台进入 Windows 系统。

进入桌面以后，打开：

Windows PowerShell

建议右键选择：

以管理员身份运行

后面的命令都建议在管理员 PowerShell 中执行。

二、查看当前账户锁定策略

首先执行：

net accounts

执行以后可以看到当前 Windows 的账户策略，例如：

强制用户在时间到期之后多久必须注销?: 从不
密码最短使用期限(天): 0
密码最长使用期限(天): 42
密码长度最小值: 0
锁定阈值: 5
锁定持续时间(分): 10
锁定观察窗口(分): 10
计算机角色: WORKSTATION

这里主要需要关注：

• 锁定阈值

• 锁定持续时间

• 锁定观察窗口

例如：

锁定阈值: 5

表示账户连续登录失败达到 5 次以后，Windows 会自动锁定该账户。

三、关闭账户锁定策略

如果现在需要关闭账户锁定，可以执行：

net accounts /lockoutthreshold:0

执行成功以后会提示：

命令成功完成。

这里的数字 0 代表：

从不因为连续登录失败而锁定账户。

也就是说，设置完成以后，不会再因为密码连续输入错误达到一定次数而触发账户锁定。

四、确认是否设置成功

设置完成以后，再次执行：

net accounts

然后查看锁定阈值。

如果看到：

锁定阈值: 从不

说明账户锁定策略已经成功关闭。

此时可能仍然会看到：

锁定持续时间(分): 10
锁定观察窗口(分): 10

这个不用处理。

只要锁定阈值已经显示为“从不”，就代表账户不会再因为连续登录失败而触发锁定。

五、快速处理方法

如果只是需要快速处理远程桌面账户锁定的问题，实际上只需要执行两条命令。

首先关闭账户锁定：

net accounts /lockoutthreshold:0

然后查看是否已经生效：

net accounts

确认输出中出现：

锁定阈值: 从不

即可重新测试 Windows 远程桌面登录。

六、重新开启账户锁定策略

如果后续需要重新开启账户锁定，例如设置连续登录错误 10 次以后锁定，可以执行：

net accounts /lockoutthreshold:10
net accounts /lockoutduration:10
net accounts /lockoutwindow:10

这三条命令分别代表：

• 连续登录失败 10 次后锁定

• 账户锁定时间为 10 分钟

• 锁定观察窗口为 10 分钟

设置完成以后再次执行：

net accounts

正常情况下可以看到：

锁定阈值: 10
锁定持续时间(分): 10
锁定观察窗口(分): 10

说明账户锁定策略已经重新开启。

七、常用命令整理

查看当前 Windows 账户策略：

net accounts

关闭账户锁定：

net accounts /lockoutthreshold:0

设置连续登录失败 10 次后锁定：

net accounts /lockoutthreshold:10

设置账户锁定时间为 10 分钟：

net accounts /lockoutduration:10

设置锁定观察窗口为 10 分钟：

net accounts /lockoutwindow:10

八、处理流程

整个处理过程可以简单理解为：

RDP提示账户被锁定
        ↓
通过VNC进入Windows
        ↓
管理员运行PowerShell
        ↓
执行 net accounts
        ↓
查看账户锁定策略
        ↓
执行 net accounts /lockoutthreshold:0
        ↓
再次执行 net accounts
        ↓
确认“锁定阈值: 从不”
        ↓
重新测试远程桌面

九、总结

当 Windows 远程桌面提示：

“已锁定该用户账户”

并且还可以通过 VNC 进入 Windows 时，可以直接使用管理员 PowerShell 处理。

首先执行：

net accounts

查看当前账户锁定策略。

然后执行：

net accounts /lockoutthreshold:0

关闭账户锁定。

最后再次执行：

net accounts

如果看到：

锁定阈值: 从不

说明设置已经成功。

整个处理过程中最关键的命令就是：

net accounts /lockoutthreshold:0

通过这个方法，可以快速处理 Windows 远程桌面因多次登录失败导致的账户锁定问题。

TaierSpeedtest 是一款第三方 Linux 网络测速工具，可测试国内电信、联通、移动不同地区节点的延迟、单线程及多线程上下行速度，并支持 IPv4、IPv6、JSON 输出和测速结果图片。

大家好，我是云核筑梦家。

平时我们购买云服务器、独立服务器或者测试 IDC 网络线路时，经常会遇到一个问题：

服务器带宽看起来很大，但是实际到不同运营商的网络质量到底怎么样？

例如：

• 到电信速度怎么样？

• 到联通有没有明显瓶颈？

• 到移动延迟高不高？

• 单线程性能如何？

• 多线程能不能真正跑满带宽？

• IPv6 网络质量怎么样？

今天给大家介绍一个比较方便的 Linux 三网测速工具：

TaierSpeedtest

项目地址：

https://github.com/MiaM1ku/taierspeedtest

它可以直接在 Linux 服务器上运行，不需要安装桌面环境，非常适合 VPS、云服务器、IDC 服务器以及家庭 Linux 主机进行网络质量测试。

一、TaierSpeedtest 是什么？

TaierSpeedtest 是一个使用 Go 开发的第三方 Linux 网络测速客户端。

项目 README 中介绍，该工具兼容“全球网测/泰尔测速”相关测速服务协议，可以在 Linux 环境下完成网络测速。

需要特别说明：

TaierSpeedtest 是第三方社区项目，并不是官方 Linux 客户端。

它最大的特点是可以直接在纯命令行 Linux 环境中运行。

目前主要支持：

Linux AMD64
Linux ARM64

因此常见的服务器基本都可以直接使用，例如：

Debian
Ubuntu
CentOS
Rocky Linux
AlmaLinux
openEuler
Proxmox VE

二、支持哪些测速项目？

TaierSpeedtest 可以测试：

• IPv4

• IPv6

• 网络延迟

• 单线程上传

• 单线程下载

• 多线程上传

• 多线程下载

• 电信

• 联通

• 移动

• 指定省份

• 指定城市

• 指定运营商

同时还支持：

JSON 输出
PNG 测速结果图
自定义线程数
自定义测速时长

对于服务器线路测试来说已经比较全面。

三、一键运行

不需要提前安装 Go，也不需要自己编译。

直接执行：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh)

脚本会自动识别当前服务器 CPU 架构，并从项目 GitHub Release 下载对应版本运行。

支持：

x86_64 / amd64
aarch64 / arm64

进入程序以后会看到测速点选择。

如果直接回车，默认测试：

北京
上海
广州

并分别测试：

电信
联通
移动

也就是说默认会测试北上广三地三网。

四、测试指定地区

如果我们只想测试某个地区，可以使用：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) --points 四川

例如填写：

四川

程序会测试四川对应城市的：

电信
联通
移动

对于测试四川、成都方向线路来说比较方便。

五、指定多个地区测速

也可以一次指定多个省份或者城市。

例如：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) --points 北京,上海,浙江

这样会依次测试：

北京三网
上海三网
浙江三网

如果想看一台服务器到全国不同区域的网络表现，这种方式会更加方便。

六、指定运营商测速

有时候我们并不需要测试三网，只关心某一家运营商。

例如只测试成都电信：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) --points 成都电信

也可以一次指定多个目标：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) --points 成都电信,杭州联通

这种方式比较适合测试服务器针对特定地区、特定运营商的线路质量。

七、单线程与多线程测速

TaierSpeedtest 支持两种主要测速方式：

1. 单线程测速

执行：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) --points 四川 --mode single

单线程测速可以比较直观地反映：

单连接下载能力
单连接上传能力
TCP 单流性能
跨区域网络质量

有时候一条线路多线程可以跑满，但是单线程非常差，这种情况在实际业务中可能依然会影响用户体验。

2. 多线程测速

执行：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) --points 四川 --mode multi

多线程主要用于测试：

线路总体吞吐能力
服务器出口能力
运营商方向最大速度

如果你的服务器是：

100Mbps
200Mbps
500Mbps
1Gbps

可以使用多线程测速观察线路实际能够跑到多少。

3. 单线程 + 多线程一起测试

直接使用：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) --points 四川 --mode both

这个也是我比较推荐的方式。

可以同时对比：

单线程上传
单线程下载
多线程上传
多线程下载

对于判断服务器真实线路质量更加直观。

八、关闭测速结果图片

默认情况下，测速完成后程序可以生成测速结果图片。

如果只是在服务器终端中测试，不需要生成图片，可以增加：

--no-image

例如：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) \
--points 四川 \
--mode both \
--no-image

如果需要做脚本调用或者服务器批量检测，我更建议关闭图片功能。

九、JSON 输出

TaierSpeedtest 还提供了一个非常实用的功能：

--json

例如：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) \
--points 四川 \
--mode multi \
--no-image \
--json

程序会以 JSON 格式输出测速结果。

其中可以包含：

地区
IPv4 / IPv6
延迟
单线程上传
单线程下载
多线程上传
多线程下载

这个功能非常适合后续进行自动化处理。

例如可以继续开发成：

TaierSpeedtest
      ↓
JSON
      ↓
测速数据采集程序
      ↓
Prometheus
      ↓
Grafana

最终实现自己的服务器三网测速监控平台。

十、IPv6 测速

如果服务器 IPv6 可以正常访问互联网，程序会自动检测并增加 IPv6 测试。

如果不需要测试 IPv6，可以使用：

--no-ipv6

例如：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) \
--points 四川 \
--no-ipv6

如果希望强制进行 IPv6 测试，可以使用：

--ipv6

十一、自定义测速线程

默认多线程情况下：

下载线程：8
上传线程：4

可以通过参数自行调整。

例如：

--down-threads 8
--up-threads 4

完整示例：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) \
--points 四川 \
--mode multi \
--down-threads 8 \
--up-threads 4 \
--no-image

通常没有特殊需求的话，保持默认即可。

线程数并不是越大越好。

过高的线程数可能会让测速结果失去实际参考意义，同时也会增加测速服务器以及本机网络负载。

十二、自定义测速时间

程序支持：

--duration

例如：

--duration 5

表示每个测速方向测试约 5 秒。

程序内部对测速时间进行了限制，目前单个方向最低约 5 秒，最高约 13 秒。

一般使用默认参数就已经足够。

十三、常用命令整理

四川三网测速

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) --points 四川

成都电信测速

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) --points 成都电信

四川三网多线程测速

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) \
--points 四川 \
--mode multi

四川三网测速并关闭图片

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) \
--points 四川 \
--mode both \
--no-image

JSON 输出

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) \
--points 四川 \
--mode multi \
--no-image \
--json

不测试 IPv6

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh) \
--points 四川 \
--no-ipv6

十四、需要注意流量消耗

这里需要特别提醒一下。

TaierSpeedtest 和 Ping、TCP 探测不一样。

Ping 测试可能只产生几十 KB 的流量，而真正的上下行测速会主动产生大量网络数据。

尤其是在：

高带宽服务器
多线程测速
同时测试多个地区
同时测试三网
IPv4 + IPv6

这些情况下，一次完整测试可能产生比较明显的流量。

因此不建议配置类似：

每分钟测速一次
每5分钟测速一次

这种高频自动任务。

如果只是长期观察服务器线路质量，可以考虑：

30分钟一次
1小时一次
每天固定时间测试

具体频率需要根据自己的服务器带宽、流量套餐以及实际需求决定。

十五、它适合哪些场景？

个人认为这个工具比较适合以下场景。

VPS 线路测试

购买 VPS 后，可以快速看看：

电信怎么样
联通怎么样
移动怎么样

IDC 服务器验收

服务器上架以后，可以测试：

出口带宽
不同运营商速度
不同地区线路质量

BGP 多线服务器测试

如果服务器使用的是：

电信
联通
移动
BGP

可以通过不同运营商测速结果，大概判断线路质量是否均衡。

网络调整前后对比

例如：

更换上游线路
调整 BGP
更换出口
调整路由策略
更换防火墙
更换机房

都可以在调整前后各跑一次测速进行对比。

十六、不要把测速当成带宽的绝对标准

测速结果只能作为一个参考。

网络速度会受到很多因素影响，例如：

测速服务器负载
测试时间
跨网互联情况
TCP 拥塞控制
服务器 CPU
服务器网卡
出口带宽
运营商路由
网络拥塞
丢包
延迟

所以：

一次测速结果 ≠ 线路永久性能

建议在不同时间段进行多次测试。

例如：

上午
下午
晚高峰
凌晨

这样得到的数据会更有参考价值。

十七、关于项目安全和使用边界

TaierSpeedtest 是第三方社区项目。

在使用这类项目时，建议遵循以下原则：

仅用于个人网络质量测试
避免高频自动测速
避免大规模批量测试
不要对公共测速资源进行持续压测

同时建议安装前自行查看项目源码及更新记录。

对于生产服务器，也可以先在测试环境确认程序行为后再进行使用。

十八、免责声明

本文介绍的 TaierSpeedtest 为第三方社区项目，与中国信息通信研究院、“全球网测”及相关官方机构不存在隶属、合作或授权关系。

本文内容仅用于 Linux 网络环境下的个人网络质量测试、技术研究与学习交流，不建议用于商业测速服务、大规模批量测试、高频自动测速或其他可能对公共测速服务造成额外负载的场景。

项目所涉及的名称、服务、接口及相关权益归其原权利人所有。项目功能及可用性可能随着服务端调整而发生变化，请以项目原仓库说明及相关服务条款为准。

本文不重新分发项目程序及二进制文件，安装命令均指向项目原 GitHub 仓库。使用者应自行评估网络流量消耗，并遵守当地法律法规及相关服务使用规则。

十九、总结

TaierSpeedtest 最大的优势就是：

无需桌面环境
Linux 直接运行
支持 AMD64 / ARM64
支持电信 / 联通 / 移动
支持指定地区
支持单线程测速
支持多线程测速
支持 IPv4 / IPv6
支持 JSON
支持测速结果图片

对于平时经常折腾：

VPS
云服务器
IDC
BGP
网络线路
服务器出口

的朋友来说，是一个比较方便的线路测试工具。

如果只是临时测试服务器到国内不同运营商的网络质量，直接一条命令就可以完成：

bash <(curl -fsSL https://raw.githubusercontent.com/MiaM1ku/taierspeedtest/main/run.sh)

项目地址：

https://github.com/MiaM1ku/taierspeedtest

建议大家合理使用公共测速资源，不要进行高频、持续或者大规模测速。

摘要：本文介绍如何在 CentOS Stream 9 部署 FRRouting，通过 eBGP 将 ZeroTier 动态路由自动同步至华为 USG，替代传统静态路由维护。

大家好，我是云核筑梦家。

在使用 ZeroTier 做异地组网时，我们通常会在 ZeroTier Controller 中配置 Managed Routes，让 Linux 自动获得不同远端节点的业务路由。

如果 Linux 上层还有华为 USG 防火墙，传统方式一般需要在防火墙上手工添加静态路由。节点和业务网段越来越多后，每次新增、删除或调整路由都需要重复修改防火墙配置，维护成本会逐渐增加。

本文通过 FRRouting（FRR）+ BGP 实现自动同步：

ZeroTier 路由变化 → Linux Kernel 路由变化 → FRR 自动读取 → BGP 发布/撤销 → 华为 USG 自动更新路由

这样以后只需要管理 ZeroTier 路由，华为侧无需再逐条维护对应的静态路由。

本文所有 IP、AS 号、接口名称和业务网段均为实验示例，请根据实际网络环境修改。

一、实验环境

本文使用以下实验参数：

Linux 与华为通过 10.88.200.0/24 建立 eBGP。

ZeroTier 虚拟网络使用 10.66.0.0/24。

实验中的业务路由示例：

• 10.20.0.0/21 下一跳 10.66.0.4

• 172.20.11.0/24 下一跳 10.66.0.3

• 172.20.12.0/24 下一跳 10.66.0.3

• 172.20.13.0/24 下一跳 10.66.0.3

• 172.20.14.0/24 下一跳 10.66.0.3

二、安装 FRRouting

先确认系统版本：

cat /etc/os-release

本文使用 CentOS Stream 9。

安装 FRR：

dnf install -y frr

查看软件包信息：

dnf info frr

三、启用 BGP 服务

FRR 安装完成后，默认可能没有启用 BGP Daemon。

查看当前配置：

grep -E '^(bgpd|bfdd|vtysh_enable)=' /etc/frr/daemons

如果看到：

bgpd=no

执行：

sed -i 's/^bgpd=no/bgpd=yes/' /etc/frr/daemons

启动 FRR，并设置为开机启动：

systemctl enable frr
systemctl restart frr

检查进程：

ps -ef | grep -E 'bgpd|zebra' | grep -v grep

正常情况下应该能够看到 zebra 和 bgpd 进程。

四、确认 ZeroTier 路由

查看 Linux 当前路由：

ip route

实验环境可能类似：

default via 10.88.200.1 dev eth1 proto static metric 100
10.20.0.0/21 via 10.66.0.4 dev ztxxxxxxxx proto static metric 5000
10.88.200.0/24 dev eth1 proto kernel scope link
10.66.0.0/24 dev ztxxxxxxxx proto kernel scope link
172.20.11.0/24 via 10.66.0.3 dev ztxxxxxxxx proto static metric 5000
172.20.12.0/24 via 10.66.0.3 dev ztxxxxxxxx proto static metric 5000
172.20.13.0/24 via 10.66.0.3 dev ztxxxxxxxx proto static metric 5000
172.20.14.0/24 via 10.66.0.3 dev ztxxxxxxxx proto static metric 5000

这里的重点是：不要在 FRR 中把所有业务网段一个一个写死。

例如不建议采用：

network 10.20.0.0/21
network 172.20.11.0/24
network 172.20.12.0/24

否则以后 ZeroTier 新增一个业务网段，还要再次登录 Linux 修改 FRR。

本文希望实现的效果是：

只要 Linux Kernel 中出现“下一跳属于 ZeroTier 地址池”的路由，就自动通过 BGP 发布给华为。

五、配置 ZeroTier 下一跳过滤

进入 FRR：

vtysh

假设 ZeroTier 虚拟地址池为：

10.66.0.0/24

创建 Prefix List：

configure terminal

ip prefix-list ZT-NEXTHOP seq 10 permit 10.66.0.0/24 le 32

这条规则用来匹配下一跳属于 10.66.0.0/24 的路由。

例如：

• 10.66.0.3 可以匹配

• 10.66.0.4 可以匹配

• 10.88.200.1 不匹配

因此 Linux 默认路由不会被错误发布出去。

六、创建 Kernel 路由重分发策略

创建 Route-Map：

route-map ZT-REDIST permit 10
 match ip next-hop prefix-list ZT-NEXTHOP
 set community 65101:100 additive
exit

它的工作逻辑如下：

1. FRR 获取 Linux Kernel 路由。

2. 检查该路由的下一跳。

3. 如果下一跳属于 ZeroTier 地址池，则允许进入 BGP。

4. 给路由增加 65101:100 Community。

例如：

172.20.11.0/24 via 10.66.0.3

能够通过过滤。

而：

0.0.0.0/0 via 10.88.200.1

不会通过。

七、增加第二层出口过滤

为了进一步降低误发布路由的风险，可以增加一层 Community 过滤。

创建 Community List：

bgp community-list standard ZT-COMMUNITY permit 65101:100

创建出口 Route-Map：

route-map ZT-OUT permit 10
 match community ZT-COMMUNITY
exit

这样只有经过 ZT-REDIST 正确处理，并带有 65101:100 Community 的路由，才能最终发送给华为。

完整逻辑为：

Kernel 路由 → 检查 ZeroTier 下一跳 → 打 Community → 出口再次检查 → 发布给 USG

这种做法可以降低以后误配置其他 BGP 路由时被意外发布给防火墙的风险。

八、禁止华为反向向 Linux 注入路由

本文主要需求是：

Linux → Huawei USG

不需要：

Huawei USG → Linux

因此创建入口拒绝策略：

route-map BLOCK-IN deny 10
exit

这样即使以后华为侧误配置了“引入静态路由”“引入直连路由”或其他 BGP 路由，Linux 也不会接收。

九、配置 Linux BGP

实验参数：

配置：

router bgp 65101
 bgp router-id 10.88.200.2
 bgp log-neighbor-changes

 neighbor 10.88.200.1 remote-as 65100
 neighbor 10.88.200.1 description Huawei-USG

 address-family ipv4 unicast
  redistribute kernel route-map ZT-REDIST
  neighbor 10.88.200.1 route-map BLOCK-IN in
  neighbor 10.88.200.1 route-map ZT-OUT out
 exit-address-family
exit

保存配置：

end
write memory

FRR 配置默认保存到：

/etc/frr/frr.conf

建议做一次备份：

cp /etc/frr/frr.conf /root/frr.conf.production-$(date +%Y%m%d-%H%M%S)

十、Linux 最终核心配置

最终核心配置如下：

ip prefix-list ZT-NEXTHOP seq 10 permit 10.66.0.0/24 le 32

bgp community-list standard ZT-COMMUNITY permit 65101:100

route-map ZT-REDIST permit 10
 match ip next-hop prefix-list ZT-NEXTHOP
 set community 65101:100 additive
exit

route-map ZT-OUT permit 10
 match community ZT-COMMUNITY
exit

route-map BLOCK-IN deny 10
exit

router bgp 65101
 bgp router-id 10.88.200.2
 bgp log-neighbor-changes
 neighbor 10.88.200.1 remote-as 65100
 neighbor 10.88.200.1 description Huawei-USG

 address-family ipv4 unicast
  redistribute kernel route-map ZT-REDIST
  neighbor 10.88.200.1 route-map BLOCK-IN in
  neighbor 10.88.200.1 route-map ZT-OUT out
 exit-address-family
exit

这里没有写死任何业务网段。

需要固定的只有：

• 华为和 Linux 的 BGP 邻居地址

• ZeroTier 虚拟地址池

• 两端 BGP AS

以后业务网段增加或删除，不需要修改这段配置。

十一、配置华为 USG BGP

华为侧开启 BGP，实验参数如下：

• 本地 AS：65100

• Router ID：10.88.200.1

• 邻居 IP：10.88.200.2

• 邻居 AS：65101

因为华为和 Linux 位于同一个三层网段，所以属于直连 eBGP。

EBGP 最大跳数保持 1 即可。

BFD 前期可以暂时关闭，先确保普通 BGP 稳定运行。

CLI 配置逻辑类似：

bgp 65100
 router-id 10.88.200.1
 peer 10.88.200.2 as-number 65101

 ipv4-family unicast
  peer 10.88.200.2 enable

不同 USG 软件版本的 CLI 命令可能略有差异，也可以直接通过 Web 页面配置。

十二、检查 BGP 邻居

Linux 执行：

vtysh -c "show bgp ipv4 unicast summary"

正常情况下可以看到类似：

Neighbor       V     AS      State/PfxRcd   PfxSnt
10.88.200.1    4     65100              0        5

如果 State/PfxRcd 显示数字，而不是 Idle、Active 或 Connect，说明 BGP 已经进入 Established 状态。

这里显示 0 是正常的。

因为本文通过 BLOCK-IN 禁止 Linux 接收华为发布的路由，所以 Linux 收到的 Prefix 数量为 0。

PfxSnt 5 表示 Linux 正在向华为发送 5 条路由。

十三、查看 FRR 获取到的 Linux 路由

执行：

vtysh -c "show ip route"

示例：

K>* 10.20.0.0/21 [0/5000] via 10.66.0.4
K>* 172.20.11.0/24 [0/5000] via 10.66.0.3
K>* 172.20.12.0/24 [0/5000] via 10.66.0.3
K>* 172.20.13.0/24 [0/5000] via 10.66.0.3
K>* 172.20.14.0/24 [0/5000] via 10.66.0.3

其中：

K = Kernel Route

这也是本文最终使用：

redistribute kernel route-map ZT-REDIST

而不是 redistribute static 的原因。

十四、检查 Linux 实际发布了哪些路由

执行：

vtysh -c "show bgp ipv4 unicast neighbors 10.88.200.1 advertised-routes"

正常应该只看到业务路由，例如：

10.20.0.0/21
172.20.11.0/24
172.20.12.0/24
172.20.13.0/24
172.20.14.0/24

不应该看到：

0.0.0.0/0
10.88.200.0/24
10.66.0.0/24

如果只发布预期业务网段，就说明 Route-Map 已经正常工作。

十五、华为查看学习到的路由

查看 BGP 邻居：

display bgp peer

邻居状态应该为：

Established

查看 BGP 路由：

display bgp routing-table

查看已经进入主路由表的 BGP 路由：

display ip routing-table protocol bgp

实验环境示例：

Destination/Mask    Proto   Cost    NextHop       Interface
10.20.0.0/21        EBGP    5000    10.88.200.2   Vlanif200
172.20.11.0/24      EBGP    5000    10.88.200.2   Vlanif200
172.20.12.0/24      EBGP    5000    10.88.200.2   Vlanif200
172.20.13.0/24      EBGP    5000    10.88.200.2   Vlanif200
172.20.14.0/24      EBGP    5000    10.88.200.2   Vlanif200

如果路由 Flags 中带有 D，表示该路由已经 Download to FIB，可以参与实际转发。

十六、原有静态路由不要一次性删除

生产环境建议采用渐进式切换。

推荐顺序：

1. 建立 BGP。

2. 确认邻居状态为 Established。

3. 确认所有业务路由已经通过 BGP 学习。

4. 选择一个测试网段。

5. 删除该网段原有静态路由。

6. 查看该路由是否自动切换为 EBGP。

7. 测试实际业务访问。

8. 确认无问题后，再删除剩余静态路由。

例如：

display ip routing-table 172.20.14.0

确认协议已经变成 EBGP，下一跳正确指向 Linux 后，再继续清理其他静态路由。

十七、新增 ZeroTier 路由测试

假设以后在 ZeroTier Controller 中新增：

192.168.88.0/24 via 10.66.0.8

Linux 自动获得：

192.168.88.0/24 via 10.66.0.8 dev ztxxxxxxxx

因为 10.66.0.8 属于 10.66.0.0/24，所以会自动被 ZT-REDIST 匹配。

随后流程为：

ZeroTier → Linux Kernel → FRR → BGP → Huawei USG

华为最终会自动获得：

192.168.88.0/24 → 10.88.200.2

整个过程中不需要再次登录华为新增静态路由。

十八、删除 ZeroTier 路由

如果在 ZeroTier Controller 中删除：

192.168.88.0/24 via 10.66.0.8

Linux Kernel 中对应路由消失后，FRR 会自动向华为发送 BGP Withdraw。

华为随后自动删除对应 BGP 路由。

因此可以实现：

添加 Managed Route 自动发布，删除 Managed Route 自动撤销。

十九、常用排查命令

Linux 查看 BGP 邻居：

vtysh -c "show bgp ipv4 unicast summary"

查看 FRR 路由：

vtysh -c "show ip route"

查看 BGP 路由：

vtysh -c "show bgp ipv4 unicast"

查看实际向华为发布的路由：

vtysh -c "show bgp ipv4 unicast neighbors 10.88.200.1 advertised-routes"

查看 FRR 服务：

systemctl status frr

查看 BGP 进程：

ps -ef | grep bgpd

查看 TCP 179：

ss -lntp | grep ':179'

华为查看邻居：

display bgp peer

华为查看 BGP 路由：

display bgp routing-table

华为查看已经安装的 BGP 路由：

display ip routing-table protocol bgp

二十、目前方案仍存在的一个问题

这套方案解决的是：

Linux Kernel 路由发生变化后，华为能够自动同步。

但仍有一种特殊情况需要注意。

假设 Linux 中存在：

172.20.11.0/24 via 10.66.0.3

如果 ZeroTier 节点 10.66.0.3 已经掉线，但是 ZeroTier Managed Route 暂时仍保留在 Linux Kernel 中，那么 FRR 依然会认为这条路由存在。

此时可能出现：

ZeroTier 节点失联 → Kernel 路由仍存在 → FRR 继续发布 → 华为继续转发 → 流量黑洞

对于要求更高的生产环境，可以进一步增加：

• ZeroTier 节点健康检测

• 自动路由撤销

• BFD

• 脚本联动

• 双 Linux FRR 冗余

• BGP MED 主备控制

这些可以作为后续进一步优化的方向。

总结

本文通过 CentOS Stream 9 + FRRouting + ZeroTier + Huawei USG 实现了 ZeroTier 业务路由自动同步。

传统方式需要：

新增业务网段 → 登录防火墙 → 添加静态路由

改造以后变成：

ZeroTier 添加 Managed Route → 自动同步至 Huawei USG

FRR 使用 redistribute kernel 获取 Linux Kernel 路由，再通过 Route-Map 只选择下一跳属于 ZeroTier 网段的路由。

同时使用 Community 和出口 Route-Map 做第二层过滤，降低默认路由、管理网段或其他非预期路由被错误发布的风险。

对于 ZeroTier 节点较多、业务网段经常增加或调整的环境，这种方案可以明显减少静态路由维护工作量，也让路由增加和撤销更加自动化。

大家好，我是云核筑梦家。

一、飞牛开启 NFS

进入：

系统设置
→ 文件共享协议
→ NFS

打开：

NFS 服务

飞牛会显示类似：

nfs://<飞牛IP>/fs/1000/nfs

记住 Export 路径：

/fs/1000/nfs

二、创建 images 文件夹

进入飞牛：

文件管理
→ 我的文件
→ 新建文件夹

创建：

images

然后进入：

系统设置
→ 文件共享协议
→ NFS
→ 设置可见文件夹范围

选择：

自定义文件夹

勾选：

images

保存即可。

这一步很重要，否则 PVE 可能会提示 Permission denied。

三、PVE 添加 NFS

进入：

数据中心
→ 存储
→ 添加
→ NFS

填写：

ID：fnos-nfs

服务器：
<飞牛IP>

Export：
/fs/1000/nfs

内容：
磁盘映像

NFS版本：
默认

然后点击：

新增

四、完成

添加成功后，会看到：

fnos-nfs
类型：NFS
内容：磁盘映像

之后创建虚拟机或添加磁盘时，存储位置直接选择：

fnos-nfs

即可。

常见报错

如果提示：

Permission denied
failed to create .../images

一般就是飞牛里没有提前创建并开放：

images

创建并加入 NFS 可见文件夹后，再重新添加即可。

如果是准备用来存 PVE 备份，则提前创建：

dump

并在 PVE 中把内容类型选择为：

VZDump 备份文件

本文介绍 Linux 下使用 fio 测试 HDD、SATA/SAS SSD、NVMe、RAID 的方法，覆盖系统盘、挂载数据盘和空盘，并区分安全测试与破坏性测试。

前言

大家好，我是云核筑梦家。

服务器上常见的存储设备包括机械硬盘、SATA SSD、SAS SSD、NVMe SSD，以及由 RAID 卡组成的 RAID 阵列。

想知道一块盘实际性能怎么样，通常需要关注：

顺序读取速度
顺序写入速度
4K 随机读取 IOPS
4K 随机写入 IOPS
混合随机读写
IO 延迟

Linux 下推荐使用：

fio

本教程不针对某一台服务器，而是按照不同磁盘使用场景分别介绍测试方式。

一、测试前先识别磁盘

查看磁盘：

lsblk

推荐使用更详细的格式：

lsblk -o NAME,SIZE,TYPE,FSTYPE,MOUNTPOINTS,ROTA,MODEL

其中：

NAME        设备名称
SIZE        容量
TYPE        disk / part / lvm 等
FSTYPE      文件系统
MOUNTPOINTS 挂载目录
ROTA        是否旋转磁盘
MODEL       硬盘型号

ROTA 一般可以辅助判断：

ROTA=1    通常为机械硬盘
ROTA=0    通常为 SSD / NVMe

查看 NVMe：

nvme list

如果提示没有命令：

Debian / Ubuntu：

apt update && apt install -y nvme-cli

Rocky / AlmaLinux / CentOS：

dnf install -y nvme-cli

二、查看磁盘剩余空间

如果要通过测试文件测试，首先确认挂载点有足够空间：

df -h

例如需要测试某个挂载目录：

df -h /data

测试文件不要超过该分区的可用空间。

三、安装 fio

Debian / Ubuntu

apt update && apt install -y fio

Rocky Linux / AlmaLinux / RHEL

dnf install -y fio

CentOS 7

yum install -y fio

查看版本：

fio --version

四、先理解两种测试方式

Linux 磁盘测试主要分两类。

方式一：测试文件

例如：

--filename=/data/fio_test

fio 会在已经挂载的文件系统里面创建测试文件。

优点：

不会格式化磁盘
不会直接覆盖整个分区
适合系统盘
适合正在使用的数据盘
风险相对较低

生产服务器通常推荐这种方式。

方式二：直接测试裸设备

例如：

--filename=/dev/sdb

直接针对整块物理盘进行测试。

这种方式可以减少文件系统的影响，更接近底层磁盘性能。

但需要特别注意：

对 /dev/sdb 执行 fio 写入、随机写入或混合读写，会覆盖磁盘现有数据。

因此裸盘写测试只适合：

新盘
空盘
准备格式化的磁盘
确定没有任何重要数据的设备

如果磁盘已经有系统、分区、数据库或者其他数据，不要使用裸盘写测试。

五、通用安全测试：已挂载磁盘

这是最常用的方法。

假设需要测试的磁盘挂载目录为：

/data

首先设置测试文件：

/data/fio_test

可以根据实际挂载目录修改。

六、顺序写入测试

主要测试大文件持续写入性能。

fio \
--name=seq_write \
--filename=/data/fio_test \
--size=10G \
--rw=write \
--bs=1M \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--numjobs=1 \
--group_reporting

重点看：

WRITE: bw=

例如：

WRITE: bw=500MiB/s

代表顺序写入大约：

500 MiB/s

七、顺序读取测试

使用刚才创建的测试文件：

fio \
--name=seq_read \
--filename=/data/fio_test \
--size=10G \
--rw=read \
--bs=1M \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--numjobs=1 \
--group_reporting

重点看：

READ: bw=

八、4K 随机读取测试

随机读取是判断数据库、虚拟机、小文件业务性能的重要指标。

fio \
--name=4k_randread \
--filename=/data/fio_test \
--size=10G \
--rw=randread \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--numjobs=4 \
--runtime=60 \
--time_based \
--group_reporting

重点看：

IOPS=
BW=
clat=

九、4K 随机写入测试

fio \
--name=4k_randwrite \
--filename=/data/fio_test \
--size=10G \
--rw=randwrite \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--numjobs=4 \
--runtime=60 \
--time_based \
--group_reporting

随机写会产生较大的 SSD 写入量。

生产 SSD / NVMe 不建议长时间反复进行高强度随机写测试。

十、4K 70%读 + 30%写混合测试

这是比较常见的一种综合负载。

fio \
--name=4k_randrw \
--filename=/data/fio_test \
--size=10G \
--rw=randrw \
--rwmixread=70 \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--numjobs=4 \
--runtime=60 \
--time_based \
--group_reporting

表示：

70% 随机读取
30% 随机写入

相比单独随机读或者随机写，更接近部分数据库、虚拟化和业务服务器的实际负载。

十一、已挂载磁盘一键综合测试

把：

/data

换成实际磁盘挂载目录。

TEST_DIR=/data; TEST_SIZE=10G; \
fio --name=seq_write --filename=$TEST_DIR/fio_test --size=$TEST_SIZE --rw=write --bs=1M --direct=1 --ioengine=libaio --iodepth=32 --numjobs=1 --group_reporting && \
fio --name=seq_read --filename=$TEST_DIR/fio_test --size=$TEST_SIZE --rw=read --bs=1M --direct=1 --ioengine=libaio --iodepth=32 --numjobs=1 --group_reporting && \
fio --name=4k_randread --filename=$TEST_DIR/fio_test --size=$TEST_SIZE --rw=randread --bs=4k --direct=1 --ioengine=libaio --iodepth=32 --numjobs=4 --runtime=60 --time_based --group_reporting && \
fio --name=4k_randrw --filename=$TEST_DIR/fio_test --size=$TEST_SIZE --rw=randrw --rwmixread=70 --bs=4k --direct=1 --ioengine=libaio --iodepth=32 --numjobs=4 --runtime=60 --time_based --group_reporting; \
rm -f $TEST_DIR/fio_test

测试内容依次为：

1M 顺序写
1M 顺序读
4K 随机读
4K 70%读 + 30%写
自动删除测试文件

如果测试系统根分区，可以把：

TEST_DIR=/data

修改为：

TEST_DIR=/root

如果数据盘挂载在 /mnt/storage：

TEST_DIR=/mnt/storage

也就是说，测试文件放在哪个挂载点，就主要测试哪个磁盘或存储卷。

十二、为什么使用 direct=1

测试命令中使用：

--direct=1

表示尽量绕过 Linux 页缓存。

如果不开启这个参数，读取测试可能大量命中内存缓存，出现远高于硬盘真实能力的结果。

因此做磁盘性能测试时通常推荐：

--direct=1

十三、为什么要指定 libaio

很多人直接写：

--iodepth=32

但 fio 默认可能使用同步 IO 引擎。

如果看到：

ioengine=psync

并出现：

queue depth will be capped at 1

说明虽然设置：

iodepth=32

实际上队列深度仍然只有：

QD1

可以通过：

--ioengine=libaio

让异步队列真正发挥作用。

现代 Linux 也可以测试：

--ioengine=io_uring

例如：

fio \
--name=test \
--filename=/data/fio_test \
--size=10G \
--rw=randread \
--bs=4k \
--direct=1 \
--ioengine=io_uring \
--iodepth=32 \
--runtime=60 \
--time_based

如果追求较好的 Linux 版本兼容性，使用：

libaio

即可。

十四、HDD 机械硬盘应该怎么测

机械硬盘重点关注：

顺序读写
QD1 随机性能
延迟

机械盘并不擅长高并发 4K 随机 IO。

建议顺序测试：

fio \
--name=hdd_seq \
--filename=/data/fio_test \
--size=10G \
--rw=read \
--bs=1M \
--direct=1 \
--ioengine=libaio \
--iodepth=8 \
--numjobs=1 \
--group_reporting

随机测试建议不要一开始使用特别高的并发。

例如：

fio \
--name=hdd_4k \
--filename=/data/fio_test \
--size=10G \
--rw=randread \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=1 \
--numjobs=1 \
--runtime=60 \
--time_based \
--group_reporting

这样比较容易观察机械盘自身的真实延迟。

十五、SATA SSD 怎么测

SATA SSD 的接口理论上限大约在：

SATA III 6Gbps

实际优秀 SATA SSD 顺序读写通常不会超过 SATA 接口极限。

建议使用：

顺序：1M / QD32
随机：4K / QD32

例如：

fio \
--name=sata_ssd \
--filename=/data/fio_test \
--size=20G \
--rw=randrw \
--rwmixread=70 \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--numjobs=4 \
--runtime=60 \
--time_based \
--group_reporting

十六、SAS SSD 怎么测

SAS SSD 的测试方法和 SATA SSD 类似。

但是企业级 SAS SSD 通常在：

持续性能
并发 IO
延迟稳定性
耐久度

方面表现更好。

建议至少测试：

1M 顺序读取
1M 顺序写入
4K QD1
4K QD32
70/30 混合随机

十七、NVMe SSD 怎么测

NVMe 最大特点是：

高队列深度
高 IOPS
低延迟
高吞吐

因此 NVMe 不能只使用 QD1 测一下就下结论。

建议分别测试：

QD1
QD32
高并发

NVMe 4K QD1

fio \
--name=nvme_qd1 \
--filename=/data/fio_test \
--size=20G \
--rw=randread \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=1 \
--numjobs=1 \
--runtime=60 \
--time_based \
--group_reporting

这个测试主要看低队列深度延迟。

NVMe 4K QD32

fio \
--name=nvme_qd32 \
--filename=/data/fio_test \
--size=20G \
--rw=randread \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--numjobs=1 \
--runtime=60 \
--time_based \
--group_reporting

NVMe 高并发测试

fio \
--name=nvme_high_qd \
--filename=/data/fio_test \
--size=20G \
--rw=randrw \
--rwmixread=70 \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--numjobs=4 \
--runtime=60 \
--time_based \
--group_reporting

这里相当于多个任务同时提交 IO，可以更充分地压测 NVMe。

十八、RAID 阵列怎么测

硬件 RAID 在 Linux 中经常表现为：

/dev/sda

即使底层可能存在：

4块
8块
12块
24块

Linux 仍然只看到一个逻辑磁盘。

RAID 测试方法与普通磁盘类似。

如果 RAID 已经安装系统或者保存数据，推荐：

测试文件方式

如果 RAID 是刚创建的空逻辑盘，并且确定没有数据，可以进行裸设备测试。

特别需要注意 RAID 卡的：

Write Back Cache
Read Ahead
磁盘 Cache
BBU / CacheVault
RAID Level
条带大小

都会明显影响测试结果。

短时间顺序写测试很容易被 RAID 卡缓存影响。

因此 RAID 持续性能测试建议：

测试文件 ≥ RAID 卡缓存很多倍
持续时间 60 秒以上

例如：

fio \
--name=raid_write \
--filename=/data/fio_test \
--size=50G \
--rw=write \
--bs=1M \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--runtime=60 \
--time_based \
--group_reporting

十九、空盘裸设备只读测试

如果只是想测试一块裸盘的读取性能，可以避免写入。

假设设备：

/dev/sdb

先再次确认：

lsblk /dev/sdb

顺序读取：

fio \
--name=raw_read \
--filename=/dev/sdb \
--readonly \
--rw=read \
--bs=1M \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--runtime=60 \
--time_based \
--group_reporting

随机读取：

fio \
--name=raw_randread \
--filename=/dev/sdb \
--readonly \
--rw=randread \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--runtime=60 \
--time_based \
--group_reporting

因为只有读取，不会主动覆盖磁盘内容。

二十、空盘裸设备破坏性测试

以下命令会覆盖目标磁盘数据。

只有在确定设备完全为空、数据可以全部丢弃时才可以执行。

假设测试：

/dev/sdb

建议先连续确认：

lsblk

fdisk -l /dev/sdb

确认无误后才进行测试。

顺序写：

fio \
--name=raw_write \
--filename=/dev/sdb \
--rw=write \
--bs=1M \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--runtime=60 \
--time_based \
--group_reporting

4K 随机：

fio \
--name=raw_randrw \
--filename=/dev/sdb \
--rw=randrw \
--rwmixread=70 \
--bs=4k \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--runtime=60 \
--time_based \
--group_reporting

执行以后：

原有文件系统
分区内数据
文件

都有可能损坏。

因此生产服务器除非测试全新空盘，否则不要使用裸盘写测试。

二十一、只想快速看读取速度

还可以使用：

hdparm -Tt /dev/sda

如果没有：

apt install -y hdparm

输出通常包含：

Timing cached reads
Timing buffered disk reads

需要注意：

hdparm -T

主要测试缓存/内存相关能力。

真正更值得关注的是：

hdparm -t

它只能简单查看顺序读取，不能替代 fio。

二十二、使用 dd 快速测试写入

简单测试：

dd if=/dev/zero of=/data/testfile bs=1G count=10 oflag=direct status=progress

测试完成：

rm -f /data/testfile

读取：

dd if=/data/testfile of=/dev/null bs=1G iflag=direct status=progress

不过 dd 主要只能看简单吞吐量。

如果需要：

IOPS
随机 IO
延迟
并发
队列深度
混合读写

还是应该使用：

fio

二十三、fio 结果怎么看

fio 最主要关注三个指标。

BW

BW

即 Bandwidth，吞吐量。

例如：

BW=1000MiB/s

代表大约：

1000 MiB/s

主要用于判断：

顺序读取
顺序写入

IOPS

IOPS

表示每秒完成多少次 IO 操作。

例如：

IOPS=100k

代表：

约 100000 次 IO / 秒

主要用于判断：

4K 随机性能
数据库
虚拟机
高并发存储

clat

clat

表示完成延迟。

常见单位：

nsec
usec
msec

换算关系：

1000 ns = 1 μs
1000 μs = 1 ms

通常：

延迟越低越好

但不能只看平均值。

还应该观察：

95%
99%
99.9%

高百分位延迟，因为它们更容易暴露磁盘卡顿和尾延迟问题。

二十四、不同磁盘不要只比较 MB/s

很多人测试硬盘只看：

2000MB/s
3000MB/s
5000MB/s

实际上顺序吞吐只是一个指标。

例如服务器用于：

数据库
PVE
VMware
Docker
大量虚拟机
大量小文件

更应该关注：

4K IOPS
QD1 延迟
QD32 性能
99% 延迟
持续写入稳定性

而备份服务器、大文件存储和视频存储通常更关注：

顺序读写吞吐

因此没有一个单独的数字可以代表一块磁盘的全部性能。

二十五、测试文件应该设置多大

简单验机：

5G～10G

普通 SSD / RAID：

20G～50G

希望降低缓存影响：

50G～100G 或更大

高性能企业 NVMe 测试持续性能时，可以根据磁盘容量和业务情况进一步增大。

原则是：

测试文件越小，越容易受到系统缓存、SSD SLC Cache、RAID Cache 等因素影响。

二十六、为什么第一次写很快，后面变慢

SSD 和 NVMe 经常存在：

SLC Cache

短时间写入时可能非常快。

当缓存写满以后，速度可能明显下降。

因此想测试持续写入性能，可以：

fio \
--name=sustained_write \
--filename=/data/fio_test \
--size=100G \
--rw=write \
--bs=1M \
--direct=1 \
--ioengine=libaio \
--iodepth=32 \
--runtime=300 \
--time_based \
--group_reporting

持续运行：

300 秒

比几秒钟的测试更能反映长期写入表现。

二十七、生产环境测试注意事项

生产环境中 fio 会真实产生磁盘负载。

测试期间可能造成：

网站响应变慢
数据库延迟升高
虚拟机卡顿
IO Wait 上升
RAID 阵列负载升高
SSD 写入量增加

因此推荐在业务低峰期进行。

尤其下面这种测试：

4K randwrite
4K randrw
多 Job
高 QD
持续几分钟

会给存储系统带来很高压力。

二十八、测试时同时观察系统 IO

可以安装：

apt install -y sysstat

然后：

iostat -x 1

重点关注：

r/s
w/s
rkB/s
wkB/s
await
%util

其中：

await

代表 IO 平均等待时间。

%util

可以辅助判断磁盘是否已经处于高负载。

二十九、推荐的标准测试组合

如果只是服务器验机，我通常建议至少跑以下几个项目：

这样得到的数据比单纯执行一次：

dd

更有参考意义。

三十、总结

Linux 下测试 HDD、SSD、NVMe、SAS 和 RAID，推荐统一使用：

fio

如果磁盘中已经存在数据：

使用测试文件

如果是一块完全空的新盘：

可以进行裸设备测试

如果只是测试裸盘读取：

可以使用只读测试

如果需要测试真实存储性能，建议同时观察：

顺序读写
4K IOPS
QD1
QD32
混合读写
平均延迟
99% 延迟
持续性能

对于机械盘、SSD、NVMe 和 RAID，也不要使用同一个数字简单判断好坏，因为它们的设计目标和性能特点本身就不同。

日常服务器验机建议优先使用文件方式，不破坏现有分区和数据；只有确认目标设备为空盘时，才考虑直接针对 /dev/sdX 或 /dev/nvmeXnY 进行写入测试。

大家好，我是云核筑梦家。

本文记录一下在 CentOS 9 上配置 ZeroTier 网络转发的方法，实现：

• ZeroTier 设备可以访问服务器所在内网

• 内网设备可以访问 ZeroTier 网络

• 开启 NAT 地址转换

• 放行 ZeroTier UDP 9993 端口

• 配置永久生效

适用于将一台 CentOS 9 服务器作为 ZeroTier 网关/旁路由 使用。

一、查看网卡

首先查看服务器网卡：

ip addr

例如：

eth0        # 本地物理网卡
ztxxxxxxxx  # ZeroTier 虚拟网卡

实际使用时，请把下面教程中的：

eth0
ztxxxxxxxx

修改成自己的网卡名称。

二、安装并启动 firewalld

CentOS 9 使用：

dnf install -y firewalld
systemctl enable --now firewalld

检查运行状态：

systemctl status firewalld

三、开启 IPv4 路由转发

执行：

cat >/etc/sysctl.d/99-ip-forward.conf <<'EOF'
net.ipv4.ip_forward = 1
EOF

sysctl --system

检查：

sysctl net.ipv4.ip_forward

正常应该显示：

net.ipv4.ip_forward = 1

四、配置 firewalld 网卡区域

物理网卡加入 public：

firewall-cmd --permanent --zone=public --add-interface=eth0

ZeroTier 网卡加入 trusted：

firewall-cmd --permanent --zone=trusted --add-interface=ztxxxxxxxx

其中 trusted 区域默认信任进入该区域的网络连接，适合用于可信的 ZeroTier 虚拟网络。

五、开启 NAT

执行：

firewall-cmd --permanent --zone=public --add-masquerade

这样 ZeroTier 设备通过 CentOS 9 访问物理网络时，可以进行 NAT 地址转换。

六、放行 ZeroTier UDP 9993

执行：

firewall-cmd --permanent --zone=public --add-port=9993/udp

七、允许 ZeroTier 与 LAN 双向转发

ZeroTier → LAN

firewall-cmd --permanent --new-policy ZT_TO_LAN
firewall-cmd --permanent --policy ZT_TO_LAN --add-ingress-zone trusted
firewall-cmd --permanent --policy ZT_TO_LAN --add-egress-zone public
firewall-cmd --permanent --policy ZT_TO_LAN --set-target ACCEPT

LAN → ZeroTier

firewall-cmd --permanent --new-policy LAN_TO_ZT
firewall-cmd --permanent --policy LAN_TO_ZT --add-ingress-zone public
firewall-cmd --permanent --policy LAN_TO_ZT --add-egress-zone trusted
firewall-cmd --permanent --policy LAN_TO_ZT --set-target ACCEPT

firewalld 的 Policy 用于控制不同 Zone 之间的转发流量，ingress-zone 表示流量进入区域，egress-zone 表示流量离开区域，设置 target ACCEPT 后允许对应方向的转发。

最后重新加载：

firewall-cmd --reload

八、检查配置

查看网卡所属 Zone：

firewall-cmd --get-active-zones

正常类似：

public
  interfaces: eth0

trusted
  interfaces: ztxxxxxxxx

查看 NAT 和端口：

firewall-cmd --zone=public --list-all

重点确认：

masquerade: yes
ports: 9993/udp

查看转发策略：

firewall-cmd --get-policies

应该可以看到：

LAN_TO_ZT
ZT_TO_LAN

进一步检查：

firewall-cmd --info-policy ZT_TO_LAN
firewall-cmd --info-policy LAN_TO_ZT

两边应该都是：

target: ACCEPT

九、配置 ZeroTier 路由

如果需要让其他 ZeroTier 客户端访问 CentOS 服务器所在的内网，还需要在 ZeroTier 控制端添加 Managed Route。

例如内网网段：

192.168.100.0/24

CentOS 的 ZeroTier 地址：

10.10.10.2

则添加：

Destination:
192.168.100.0/24

Via:
10.10.10.2

网络路径：

ZeroTier 客户端
       ↓
  ZeroTier 网络
       ↓
CentOS 9 ZeroTier 网卡
       ↓
    NAT / 转发
       ↓
      eth0
       ↓
    本地内网

十、内网主动访问 ZeroTier

如果只是：

ZeroTier → 内网

开启 NAT 后，一般不需要修改内网设备。

如果还需要：

内网 → ZeroTier

也就是内网设备主动访问 ZeroTier 地址，那么需要在内网主路由器增加一条静态路由。

例如 ZeroTier 网段：

10.10.10.0/24

CentOS 9 内网地址：

192.168.100.2

路由器增加：

目标网段：10.10.10.0/24
下一跳：192.168.100.2

这样即可实现完整的双向访问。

总结

CentOS 9 配置 ZeroTier 网关主要就是四部分：

开启 IPv4 转发
      +
配置 firewalld Zone
      +
开启 NAT Masquerade
      +
配置双向转发 Policy

核心检查命令：

sysctl net.ipv4.ip_forward

firewall-cmd --get-active-zones

firewall-cmd --zone=public --list-all

firewall-cmd --get-policies

只要确认：

net.ipv4.ip_forward = 1
masquerade: yes
9993/udp 已放行
ZT_TO_LAN = ACCEPT
LAN_TO_ZT = ACCEPT

CentOS 9 本机的 ZeroTier 转发环境基本就配置完成了。

需要注意，CentOS 9 防火墙配置完成并不代表路由已经完成。ZeroTier 客户端访问其他网段时，还需要正确配置 ZeroTier Managed Route；内网主动访问 ZeroTier 时，则需要在内网网关配置对应静态路由。

摘要： 本文记录华为 CE6855 交换机配置 sFlow v5 的完整过程，包括 Agent、Source、Collector、接口双向采样以及配置验证，可用于实时流量分析、Top IP、PPS 等监控场景。

大家好，我是云核筑梦家。

在网络流量监控场景中，如果只是想知道某个接口当前有哪些 IP 在跑大流量、实时 Top IP、PPS、协议分布等数据，其实没有必要把所有业务流量通过端口镜像完整复制到服务器。

这时候可以使用交换机自带的 sFlow 功能。

sFlow 会按照指定比例对经过接口的数据包进行采样，并将采样结果通过 UDP 发送到 Collector。相比全量端口镜像，sFlow 对采集服务器网卡和网络带宽的要求会低很多，非常适合核心交换机、高流量出口等场景。

本文以华为 CE6855-48S6Q-HI 为例进行配置。

一、先确认交换机是否支持 sFlow

进入系统视图，再进入需要采集的接口：

system-view
interface 10GE1/0/1

输入：

sflow ?

如果看到：

counter   Counter statistics of sampled flow
sampling  Sampling statistics of sampled flow

说明当前接口支持 sFlow。

继续查看：

sflow sampling ?

正常可以看到：

collector  The collector of sampled flow
inbound    Get inbound direction sampling packet
length     Specify the packet length of sampled flow
outbound   Get outbound direction sampling packet
rate       Specify the rate of sampled flow

这几个参数就是后面主要需要使用的配置。

二、确认交换机支持的最低采样率

这里不要直接照抄网上的 1024、2048 等参数，因为不同型号、不同 VRP 版本支持的范围可能不一样。

直接在交换机上查询：

sflow sampling rate ?

例如 CE6855 某些版本会显示：

INTEGER<4096-4294967295>  The specifed rate of sampled flow, the default is
                          8192.

这代表：

最低采样率：1:4096
默认采样率：1:8192

也就是说：

rate 4096 = 平均 4096 个包采样 1 个
rate 8192 = 平均 8192 个包采样 1 个

如果设备最低只支持 4096，那么配置：

sflow sampling rate 2048

会直接报错。

因此，采样率一定要以自己设备执行 sflow sampling rate ? 返回的范围为准。

本文示例使用：

1:4096

三、配置 sFlow Agent IP

首先配置 Agent IP：

sflow agent ip 10.10.10.10

这里的 Agent IP 可以理解为：

这台 sFlow 交换机对外的身份标识。

后续 Collector 收到数据后，可以通过 Agent IP 判断这些采样数据来自哪一台交换机。

建议使用一个长期稳定的地址，例如：

• LoopBack IP

• 管理 IP

• 专门用于设备标识的本机 IP

尽量不要使用后期可能经常修改的业务接口地址。

四、配置 sFlow Source IP

这里要注意：

Agent IP 和 Source IP 并不是同一个概念。

Agent IP：

用于告诉 Collector：“我是谁”

Source IP：

实际发送 sFlow UDP 报文时使用哪个源 IP

查看设备是否支持：

sflow source ?

如果出现：

ip
ipv6

则可以指定 IPv4 Source IP：

sflow source ip 10.10.10.10

如果网络规划允许，可以让 Agent 和 Source 使用同一个地址：

sflow agent ip 10.10.10.10
sflow source ip 10.10.10.10

这样 Collector 收到的数据会比较清晰。

需要注意：

这个 IP 必须是交换机自身拥有的地址，并且能够正常访问 Collector。

五、配置 sFlow Collector

假设采集服务器地址为：

10.20.20.20

配置：

sflow collector 1 ip 10.20.20.20

这里：

1

是 Collector ID。

后面接口配置时会通过这个 ID 指定采样数据发到哪个 Collector。

默认情况下 sFlow 使用：

UDP 6343

所以整体关系就是：

交换机
   │
   ├── Agent：10.10.10.10
   ├── Source：10.10.10.10
   │
   └── Collector：10.20.20.20:6343

六、给接口开启 sFlow

例如需要采集接口：

10GE1/0/1

进入接口：

interface 10GE1/0/1

配置：

sflow sampling collector 1
sflow sampling rate 4096
sflow sampling length 256
sflow sampling inbound
sflow sampling outbound

完成后退出：

quit

最后提交：

commit

完整配置如下：

system-view

sflow agent ip 10.10.10.10
sflow source ip 10.10.10.10
sflow collector 1 ip 10.20.20.20

interface 10GE1/0/1
sflow sampling collector 1
sflow sampling rate 4096
sflow sampling length 256
sflow sampling inbound
sflow sampling outbound
quit

commit

七、多个接口怎么配置

如果需要同时采集多个接口，只需要让这些接口使用同一个 Collector 即可。

例如：

interface 10GE1/0/1
sflow sampling collector 1
sflow sampling rate 4096
sflow sampling length 256
sflow sampling inbound
sflow sampling outbound
quit

interface 10GE1/0/2
sflow sampling collector 1
sflow sampling rate 4096
sflow sampling length 256
sflow sampling inbound
sflow sampling outbound
quit

interface Eth-Trunk10
sflow sampling collector 1
sflow sampling rate 4096
sflow sampling length 256
sflow sampling inbound
sflow sampling outbound
quit

commit

物理接口和 Eth-Trunk 都可以根据设备实际支持情况进行配置。

不需要：

一个接口配置一个 Collector

多个接口完全可以统一发送到同一个采集服务器。

八、sampling length 256 是什么意思

配置中有这样一条：

sflow sampling length 256

很多人第一次看到这里容易误解。

这个 256 不是限制接口流量，也不是限制数据包最大只能有 256 Byte。

它表示：

当一个业务报文被 sFlow 抽中以后，最多复制这个报文前 256 Byte 的内容发送给 Collector。

例如原始数据包：

1500 Byte

被 sFlow 抽中之后：

原始数据包 1500 Byte
        ↓
截取前 256 Byte
        ↓
封装到 sFlow Datagram
        ↓
发送给 Collector

但是 sFlow Sample 里面仍然会保存：

Original Frame Length

所以 Collector 知道这个原始数据包实际上是 1500 Byte，并不会因为只截取了前 256 Byte 就把流量计算成 256 Byte。

对于常见流量分析来说，256 Byte 已经能够包含大量有价值的信息，例如：

Ethernet
VLAN
QinQ
IPv4
IPv6
TCP
UDP
源 IP
目标 IP
源端口
目标端口
TCP Flags

所以如果主要用来做：

• Top IP

• PPS

• 协议分析

• 流量排行

• 大流量 IP 检测

256 一般已经足够。

九、真正影响采样精度的是 rate

如果想提高 sFlow 的统计精度，主要应该关注：

sflow sampling rate

而不是：

sflow sampling length

例如：

1:8192

和：

1:4096

相比，1:4096 的采样密度大约高一倍。

也就是说，在相同流量情况下，Collector 能够获得更多样本。

因此如果设备支持，并且主要用于实时发现大流量 IP，可以选择设备允许范围内较高的采样密度。

但并不是数字越小越好。

采样越密：

交换机生成的 Sample 越多
↓
sFlow 导出数据越多
↓
设备和 Collector 的处理压力越高

所以生产环境需要结合实际设备性能进行选择。

十、查看当前 sFlow 配置

部分 VRP 版本直接执行：

display sflow

可能会提示：

Error: Incomplete command found

可以先执行：

display sflow ?

如果看到：

configuration
message
packet

查看全部 sFlow 配置可以使用：

display sflow configuration all

正常会看到类似：

sFlow Version 5
-------------------------------------------------------------------------------
Agent IP Address   : 10.10.10.10
-------------------------------------------------------------------------------
Source IP Address  : 10.10.10.10
-------------------------------------------------------------------------------
Collector ID: 1
  IP Address    : 10.20.20.20
  UDP Port      : 6343
  Length        : 1400
-------------------------------------------------------------------------------

                             Sampling
----------------------------------------------------------------
Interface               CID     LEN    DIR          RAT
----------------------------------------------------------------
10GE1/0/1                 1      256    IN&OUT       4096
10GE1/0/2                 1      256    IN&OUT       4096
Eth-Trunk10               1      256    IN&OUT       4096
----------------------------------------------------------------

其中：

CID     = Collector ID
LEN     = Sampling Length
DIR     = 采样方向
RAT     = Sampling Rate
IN&OUT  = 入方向和出方向都启用

如果看到：

CID = 1
LEN = 256
DIR = IN&OUT
RAT = 4096

说明接口 sFlow 已经配置成功。

十一、端口镜像和 sFlow 能不能同时使用

在部分 CE6855 + VRP 版本实际测试中，原接口即使已经配置：

port-mirroring observe-port 1 inbound
port-mirroring observe-port 1 outbound

仍然可以继续增加：

sflow sampling collector 1
sflow sampling rate 4096
sflow sampling length 256
sflow sampling inbound
sflow sampling outbound

配置完成后可以分别检查：

display port-mirroring

以及：

display sflow configuration all

确认端口镜像与 sFlow 是否同时存在。

不过不同 CloudEngine 型号、VRP 版本可能存在差异，因此生产设备建议先选择一个接口进行测试，确认没有冲突后再批量配置。

十二、最终推荐配置模板

如果设备查询结果显示最低采样率为 4096，可以参考：

system-view

sflow agent ip <交换机Agent-IP>
sflow source ip <交换机Source-IP>
sflow collector 1 ip <采集服务器-IP>

interface <需要采集的接口>
sflow sampling collector 1
sflow sampling rate 4096
sflow sampling length 256
sflow sampling inbound
sflow sampling outbound
quit

commit

配置完成检查：

display sflow configuration all

如果能够正常看到：

Agent IP
Source IP
Collector
UDP Port 6343
接口
IN&OUT
LEN 256
RAT 4096

那么交换机侧的 sFlow 配置就已经完成。

总结

华为 CE 系列配置 sFlow，实际上核心就是三部分：

Agent / Source
      ↓
Collector
      ↓
接口 Sampling

如果只是需要查看：

哪个 IP 当前流量最大
接口 Top IP
PPS
协议分布
大流量异常

sFlow 会比单纯依赖 SNMP 更适合，也不需要将几十 Gbps 的原始业务流量全部复制到采集服务器。

需要注意的是，不同 CE 型号和 VRP 版本的 sFlow 参数范围可能不同，尤其是 sampling rate，不要直接照搬其他设备配置，先执行：

sflow sampling rate ?

确认当前设备实际支持范围，再进行配置。

摘要：记录安装 ESXi 7 时，通过 systemMediaSize=min 将系统存储调整为最小布局、为 VMFS6 datastore 释放更多空间的方法。

大家好，我是云核筑梦家，来自成都。

在一块 400GB SSD 上安装 ESXi 7.0U3d 后，ESXi 实际识别容量为 372.61GB，但默认创建的 datastore1 只有约 244.5GB。查看磁盘分区后可以发现，ESXi 给 VMFSL/ESX-OSData 系统分区分配了约 119.9GB。

如果希望减少系统分区占用，关键不是安装完成后再调整，也不是使用 Linux 自定义分区，而是必须在 ESXi 安装器第一次启动时传入：

systemMediaSize=min

无论使用 U 盘、物理光盘、iDRAC/iLO 虚拟介质、PXE 还是自动装机平台，原理都一样：必须让这个参数在安装器开始分区之前生效。

一、默认分区为什么占用这么大

本次测试环境如下：

默认分区大致如下：

这不是硬盘识别不完整，也不是存在一块可以直接划给 datastore 的未分配空间。VMFSL/ESX-OSData 用于保存系统状态、日志、组件、缓存和转储等内容。

从 ESXi 7.0 开始，系统存储布局发生了变化。对于容量足够的本地 SSD 或 HDD，安装器默认最多会为系统存储使用约 138GB 的十进制容量。

二、systemMediaSize 参数说明

从 ESXi 7.0 Update 1c 开始，官方提供了安装器启动参数 systemMediaSize，用于限制系统存储分区容量。

对于本次 400GB SSD，设置 systemMediaSize=min 后，VMFS6 datastore 正常情况下可以增加到约 340GB。实际容量会因十进制与二进制单位换算、对齐方式及具体版本存在少量差异。

官方说明：Boot option to configure the size of ESXi system partitions

三、最重要的操作原则

systemMediaSize=min 必须作为 ESXi 安装器启动参数，在安装器第一次启动、尚未创建磁盘分区时传入。

不同安装方式只是参数注入位置不同：

所以，“必须在装系统第一步设置”是对的，但不一定每次都要人工输入。批量部署时可以预先写进启动配置，最终只要安装器实际收到该参数即可。

四、手动安装操作方法

本方法适用于 U 盘、物理光盘、iDRAC/iLO 虚拟光驱等直接启动 ESXi 安装介质的场景。

1. 从 ESXi 安装介质启动

服务器从 ESXi ISO、U盘或虚拟光驱启动后，会进入 ESXi 安装器加载界面。

2. 在启动首屏按 Shift+O

在启动倒计时结束前按：

Shift+O

进入启动参数编辑界面。

3. 在原参数最后追加 systemMediaSize=min

不要删除原有参数，在最后先输入一个空格，再追加：

systemMediaSize=min

例如原参数为：

runweasel cdromBoot

修改后应为：

runweasel cdromBoot systemMediaSize=min

确认大小写和空格正确后按 Enter，继续安装。

五、PXE或自动安装操作方法

PXE 自动安装通常会加载远程 boot.cfg 和应答文件，例如：

Loading http://服务器地址/pxe/file/boot.cfg

启动参数中可能包含：

ks=http://服务器地址/pxe/file/ks.cfg

在 PXE 安装器启动首屏按 Shift+O，保留原有的 ks=、ksdevice= 和其他硬件兼容参数，在命令末尾追加：

systemMediaSize=min

例如：

ks=http://服务器地址/pxe/file/ks.cfg ksdevice=7c:d3:0a:55:d8:2c systemMediaSize=min

输入完成后按 Enter 继续安装。

如果需要长期批量使用，可以把参数直接加入 PXE 实际加载的 boot.cfg 或自动装机平台的 ESXi 启动模板中，避免每次手工输入。

六、PXE提示找不到MAC地址怎么办

如果启动界面提示：

Network boot: MAC address not found.
Add "BOOTIF=01-aa-bb-cc-dd-ee-ff" manually to the boot options.

需要根据实际 PXE 启动网卡的 MAC 地址补充 BOOTIF。

例如网卡 MAC 为：

7c:d3:0a:55:d8:2c

对应参数为：

BOOTIF=01-7c-d3-0a-55-d8-2c

最终命令末尾可以写成：

ksdevice=7c:d3:0a:55:d8:2c BOOTIF=01-7c-d3-0a-55-d8-2c systemMediaSize=min

BOOTIF 只用于帮助 PXE 安装器识别启动网卡，与磁盘容量设置不是同一个功能。如果界面没有相关警告，一般不需要额外添加。

七、使用自定义ISO自动带入参数

如果希望直接使用 ISO 安装，又不想每次按 Shift+O，可以修改 ISO 中 BIOS 和 UEFI 对应的两个配置文件：

/boot.cfg
/efi/boot/boot.cfg

找到：

kernelopt=runweasel cdromBoot

修改为：

kernelopt=runweasel cdromBoot systemMediaSize=min

修改后需要重新生成可启动 ISO。需要注意：如果服务器实际使用 PXE 启动，PXE 可能重新加载网络上的 boot.cfg，此时 ISO 内的修改不会参与本次安装，仍应修改实际的 PXE 启动参数。

八、安装完成后验证

安装完成并登录 ESXi Web 管理界面后，依次进入：

存储 → 设备 → 选择系统硬盘 → 分区详情

重点检查 VMFSL 和 VMFS 的容量。

对于本次 400GB SSD：

systemMediaSize=min 控制的是整个 ESXi 系统存储布局，不是单独把 VMFSL 设置为 33GB。因此，最终看到的单个 VMFSL 分区小于 33GB 属于正常现象。

九、常见错误

1. 安装完成后再尝试缩小 VMFSL

已经创建的 VMFSL 不能通过 ESXi Web 页面安全缩小。Broadcom 不支持安装完成后缩小 ESXi 系统分区，强行修改可能导致系统异常或无法启动。

2. 在本地硬盘启动界面添加参数

如果参数行中只有类似下面的内容：

autoPartition=FALSE bootUUID=xxxxxxxx

说明当前是在启动已经安装好的 ESXi，而不是启动安装器。在这里添加 systemMediaSize=min 不会重新划分硬盘。

3. 使用 Linux 自定义分区

ESXi 不使用 EXT4、XFS 或 Linux LVM 作为系统分区和 VMFS6 datastore。即使把名称填写成 VMFSL 或 VMFS，也不会因此变成 VMware 分区。

4. 只修改 ISO，但实际从 PXE 启动

PXE 可能从网络重新加载 boot.cfg，导致 ISO 内的修改没有被使用。判断时应以启动界面实际显示的配置来源和参数为准。

5. 使用 autoPartitionOSDataSize=6144

网上可以看到通过下面参数把 OSDATA 压缩到约 6GB的做法：

autoPartitionOSDataSize=6144

当前官方推荐的可控方案是 systemMediaSize=min，系统存储约 33GB。生产环境不建议为了多释放十几GB空间而把系统区压缩得过小，以免影响日志、补丁、组件和转储文件。

十、风险提醒

重新安装 ESXi 通常会清除目标硬盘上的系统、虚拟机和 datastore 数据。操作前务必确认：

• 已备份所有重要虚拟机和配置。

• 选择的是正确的目标硬盘。

• 安装方式会清除旧分区，而不是保留旧的 VMFS 布局。

• systemMediaSize=min 已经出现在本次安装器的实际启动参数中。

如果服务器对稳定性要求较高，更推荐使用独立的小容量高耐久 SSD 安装 ESXi，再将其他硬盘全部用于 VMFS6 数据存储。

总结

无论通过哪种方式安装 ESXi 7，只要希望减少 ESX-OSData 系统存储占用，都必须在安装器第一次启动、创建分区之前传入：

systemMediaSize=min

手动安装可以在启动首屏按 Shift+O 输入；PXE 或自动安装可以写入实际使用的 boot.cfg 或启动模板；自定义 ISO 也可以预先修改 boot.cfg。三种方式本质完全相同，都是把参数传给 ESXi 安装器。

参数生效后，400GB SSD 的 VMFS6 datastore 通常可以从约 244GB增加到约 340GB，同时保留官方支持的最小系统存储布局。

参考资料

• Broadcom：配置 ESXi 系统分区大小的启动选项

• Broadcom：ESXi 系统存储概述

• Broadcom：不支持在安装后缩小 ESXi OS 分区

一、故障现象

在安装 Linux 系统时，安装器报错类似：

SwapError: mkswap failed for '/dev/sda3'

安装界面里可能还会出现：

Installation Destination：No disks selected

或者提示：

Not enough space in file systems for the current software selection.

进入救援模式后查看磁盘，可以看到硬盘已经识别到了：

lsblk

示例输出：

NAME   MAJ:MIN RM   SIZE RO TYPE MOUNTPOINTS
loop0    7:0    0 756.9M  0 loop 
sda      8:0    0 931.5G  0 disk 
├─sda1   8:1    0     1M  0 part 
├─sda2   8:2    0  1000M  0 part 
└─sda3   8:3    0  15.7G  0 part

此时说明硬盘本身可以被系统识别，但是盘上存在安装失败后残留的分区信息，或者有旧的文件系统、swap、LVM、RAID 元数据残留，导致安装器在重新分区或创建 swap 时失败。

二、问题原因

这类问题常见原因有几个：

1. 上一次系统安装失败，磁盘上残留了半截分区表。

2. 磁盘之前做过 RAID、LVM、swap 或其他系统盘，残留了旧签名。

3. 安装器读取到旧的 GPT、PMBR、mdadm、dmraid 等元数据后，自动分区异常。

4. kickstart 自动安装时写死了目标盘，比如 /dev/sda，但磁盘状态不干净，导致分区流程失败。

本次问题中，/dev/sda 是一块 931.5G 的硬盘，空间本身足够，最终判断不是硬盘容量不足，而是磁盘残留信息导致安装器创建 swap 分区失败。

三、进入救援模式

如果系统还没装好，可以从安装 ISO 进入 Rescue Mode，也就是救援模式。

进入救援模式后，先查看磁盘：

lsblk
fdisk -l
cat /proc/partitions

确认目标安装盘是哪一块。

本次目标盘是：

/dev/sda

注意：后面的清理命令会清空整块磁盘数据，一定要确认目标盘正确，不要清错数据盘。

四、清理磁盘残留分区和签名

确认目标盘是 /dev/sda 后，执行下面命令：

swapoff -a 2>/dev/null

for p in /dev/sda?*; do
  umount "$p" 2>/dev/null
  wipefs -af "$p" 2>/dev/null
done

wipefs -af /dev/sda
dd if=/dev/zero of=/dev/sda bs=1M count=300 conv=fsync status=progress

partprobe /dev/sda 2>/dev/null
lsblk

执行完成后，如果正常，应该只看到整块硬盘本身，不应该再看到 sda1、sda2、sda3 这些分区。

正常示例：

NAME  MAJ:MIN RM   SIZE RO TYPE MOUNTPOINTS
loop0   7:0    0 756.9M  0 loop 
sda     8:0    0 931.5G  0 disk

这一步会清理磁盘开头的分区表、GPT、PMBR、文件系统签名等信息。

五、进一步清理 RAID / LVM / dmraid 残留

如果怀疑这块盘以前做过 RAID、LVM，或者安装器依旧识别异常，可以继续清理磁盘末尾的元数据。

很多 RAID、LVM 或磁盘阵列残留信息可能会写在磁盘末尾，所以建议把磁盘开头和末尾都清掉。

执行：

swapoff -a 2>/dev/null

for p in /dev/sda?*; do
  umount "$p" 2>/dev/null
done

for md in /dev/md* /dev/md/*; do
  [ -e "$md" ] && mdadm --stop "$md" 2>/dev/null
done

mdadm --zero-superblock --force /dev/sda 2>/dev/null
dmraid -r -E /dev/sda 2>/dev/null

wipefs -af /dev/sda

dd if=/dev/zero of=/dev/sda bs=1M count=300 conv=fsync status=progress

sectors=$(blockdev --getsz /dev/sda)
dd if=/dev/zero of=/dev/sda bs=512 seek=$((sectors-614400)) count=614400 conv=fsync status=progress

partprobe /dev/sda 2>/dev/null
sync

说明：

wipefs -af /dev/sda

用于清除系统能识别到的文件系统、swap、RAID、LVM 等签名。

dd if=/dev/zero of=/dev/sda bs=1M count=300

用于清理磁盘开头 300M。

dd if=/dev/zero of=/dev/sda bs=512 seek=$((sectors-614400)) count=614400

用于清理磁盘末尾 300M，避免 RAID 或 LVM 元数据残留。

六、检查是否清理干净

清理完成后，执行：

lsblk
wipefs -n /dev/sda
blkid /dev/sda
cat /proc/mdstat

正常情况下，lsblk 应该只看到一整块裸盘：

NAME  MAJ:MIN RM   SIZE RO TYPE MOUNTPOINTS
loop0   7:0    0 756.9M  0 loop 
sda     8:0    0 931.5G  0 disk

wipefs -n /dev/sda 没有任何输出，说明没有检测到文件系统或 RAID 签名。

blkid /dev/sda 没有任何输出，说明没有 UUID、文件系统、swap 等残留。

cat /proc/mdstat 显示：

Personalities : 
unused devices: <none>

说明当前没有软件 RAID 阵列在运行。

到这里，系统层面的分区表、swap、LVM、mdadm RAID、dmraid 残留基本已经清理干净。

七、重新安装系统

确认磁盘干净后，执行：

reboot

重启后重新进入正常系统安装流程即可。

如果使用 kickstart 自动安装，建议分区配置里加上清盘参数，例如：

ignoredisk --only-use=sda
zerombr
clearpart --all --initlabel --drives=sda
bootloader --location=mbr --boot-drive=sda

part biosboot --fstype=biosboot --size=1 --ondisk=sda
part /boot --fstype=xfs --size=1024 --ondisk=sda
part swap --fstype=swap --size=4096 --ondisk=sda
part / --fstype=xfs --grow --size=20480 --ondisk=sda

如果是 UEFI 启动，可以使用 EFI 分区，例如：

ignoredisk --only-use=sda
zerombr
clearpart --all --initlabel --drives=sda
bootloader --boot-drive=sda

part /boot/efi --fstype=efi --size=600 --ondisk=sda
part /boot --fstype=xfs --size=1024 --ondisk=sda
part swap --fstype=swap --size=4096 --ondisk=sda
part / --fstype=xfs --grow --size=20480 --ondisk=sda

实际用 BIOS 还是 UEFI，需要根据服务器启动模式决定。

八、如果还是无法安装

如果清理完成后，系统安装器仍然提示 RAID、Foreign、磁盘异常，或者依旧无法创建分区，那就不是 Linux 系统层面能完全处理的问题了。

这时需要检查 RAID 卡或服务器管理后台：

1. 进入 RAID 卡 BIOS，查看是否有 Foreign Config。

2. 清除 RAID 卡里的 Foreign 配置。

3. 如果是阵列卡管理的磁盘，需要重新创建 VD。

4. 在 iDRAC、iMana、iLO 或 BMC 里检查硬盘状态是否 Online。

5. 检查硬盘、盘架、背板、阵列卡是否有故障告警。

九、总结

这次问题的核心不是硬盘容量不够，而是磁盘上残留了安装失败后的分区、swap 或 RAID/LVM 相关元数据，导致安装器在创建 /dev/sda3 swap 分区时失败。

最终处理思路就是：

确认目标盘
停止占用
清理分区签名
清理磁盘开头
清理磁盘末尾
确认 wipefs / blkid 无输出
重新安装系统

只要 lsblk 里目标盘下面没有残留分区，wipefs -n 和 blkid 都没有输出，基本就可以作为一块干净盘重新安装系统。

大家好，我是云核筑梦家。
这次遇到一个比较特殊的问题：部分服务器安装系统后，Intel 网卡无法正常识别。由于问题机器无法直接联网，所以采用了一个折中的办法：先在一台正常服务器上安装好 Ubuntu 24，并提前放好 Intel Preboot/BootUtil 工具；然后把系统硬盘拆下来，装到网卡异常的服务器上，再在问题机器本地执行 BootUtil 操作。

本文记录完整操作流程，方便后续遇到类似问题时快速处理。

一、适用场景

本教程适合以下情况：

1. 服务器安装系统后，Intel 网卡无法正常识别；

2. 问题机器暂时无法通过网络安装依赖；

3. 可以先在另一台正常机器上安装系统；

4. 可以通过 IPMI、iKVM、显示器键盘进入问题机器；

5. 手上已有 Intel Preboot 工具包，例如 Preboot.tar.gz 点击下载

需要注意的是：
正常机器只负责准备系统和工具，真正刷写网卡的操作必须在问题机器上执行。

二、准备环境

本文测试系统为：

Ubuntu 24

需要准备的文件：

Preboot.tar.gz

假设文件已经上传到正常机器的 /root 目录下：

/root/Preboot.tar.gz

先确认文件存在：

ls -lh /root/Preboot.tar.gz

三、正常机器上做前期部署

先安装基础依赖：

apt update
apt install -y make gcc lrzsz build-essential dkms linux-headers-generic linux-headers-$(uname -r) pciutils ethtool net-tools vim tar

创建 Intel BootUtil 工作目录：

mkdir -p /opt/intel-oprom
cp /root/Preboot.tar.gz /opt/intel-oprom/
cd /opt/intel-oprom
tar zxvf Preboot.tar.gz

进入 BootUtil 目录：

cd /opt/intel-oprom/APPS/BootUtil

把 BootIMG.FLB 放到 Linux 工具目录：

cp -f BootIMG.FLB Linux_x64/

添加执行权限：

cd Linux_x64
chmod +x bootutil64e
chmod +x DRIVER/install

到这里，工具文件已经准备完成。

四、创建刷写脚本

为了避免在正常机器上误刷网卡，这里做一个带确认提示的脚本。只有输入大写 YES 才会继续执行刷写。

cat > /root/intel-oprom-flash.sh <<'EOF'
#!/bin/bash
set -e

cd /opt/intel-oprom/APPS/BootUtil/Linux_x64

echo "===== 安装 BootUtil 驱动 ====="
cd DRIVER
./install
cd ..

echo "===== 查看当前 Intel 网卡 ====="
./bootutil64e || true

echo
echo "注意：只有硬盘已经装到网卡有问题的机器上，才可以继续刷写。"
echo "如果现在还是正常机器，请直接回车退出。"
echo
read -p "确认当前是有问题的机器，并且要刷写？输入 YES 继续：" confirm

if [ "$confirm" != "YES" ]; then
  echo "已取消，没有刷写任何东西。"
  exit 0
fi

echo "===== 开启 Flash ====="
./bootutil64e -ALL -FLASHENABLE

echo "===== 刷入 Combo Option ROM ====="
./bootutil64e -ALL -UP=combo -FILE=BootIMG.FLB

echo "===== 完成，建议重启 ====="
EOF

chmod +x /root/intel-oprom-flash.sh

检查脚本权限：

ls -lh /root/intel-oprom-flash.sh

正常应该类似：

-rwxr-xr-x 1 root root 777 /root/intel-oprom-flash.sh

五、确认关键文件是否存在

执行下面三条命令，确认核心文件都在：

ls -lh /opt/intel-oprom/APPS/BootUtil/Linux_x64/bootutil64e
ls -lh /opt/intel-oprom/APPS/BootUtil/Linux_x64/BootIMG.FLB
ls -lh /opt/intel-oprom/APPS/BootUtil/Linux_x64/DRIVER/install

正常情况下应该能看到：

bootutil64e
BootIMG.FLB
DRIVER/install

确认无误后，正常机器上的准备工作就完成了。

六、关机并迁移硬盘

在正常机器上执行：

sync
poweroff

然后把这块已经准备好的系统硬盘拆下来，安装到网卡无法识别的服务器上。

这一步建议提前准备好：

1. IPMI / iKVM；

2. 显示器和键盘；

3. 服务器本地登录权限；

4. 电源和远程重启手段。

因为问题机器网卡可能还没恢复，所以不要完全依赖 SSH。

七、在问题机器上执行刷写

硬盘装到问题机器后，开机进入 Ubuntu 系统。

先查看 PCI 设备和网卡识别情况：

lspci -nn | grep -Ei "ethernet|network|intel"
ip link

然后执行前面准备好的脚本：

bash /root/intel-oprom-flash.sh

脚本会先安装 BootUtil 驱动，然后显示当前识别到的 Intel 网卡。

正常输出大概类似：

Intel(R) Ethernet Flash Firmware Utility
BootUtil version 1.43.32.0

Port Network Address  Location       Series   WOL Flash Firmware
==== ================ ============== ======= === ===============
1    002590C30E92     00000:005:00.0 Gigabit YES FLASH Disabled
2    002590C30E93     00000:005:00.1 Gigabit YES FLASH Disabled

这里说明 BootUtil 已经能识别到 Intel 网卡，但是当前 Flash 状态是 Disabled。

确认当前确实是问题机器后，输入：

YES

注意必须是大写 YES。
如果输入 yes 或直接回车，脚本会退出，不会执行刷写。

脚本继续执行后，会依次运行：

./bootutil64e -ALL -FLASHENABLE
./bootutil64e -ALL -UP=combo -FILE=BootIMG.FLB

其中：

-FLASHENABLE

表示开启网卡 Flash 写入。

-UP=combo -FILE=BootIMG.FLB

表示刷入 Combo Option ROM。

八、刷写完成后重启

刷写完成后建议重启服务器：

reboot

重启后再次检查网卡：

lspci -nn | grep -Ei "ethernet|network|intel"
ip link
dmesg | grep -Ei "igb|ixgbe|i40e|ice|e1000|firmware|net"

如果系统已经能看到网卡，就可以继续配置网络。

Ubuntu 24 可以通过 netplan 配置网络，例如：

ls /etc/netplan/

编辑对应配置文件：

nano /etc/netplan/01-netcfg.yaml

临时建议先使用 DHCP，确认网卡正常：

network:
  version: 2
  renderer: networkd
  ethernets:
    all-eth:
      match:
        name: "e*"
      dhcp4: true
      dhcp6: false

应用配置：

netplan generate
netplan apply

查看 IP：

ip addr

九、注意事项

1. 正常机器不要执行刷写

正常机器只负责安装系统、解压工具、准备脚本。
不要在正常机器上执行：

bash /root/intel-oprom-flash.sh

更不要手动执行：

./bootutil64e -ALL -FLASHENABLE
./bootutil64e -ALL -UP=combo -FILE=BootIMG.FLB

否则可能会刷到正常机器上的 Intel 网卡。

2. 优先使用 IPMI 或本地控制台

刷写网卡固件属于有风险操作。
如果服务器只有这一张网卡，刷写过程中一旦网络中断，SSH 可能会断开，所以强烈建议通过 IPMI、iKVM 或本地显示器键盘操作。

3. -ALL 会作用于所有支持的 Intel 网卡

脚本里使用的是：

-ALL

这表示对所有 BootUtil 可识别的 Intel 网卡执行操作。

如果机器上有多张 Intel 网卡，且只想刷指定网卡，可以先执行：

cd /opt/intel-oprom/APPS/BootUtil/Linux_x64
./bootutil64e

查看网卡编号后，改用指定 NIC：

./bootutil64e -NIC=1 -FLASHENABLE
./bootutil64e -NIC=1 -UP=combo -FILE=BootIMG.FLB

第二个网口可以执行：

./bootutil64e -NIC=2 -FLASHENABLE
./bootutil64e -NIC=2 -UP=combo -FILE=BootIMG.FLB

4. BootUtil 能识别网卡才有继续操作的意义

如果 lspci 都看不到网卡，可能是 BIOS、PCIe 插槽、转接板、硬件故障等问题。

如果 lspci 能看到网卡，但 ip link 看不到，可能是驱动、固件或系统内核模块问题。

如果 BootUtil 能看到网卡，才说明可以继续考虑使用 BootUtil 进行 Flash / Option ROM 操作。

十、完整流程总结

整体流程如下：

正常机器安装 Ubuntu 24
        ↓
上传 Preboot.tar.gz
        ↓
安装依赖并解压到 /opt/intel-oprom
        ↓
创建 /root/intel-oprom-flash.sh
        ↓
关机拆硬盘
        ↓
硬盘装到问题机器
        ↓
通过 IPMI / 显示器进入系统
        ↓
执行 bash /root/intel-oprom-flash.sh
        ↓
确认识别到 Intel 网卡
        ↓
输入大写 YES
        ↓
执行 FLASHENABLE 和 UP=combo
        ↓
重启服务器
        ↓
检查网卡是否恢复

十一、本次处理结果

本次问题机器执行脚本后，BootUtil 已经成功识别到两个 Intel Gigabit 网口：

Port 1  Gigabit  FLASH Disabled
Port 2  Gigabit  FLASH Disabled

说明 BootUtil 驱动安装正常，工具也能读取到网卡。
后续确认机器无误后，输入大写 YES 即可继续执行 Flash 开启和 Combo Option ROM 刷入。

本次处理方式的核心思路是：
先在正常机器上完成系统和工具预部署，再把硬盘迁移到问题服务器，最后在问题服务器本地执行 BootUtil 操作。这样可以避免问题机器因网卡不可用导致无法下载安装依赖的问题。

在 Windows 10 / Windows 11 首次开机（OOBE 初始化阶段）时，系统默认强制联网并登录 Microsoft 账户，这在以下场景中非常不方便：

• 离线环境安装系统

• 测试机 / 服务器 / 实验机

• 不希望绑定微软账号

• 批量装机

本文介绍一种 无需断网、无需修改注册表、无需脚本 的方法，直接在 OOBE 阶段唤起 本地账户创建页面。

一、适用系统范围

实测可用（不同版本界面略有差异）：

• Windows 10 22H2

• Windows 11 21H2 / 22H2 / 23H2 / 24H2

• 家庭版 / 专业版均可

该方法基于 Windows 内部 OOBE 组件，属于系统原生能力。

二、操作步骤（核心）

1️⃣ 进入首次开机界面（OOBE）

正常安装 Windows 后，进入以下界面之一：

• 选择国家/地区

• 选择键盘布局

• 准备联网

不要继续下一步

2️⃣ 打开命令提示符

同时按下键盘：

Shift + F10

屏幕会弹出一个 CMD（命令提示符）窗口。

3️⃣ 输入命令

在 CMD 中输入以下命令并回车：

start ms-cxh:localonly

4️⃣ 创建本地账户

此时系统会：

• 直接弹出 “创建本地账户”界面

• 不再要求联网

• 不要求登录 Microsoft 账户

按提示输入：

• 用户名

• 密码（可选）

完成后即可正常进入系统。

三、原理说明（简要）

ms-cxh: 是 Windows 内部使用的 URI 协议，用于调用 OOBE（首次启动配置）相关组件。

参数含义：

• localonly：
  👉 强制进入 本地账户创建流程
  👉 跳过联网校验
  👉 跳过 Microsoft 账户登录逻辑

该入口是 系统内部预留路径，并非第三方工具，也不依赖漏洞。

硬盘原先在 华为服务器 上通过 SAS2208 阵列卡 创建了 RAID 阵列。
后来将该硬盘转接到其他服务器上（使用直通 HBA 模式的控制卡），在 Linux / Windows 系统安装镜像 下无法识别到硬盘。

但在 PE 环境（如 WinPE） 中可以检测并读取到硬盘信息，说明硬件连接正常，问题出在硬盘残留的阵列信息上。

⚙️ 问题原因

SAS2208 阵列卡在创建 RAID 时，会在磁盘的尾部写入阵列配置元数据（RAID Metadata）。
即使删除阵列或更换控制卡，这部分信息仍会残留，导致系统误判磁盘状态，从而在安装系统时无法识别。

✅ 解决方法

1. 启动服务器进入 PE 环境（或救援系统）；

2. 打开 DiskGenius 工具；

3. 找到目标硬盘，执行：

   • 菜单栏选择：工具 → 清除扇区；

   • 清除范围选择：最后 64 个扇区；

4. 执行完成后保存退出；

5. 重启服务器，再次进入系统安装界面，即可正常识别硬盘。

💡 补充说明

此操作仅清除 RAID 阵列的残留元数据，不影响正常数据区间。
若硬盘中仍需保留数据，请在执行前做好完整备份。

1. 获取安装包

   • 在本文底部提供下载按钮，可获取升级所需的 ISO/ZIP 文件

2. 适用范围

   • 本教程仅适用于 SAS2208 芯片 RAID 控制卡

   • 非该芯片请勿升级，以免损坏设备

1️⃣ 上传镜像文件

1.1 在虚拟控制台工具栏中点击 “光驱” 并选择 ISO 镜像文件

提示：首次上传文件可能会自动执行升级，若失败，请按 c 进入手动模式

1.2 进入手动模式后，在操作系统 Shell 界面执行以下步骤

2️⃣ 挂载镜像与拷贝升级文件

# 挂载设备到 /mnt 目录
mount /dev/sr0 /mnt

# 拷贝 RAID 卡升级文件到 /tmp
cp /mnt/Project/RAID***.zip /tmp

# 进入 /tmp 目录
cd /tmp

# 解压升级文件
unzip RAID***.zip

💡 提示：

• 替换 RAID***.zip 为实际文件名

• 确保 /tmp 有足够空间

3️⃣ 执行升级

# 加载升级工具
chmod +x ./tools/storcli64

# 执行固件升级（替换文件名为实际 ROM 文件）
./tools/storcli64 /c0 download file=2208FW8.rom

⚠️ 注意：

• 升级过程大约 10~30 分钟，请耐心等待

• 升级期间不要断电或退出 Shell

4️⃣ 升级完成重启

reboot

✅ 提示：重启后，RAID 控制卡将运行新固件，掉盘降速问题应得到解决

📥 下载地址

点击下载所需 ISO/ZIP 文件，确保文件来源可靠，以防升级失败
点击下载

🔍 建议

1. 升级前备份重要数据

2. 确认当前 RAID 配置及阵列状态

3. 升级完成后可执行以下命令验证固件版本：

./tools/storcli64 /c0 show

• 基于 IP + 端口 的 TCP 监测

• 宕机自动推送通知

  • PushDeer（钉钉/微信/Telegram 通知可替换）

  • Server酱（微信推送）

• 日志记录失败信息

• 可后台常驻运行

1️⃣ 脚本内容（示例）

#!/bin/bash

# 配置监控服务器列表：IP 端口 备注
servers=(
    "223.5.5.5 80 主服务器"
    "114.114.114.114 53 DNS对照组"
)

# 连接超时时间（秒）
timeout=3

# 检测函数
check_server() {
    server=($1)
    host=${server[0]}
    port=${server[1]}
    note=${server[2]}

    # TCP 检测
    if ! timeout $timeout bash -c "echo >/dev/tcp/$host/$port"; then
        current_time=$(date '+%Y-%m-%d %H:%M:%S')
        log="$current_time - $host:$port $note 连接失败"
        message="监控点:[四川成都] $host:$port $note 无法访问 ${current_time}"

        # PushDeer 推送
        curl -G "https://api2.pushdeer.com/message/push" \
            --data-urlencode "pushkey=******************" \
            --data-urlencode "text=${message}" \
            --data-urlencode "desp="

        # Server酱推送
        curl -X POST "https://sctapi.ftqq.com/******" -d "title=${message}"

        # 写入日志
        echo "$log" >> tcp.log
    fi
}

# 主循环
while true; do
    for server in "${servers[@]}"; do
        check_server "$server" &
    done

    wait
    sleep 5  # 每 5 秒检测一次
done

2️⃣ 脚本使用方法

2.1 运行脚本

nohup sh tcp_monitor.sh &

• nohup 可以让脚本在后台长期运行

• & 表示后台执行

2.2 查看脚本运行情况

ps -aux | grep tcp_monitor.sh

2.3 查看日志

tail -f tcp.log

3️⃣ 脚本配置说明

• servers
  格式："IP PORT 备注"
  可自由添加多行，支持不同服务端口

• timeout
  TCP 连接检测超时（秒），防止阻塞

• 推送方式

  • PushDeer：可推送到微信、Telegram、钉钉

  • Server酱：可推送到微信

  • 可自行增加 Email 或其他 API

• sleep 5
  设置检测间隔，可根据需要调整

4️⃣ 注意事项

1. 确保 curl 已安装

sudo apt install curl   # Ubuntu/Debian
sudo yum install curl   # CentOS/RHEL

2. 后台运行与日志管理

   • 脚本会持续写入 tcp.log

   • 建议定期清理或轮转日志

3. 监控稳定性

   • 若监控节点过多，可调整并发检测逻辑

   • TCP 检测失败可能是临时网络抖动，推送策略可考虑加防抖逻辑

📌 开局前提

• 新交换机需 恢复出厂设置

• Console 连接波特率：9600

• 适用版本：V200R005

⚠️ 提示：如果忘记密码，请先参考忘记密码恢复教程

1️⃣ 创建SSH管理用户

目标：创建用户名 dcimaaa 并开启 SSH 登录权限

system-view                       # 进入特权模式
aaa                                # 进入用户配置模式
local-user dcimaaa password irreversible-cipher ******  # 创建用户并设置密码
local-user dcimaaa service-type ssh                        # 开启 SSH 登录
local-user dcimaaa level 3                                 # 设置权限级别（CE系列最高3，S系列最高15）
local-user yonghuming service-type telnet terminal ssh    # 启用登录协议
display current-configuration | include user               # 查看账户信息

stelnet server enable                                      # 开启 SSH 服务
ssh user dcimaaa service-type stelnet                      # 用户支持 SSH 登录
ssh user dcimaaa authentication-type password             # SSH 登录方式为密码

user-interface vty 0 4
authentication-mode aaa
protocol inbound ssh

✅ 提示：

• 完成后即可通过 SSH 远程登录交换机

• 建议立即修改密码，确保安全

2️⃣ 配置 VLAN100 并分配管理 IP

目标：创建 VLAN100，设置管理 IP 10.0.0.154/24，网关 10.0.0.1

system-view                 
vlan 100                     # 创建 VLAN100
interface vlanif 100          # 创建 VLANIF100
ip address 10.0.0.154 255.255.255.0  # 分配管理 IP
quit                          # 返回上一级
ip route-static 0.0.0.0 0.0.0.0 10.0.0.1  # 配置默认路由

⚠️ 注意：

• 确保 IP 地址与网段及网关一致

• VLANIF 必须与上联接口配置匹配

3️⃣ 配置上联口为 Trunk 并放行 VLAN100

假设上联口为 10GE 1/0/1

system-view
interface 10GE 1/0/1
port link-type trunk             # 配置为 trunk 口
undo port trunk allow-pass vlan 1  # 禁用 VLAN1
port trunk allow-pass vlan 100   # 放行 VLAN100
quit

✅ 提示：

• 上联口用于连接核心交换机或路由器

• trunk 口可以承载多个 VLAN，通过 allow-pass 指定放行 VLAN

4️⃣ 配置接入口并放行 VLAN100

假设接入端口为 GE 1/0/1 到 GE 1/0/48

system-view
interface range GE 1/0/1 to GE 1/0/48  
port link-type access        # 设置为 access 口
port default vlan 100        # 放行 VLAN100
quit

⚠️ 提示：

• access 口通常连接终端设备

• VLAN 与 VLANIF 保持一致，保证管理通信

5️⃣ 保存配置

quit   # 退出到非特权模式
save   # 保存配置，输入 y 确认

✅ 提示：

• 保存后，交换机重启配置仍然生效

• 保存前可通过 display current-configuration 检查

6️⃣ 验证配置

1. SSH 登录测试

ssh dcimaaa@10.0.0.154

2. 查看 VLAN 与接口配置

display vlan brief
display interface brief

3. 查看路由配置

display ip routing-table

⚠️ 注意：

• 若无法访问，请确认 VLAN、接口和默认路由配置正确

• 检查防火墙或安全策略是否阻止 SSH

7️⃣ 提示与注意事项

• 忘记密码：请参考忘记密码恢复教程

• 安全性：创建 SSH 用户后，建议立即修改默认密码

• 网络一致性：确保管理 IP、网关和 VLAN 与实际网络匹配

• 操作期间勿断电，避免设备启动失败

当你使用华为交换机时，如果忘记了 登录密码 或 串口（Console）密码，可以通过初始化配置恢复访问权限。

⚙️ 操作步骤

1️⃣ 进入串口（Console）模式

• 通过 Console 口连接交换机。

• 重启交换机电源，准备进入恢复模式。

2️⃣ 进入 BootRom 恢复菜单

• 开机过程中按下 Ctrl + B 键。

• 进入 BootRom 恢复菜单，用于初始化和密码恢复操作。

• 菜单默认初始密码：

Admin@huawei.com

3️⃣ 清除控制台密码

• 在菜单中选择 “7” → 清除控制台（Console）密码。

• 然后选择 “1” → 以默认模式启动交换机。

✅ 提示：

• 此操作会重置 Console 登录密码为默认状态，但不会影响其他配置（如 VLAN、接口配置）。

• 确保在操作前备份重要配置，以防意外丢失。

🔍 验证操作

1. 使用 Console 重新连接交换机。

2. 输入默认用户名/密码，确认能成功登录：

用户名：admin
密码：Admin@huawei.com

3. 根据需要重新设置登录密码：

[Huawei] system-view
[Huawei] aaa
[Huawei-aaa] local-user <用户名> password irreversible-cipher <新密码>

⚠️ 注意事项

1. 操作期间勿断电，避免设备启动失败。

2. 仅限管理员操作，防止非授权人员重置设备。

3. 初始化恢复后，建议立即修改密码，确保网络安全。

假设你购买了一台位于 北京的多线云服务器，服务商为你提供了三个公网 IP 地址，分别对应不同的运营商网络：

你希望实现的目标是：

• 电信用户 → 访问 1.1.1.1

• 联通用户 → 访问 2.2.2.2

• 移动用户 → 访问 3.3.3.3

这类需求就是典型的 DNS 多线智能解析 场景。

⚙️ 操作步骤

① 登录 DNS 解析平台

进入你的域名解析服务商平台（如阿里云、腾讯云、Cloudflare国内版、华为云DNS等）。

② 选择需要配置的域名

在“域名列表”中找到要设置的域名，例如：

example.com

③ 添加多线路解析记录

以主机名 www 为例（也可以根据需要使用其他前缀或根域名 @）：

在部分平台上，“线路类型”可能显示为：

• 电信（Telecom）

• 联通（Unicom）

• 移动（CMCC / China Mobile）

根据平台实际选项进行选择即可。

🔍 验证解析效果

1. 使用命令行测试

   nslookup www.example.com

   或者：

   dig www.example.com

   在不同运营商的网络环境下执行，返回的 IP 应该对应各自线路的 IP 地址。

2. 使用在线工具
   可通过工具如 https://tool.chinaz.com/dns 查询不同省份/运营商的解析结果是否正确。

⚠️ 注意事项

1. 解析平台需支持多线功能
   目前阿里云、腾讯云、华为云 DNS 均支持；但部分海外 DNS（如 Cloudflare 国际版）不支持中国运营商多线识别。

2. 优先级与默认线路
   若访问者运营商未被识别，建议添加一条“默认”线路解析：

   www → 默认 → 1.1.1.1

   这样可避免部分解析失败的情况。

3. TTL 设置
   建议设置 TTL 为 300 秒（5 分钟）左右，以便线路切换或变更能及时生效。

✅ 小结

通过为同一主机名设置不同运营商的解析记录，就能实现：

• 电信用户自动访问电信 IP

• 联通用户自动访问联通 IP

• 移动用户自动访问移动 IP

这种方式无需额外程序或设备支持，仅通过 DNS 平台即可实现简单、高效的 多线分流访问。

💡提示：
若设备为 CE 系列交换机，请参考专文：
👉《华为 CE 系列交换机限速配置指南》

一、使用 QoS 命令直接限速（适用于普通接口）

这种方式配置简单，适用于需要快速限制端口带宽的场景。
以下示例将端口上行/下行速率限制为 50Mbps：

[Huawei] interface GigabitEthernet0/0/1
[Huawei-GigabitEthernet0/0/1] qos lr outbound cir 51200
[Huawei-GigabitEthernet0/0/1] qos lr inbound cir 51200

📘说明：

• cir 51200 表示速率为 51200 Kbps（即 50 Mbps）

• inbound 表示入方向限速，outbound 表示出方向限速

• 适合快速限速单接口、接入层设备

二、使用流策略限速（适用于聚合口 / 精细化限速）

当接口为聚合口（如 Eth-Trunk）或需要对不同流量进行分类限速时，可使用流策略（traffic policy）方法。

1️⃣ 创建流行为（定义限速参数）

以 50Mbps 为例：

[Huawei] traffic behavior BW50M
[Huawei-behavior-BW50M] car cir 51200 pir 51200 cbs 6400000 pbs 6400000 mode color-blind
[Huawei-behavior-BW50M] quit

参数说明：

• cir：承诺速率（Committed Information Rate）

• pir：峰值速率（Peak Information Rate）

• cbs/pbs：突发缓存大小（可保持默认或根据业务调整）

• color-blind 模式：不区分包颜色，统一按照速率策略执行

2️⃣ 创建匹配策略并绑定行为

[Huawei] traffic policy BW50M
[Huawei-trafficpolicy-BW50M] classifier any behavior BW50M
[Huawei-trafficpolicy-BW50M] quit

说明：

• classifier any 表示匹配所有流量

• 可根据需要修改为 classifier <class-name> 来匹配特定源/目的IP、VLAN等

3️⃣ 将流策略应用到接口（以 Eth-Trunk 为例）

[Huawei] interface Eth-Trunk0
[Huawei-Eth-Trunk0] traffic-policy BW50M inbound
[Huawei-Eth-Trunk0] traffic-policy BW50M outbound

✅ 建议同时配置 inbound 与 outbound，确保上下行带宽均受限。

三、配置验证

可通过以下命令检查策略应用情况：

display traffic-policy user-interface
display qos lr

或实时查看接口速率变化：

display interface Eth-Trunk0 | include rate

四、总结建议

在多IP或多网卡服务器中，默认所有流量都走主路由出口。
但在某些情况下，我们希望让指定目标网段通过特定源IP访问，例如：

• 一台服务器绑定多个公网IP，想让不同目标网站使用不同出口；

• 需要从指定源IP访问合作方系统；

• 内外网并存时，想强制某流量走内网。

本文总结 三种通用实现方式，在 CentOS / Ubuntu / Debian / Rocky / AlmaLinux / openEuler 等系统均可使用。

二、方法一：策略路由（Policy Routing）【推荐】

🧩 示例需求

从源IP 10.0.0.3 访问目标网段 1.1.1.0/24
指定网关为 10.0.0.254，网卡为 eth0。

1️⃣ 创建自定义路由表

编辑 /etc/iproute2/rt_tables，添加一行：

echo "200 custom_table" >> /etc/iproute2/rt_tables

2️⃣ 在该表中添加默认路由

ip route add default via 10.0.0.254 dev eth0 table custom_table

3️⃣ 建立策略规则

ip rule add to 1.1.1.0/24 lookup custom_table

4️⃣ 指定源IP绑定

ip route add default via 10.0.0.254 dev eth0 src 10.0.0.3 table custom_table

5️⃣ 验证生效

ip rule show | grep 1.1.1.0
ip route show table custom_table
tcpdump -i eth0 src 10.0.0.3 and dst 1.1.1.0/24

✅ 持久化配置（根据系统不同）

CentOS / RHEL / Rocky / AlmaLinux：

echo "to 1.1.1.0/24 lookup custom_table" > /etc/sysconfig/network-scripts/rule-eth0
echo "default via 10.0.0.254 dev eth0 src 10.0.0.3" > /etc/sysconfig/network-scripts/route-custom_table

⚠️ 权限需为 644，否则系统可能忽略。

Ubuntu / Debian：

Ubuntu 18+ / Debian 10+ 默认使用 netplan 或 systemd-networkd。
两种方法任选其一：

方法A：Netplan 方式

编辑配置文件 /etc/netplan/01-netcfg.yaml：

network:
  version: 2
  ethernets:
    eth0:
      dhcp4: no
      addresses: [10.0.0.3/24]
      routes:
        - to: 1.1.1.0/24
          via: 10.0.0.254
          table: 200
      routing-policy:
        - to: 1.1.1.0/24
          table: 200

保存后应用：

netplan apply

方法B：开机脚本方式（兼容旧系统）

cat >/etc/networkd-dispatcher/routable.d/10-custom-route <<'EOF'
#!/bin/bash
ip route add default via 10.0.0.254 dev eth0 src 10.0.0.3 table custom_table
ip rule add to 1.1.1.0/24 lookup custom_table
EOF
chmod +x /etc/networkd-dispatcher/routable.d/10-custom-route

此脚本会在网络接口启动后自动执行，Ubuntu 16~22.04 均适用。

三、方法二：iptables SNAT（修改源IP）

通过SNAT让发往目标网段的流量自动改为指定源IP。

iptables -t nat -A OUTPUT -d 1.1.1.0/24 -j SNAT --to-source 10.0.0.3

保存规则：

CentOS / RHEL 系列：

yum install -y iptables-services
service iptables save
systemctl enable iptables

Ubuntu / Debian 系列：

apt install -y iptables-persistent
netfilter-persistent save

验证：

iptables -t nat -L -n -v
curl --connect-timeout 5 http://1.1.1.1

四、方法三：手动静态路由（简易版）

适用于无需复杂策略的小场景。

ip route add 1.1.1.0/24 via 10.0.0.254 src 10.0.0.3 dev eth0

要持久化：

• CentOS / RHEL：

  echo "1.1.1.0/24 via 10.0.0.254 src 10.0.0.3 dev eth0" >> /etc/sysconfig/network-scripts/route-eth0

• Ubuntu / Debian：

  echo "up ip route add 1.1.1.0/24 via 10.0.0.254 src 10.0.0.3 dev eth0" >> /etc/network/interfaces

五、常见问题与注意事项

1️⃣ 网关验证

确保网关正确：

ip route show default

2️⃣ 策略优先级

如系统已有其他策略，可指定优先级：

ip rule add to 1.1.1.0/24 lookup custom_table priority 1000

3️⃣ 防火墙干扰

如启用 firewalld，建议禁用或放行相关规则：

systemctl stop firewalld && systemctl disable firewalld

4️⃣ 检查生效状态

ip rule show
ip route show table custom_table

六、总结对比

七、完整验证流程

1. 查看策略表：

   ip rule show

2. 查看自定义路由：

   ip route show table custom_table

3. 抓包验证：

   tcpdump -i eth0 src 10.0.0.3 and dst 1.1.1.0/24

4. 测试连通性：

   curl -4 -I http://1.1.1.1

✅ 总结

推荐使用 策略路由（Policy Routing），兼容所有主流Linux系统，灵活可靠。
若仅需短期修改源IP，可用 iptables SNAT。
小规模静态出口可用 静态路由绑定源IP。

简介

在华为 X6000 服务器中，可以通过 iBMC 管理界面 快速定位和查看硬件状态，包括 CPU、内存、风扇、电源 等信息。
本文提供了 华为 X6000 XH321V5 / XH321V3 节点的内存槽位分布图，可用于快速判断内存条对应的物理位置，方便排查故障或扩容升级。

注意事项

• 双路 CPU 建议使用 型号一致 的处理器。

• 内存封装类型 必须一致，常见类型如：1Rx8、2Rx4、4Rx8 等，不可混插。

• 内存频率与品牌 尽量保持一致，以确保系统稳定性与性能。

本教程适用于 Ubuntu 22.04 及之后版本 的系统。

Ubuntu 系统默认使用的官方源（archive.ubuntu.com）通常位于国外，国内访问时延迟高、带宽受限，常常导致软件更新速度极慢，甚至直接失败。

更换为国内镜像源不仅能让 apt update 和 apt upgrade 的速度提升数倍，还能大幅提升系统更新的稳定性。

国内常用的 Ubuntu 镜像源包括：

• 🟢 阿里云（Aliyun）

• 🟣 清华大学（TUNA）

• 🟠 中国科学技术大学（USTC）

• 🔵 网易（163）

• 🟡 华为云（Huawei Cloud）

本文将以 阿里云源 为示例，并提供其他源的配置作为参考。

一、查看系统版本

先确认你当前的 Ubuntu 版本代号（如 jammy、focal）：

lsb_release -a

示例输出：

Distributor ID: Ubuntu
Description:    Ubuntu 22.04.3 LTS
Release:        22.04
Codename:       jammy

⚠️ 注意：
Codename（版本代号）是选择镜像源配置的关键，例如：

• Ubuntu 22.04 → jammy

• Ubuntu 20.04 → focal

• Ubuntu 18.04 → bionic

二、备份旧源文件

在修改前务必备份原有源文件，以防出现问题可快速恢复：

sudo cp /etc/apt/sources.list /etc/apt/sources.list.bak

三、编辑源列表

使用文本编辑器打开源文件（推荐使用 nano）：

sudo nano /etc/apt/sources.list

清空文件内容，然后根据系统版本选择对应的源配置粘贴进去。

国内镜像源配置模板

✅ 阿里云镜像源（推荐）

Ubuntu 22.04（Jammy Jellyfish）

deb https://mirrors.aliyun.com/ubuntu/ jammy main restricted universe multiverse
deb https://mirrors.aliyun.com/ubuntu/ jammy-security main restricted universe multiverse
deb https://mirrors.aliyun.com/ubuntu/ jammy-updates main restricted universe multiverse
deb https://mirrors.aliyun.com/ubuntu/ jammy-backports main restricted universe multiverse
# deb https://mirrors.aliyun.com/ubuntu/ jammy-proposed main restricted universe multiverse

Ubuntu 20.04（Focal Fossa）

deb https://mirrors.aliyun.com/ubuntu/ focal main restricted universe multiverse
deb https://mirrors.aliyun.com/ubuntu/ focal-security main restricted universe multiverse
deb https://mirrors.aliyun.com/ubuntu/ focal-updates main restricted universe multiverse
deb https://mirrors.aliyun.com/ubuntu/ focal-backports main restricted universe multiverse
# deb https://mirrors.aliyun.com/ubuntu/ focal-proposed main restricted universe multiverse

✅ 清华大学镜像源（TUNA）

deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy main restricted universe multiverse
deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-updates main restricted universe multiverse
deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-backports main restricted universe multiverse
deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-security main restricted universe multiverse
# deb https://mirrors.tuna.tsinghua.edu.cn/ubuntu/ jammy-proposed main restricted universe multiverse

✅ 中国科学技术大学镜像源（USTC）

deb https://mirrors.ustc.edu.cn/ubuntu/ jammy main restricted universe multiverse
deb https://mirrors.ustc.edu.cn/ubuntu/ jammy-updates main restricted universe multiverse
deb https://mirrors.ustc.edu.cn/ubuntu/ jammy-backports main restricted universe multiverse
deb https://mirrors.ustc.edu.cn/ubuntu/ jammy-security main restricted universe multiverse
# deb https://mirrors.ustc.edu.cn/ubuntu/ jammy-proposed main restricted universe multiverse

✅ 网易镜像源（163）

deb http://mirrors.163.com/ubuntu/ jammy main restricted universe multiverse
deb http://mirrors.163.com/ubuntu/ jammy-updates main restricted universe multiverse
deb http://mirrors.163.com/ubuntu/ jammy-backports main restricted universe multiverse
deb http://mirrors.163.com/ubuntu/ jammy-security main restricted universe multiverse
# deb http://mirrors.163.com/ubuntu/ jammy-proposed main restricted universe multiverse

✅ 华为云镜像源（Huawei Cloud）

deb https://repo.huaweicloud.com/ubuntu/ jammy main restricted universe multiverse
deb https://repo.huaweicloud.com/ubuntu/ jammy-updates main restricted universe multiverse
deb https://repo.huaweicloud.com/ubuntu/ jammy-backports main restricted universe multiverse
deb https://repo.huaweicloud.com/ubuntu/ jammy-security main restricted universe multiverse
# deb https://repo.huaweicloud.com/ubuntu/ jammy-proposed main restricted universe multiverse

四、更新软件包索引

保存修改并退出编辑器（nano 下为 Ctrl+O → 回车 → Ctrl+X），然后更新软件包索引：

sudo apt update

若要同时更新系统软件，可执行：

sudo apt upgrade -y

五、验证换源结果

若在更新过程中输出中出现 mirrors.aliyun.com、mirrors.tuna.tsinghua.edu.cn 等字样，且无报错，即表示换源成功。
可以尝试安装一个包来验证下载速度：

sudo apt install htop -y

六、恢复默认源（可选）

若更换后出现问题，可随时恢复官方源：

sudo mv /etc/apt/sources.list.bak /etc/apt/sources.list
sudo apt update

七、附加小技巧

• 🧠 想切换不同源？只需替换 URL 域名（如 mirrors.aliyun.com → mirrors.tuna.tsinghua.edu.cn），其他部分保持不变即可。

• 🚀 如果你有 IPv6 网络，清华源 通常是最快最稳定的。

• 🧩 对于云服务器（如阿里云、腾讯云），建议优先使用同平台提供的镜像源以获得最佳速度。

✅ 总结

更换国内镜像源是 Ubuntu 优化中最简单且最有效的操作之一。
只需几步，就能让 apt update 速度从几分钟提升到几秒。

换源之后，你的系统更新、软件安装体验都会大幅提升 —— 真正做到 “让更新速度起飞”！

一、ChatGPT 访问检测脚本

二、综合工具箱

集成了多种实用脚本，强烈推荐

wget -O box.sh https://raw.githubusercontent.com/BlueSkyXN/SKY-BOX/main/box.sh && chmod +x box.sh && clear && ./box.sh

三、DD 重装脚本（网络重装 Linux/Windows）

1. 甲骨文（Oracle）平台

• Debian 10：

bash <(wget --no-check-certificate -qO- 'https://raw.githubusercontent.com/MoeClub/Note/master/InstallNET.sh') -d 10 -v 64 -p "自定义root密码" -port "自定义ssh端口"

• Ubuntu 20.04：

bash <(wget --no-check-certificate -qO- 'https://raw.githubusercontent.com/MoeClub/Note/master/InstallNET.sh') -u 20.04 -v 64 -p "自定义root密码" -port "自定义ssh端口"

2. MoeClub 脚本特色

• 支持 Oracle AMD/ARM 平台

• 支持 Ubuntu / Debian / CentOS

• 可自定义 SSH 端口 -port

• 内置网络参数计算和 GRUB 自动定位

3. 秋水逸冰 Windows DD 镜像

• 支持 UEFI 启动多版本 Windows：

  • Windows Server 2012 / 2016 / 2019 / 2022

  • Windows 10 LTSC / Windows 11 Pro

• BIOS 启动版本另见官网链接：

  • UEFI/BIOS Windows 镜像

四、Linux 系统信息 & 测速工具

1. 系统信息检测

wget -qO- bench.sh | bash

2. GeekBench 跑分

curl -sL yabs.sh | bash          # GB6 附带带宽测试
curl -sL yabs.sh | bash -s -- -i # GB6 不测试带宽

3. 单线程 & 网络测速

bash <(curl -Lso- https://bench.im/hyperspeed)
curl -fsL https://ilemonra.in/LemonBenchIntl | bash -s fast
wget -qO- git.io/superbench.sh | bash

4. 回程线路 & 四网测速

curl https://raw.githubusercontent.com/zhucaidan/mtr_trace/main/mtr_trace.sh | bash
wget -O jcnf.sh https://raw.githubusercontent.com/Netflixxp/jcnfbesttrace/main/jcnf.sh && bash jcnf.sh
bash <(curl -Lso- https://git.io/J1SEh)

五、流媒体解锁与测试

• 奈飞测试：

wget -O nf https://github.com/sjlleo/netflix-verify/releases/download/2.5/nf_2.5_linux_amd64 && chmod +x nf && ./nf

• 全媒体区域解锁测试：

bash <(curl -L -s https://raw.githubusercontent.com/lmc999/RegionRestrictionCheck/main/check.sh)

• WARP 一键安装：

wget -N --no-check-certificate https://cdn.jsdelivr.net/gh/YG-tsj/CFWarp-Pro/multi.sh && chmod +x multi.sh && ./multi.sh

六、服务器时间同步

yum -y install ntpdate
timedatectl set-timezone Asia/Shanghai
ntpdate ntp1.aliyun.com

七、BBR 加速

• 检查内核版本：

uname -srm

• 开启 BBR：

echo "net.core.default_qdisc=fq" >> /etc/sysctl.conf
echo "net.ipv4.tcp_congestion_control=bbr" >> /etc/sysctl.conf
sysctl -p
lsmod | grep bbr

八、Docker 安装与管理

1. 安装 Docker（海外服务器）

wget -qO- get.docker.com | bash

2. 卸载 Docker

sudo apt-get purge docker-ce docker-ce-cli containerd.io
sudo rm -rf /var/lib/docker /var/lib/containerd

3. Docker Compose

• 新版（命令 docker compose）

• 旧版安装：

sudo curl -L "https://github.com/docker/compose/releases/download/1.29.2/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose
sudo chmod +x /usr/local/bin/docker-compose
docker-compose --version

九、防火墙

• CentOS 关闭防火墙：

systemctl stop firewalld
systemctl disable firewalld

十、宝塔 & aapanel 面板相关

• 去除登录限制：

sed -i "s|if (bind_user == 'True') {|if (bind_user == 'REMOVED') {|g" /www/server/panel/BTPanel/static/js/index.js
rm -rf /www/server/panel/data/bind.pl

• 破解 pro 功能（不保证可用）：

编辑 /www/server/panel/class/panelplugin.py，添加：

softList['pro'] = 1
for soft in softList['list']:
    soft['endtime'] = 0

十一、呆梨相关脚本

• XUI 安装：

bash <(curl -Ls https://raw.githubusercontent.com/FranzKafkaYu/x-ui/master/install.sh)

• Mack-a V2Ray 安装：

wget -P /root -N --no-check-certificate "https://raw.githubusercontent.com/mack-a/v2ray-agent/master/install.sh" && chmod 700 /root/install.sh && /root/install.sh

十二、使用注意事项

1. OpenVZ / LXC 架构不适用部分 DD 脚本

2. CentOS 默认密码：Pwd@CentOS

3. 其它 Linux 系统默认密码：Pwd@Linux

4. 国内镜像源推荐：

• 清华、阿里、华为、北邮、南京大学等

5. DD 脚本使用前请备份重要数据

6. 脚本来源参考：https://blog.hicasper.com/post/135.html、https://www.ydyno.com/archives/1245.html

✅ 总结
本文整理了 Linux/Windows 系统 DD、测速、流媒体、Docker、BBR、面板管理等工具脚本合集，便于运维人员快速部署、测试和管理服务器。脚本持续更新，欢迎读者推荐和反馈。

一、创建 CAR 模板

CAR（Committed Access Rate）模板用于限制带宽流量。以创建 100M 模板为例：

<HUAWEI> qos car 100M cir 100000 kbps
<HUAWEI> commit

说明：

• 100M：模板名称

• cir 100000 kbps：带宽限制为 100 Mbps

• commit：提交配置

⚠️ 注意：CAR 模板单位为 kbps，创建时需根据实际需求设置。

二、应用模板到端口

以接口 10GE1/0/1 为例，应用 CAR 模板限制入站流量：

<HUAWEI> interface 10GE1/0/1
<HUAWEI-if10GE1/0/1> qos lr cir 80 gbps outbound
<HUAWEI-if10GE1/0/1> qos car inbound 100M
<HUAWEI-if10GE1/0/1> quit
<HUAWEI> commit

说明：

• qos lr cir 80 gbps outbound：设置端口出方向 CIR（Committed Information Rate），可选，用于控制端口出方向速率

• qos car inbound 100M：将模板 100M 应用到接口入方向

• commit：提交配置

三、验证模板限速配置

1. 查看 CAR 模板配置：

<HUAWEI> display qos car

2. 测速验证：

• 向接口发送 60 Mbps 流量：报文全部转发，无丢弃

• 向接口发送 110 Mbps 流量：部分报文被丢弃

3. 查看所有模板限速：

<HUAWEI> display current-configuration | include qos car

四、其他常用限速配置

1. 流量整形（Traffic Shaping）

用于平滑出方向流量：

<HUAWEI> interface 10GE1/0/1
<HUAWEI-if10GE1/0/1> qos lr cir 80 gbps outbound
<HUAWEI-if10GE1/0/1> qos shaping inbound 100M
<HUAWEI-if10GE1/0/1> commit

说明：

• qos shaping inbound 100M：对入方向流量进行整形，超过 100M 的流量会延迟发送

• 出方向也可使用 qos shaping outbound

2. 端口速率限制（Port Rate Limit）

直接限制端口物理带宽：

<HUAWEI> interface 10GE1/0/1
<HUAWEI-if10GE1/0/1> traffic-policy rate-limit inbound cir 100M
<HUAWEI-if10GE1/0/1> traffic-policy rate-limit outbound cir 100M
<HUAWEI-if10GE1/0/1> commit

说明：

• 直接限制接口入/出方向最大速率

• 可用于防止端口被单用户占满带宽

3. 端口优先级限速（QoS 优先级映射）

结合端口优先级进行限速：

<HUAWEI> qos car 50M cir 50000 kbps
<HUAWEI> interface 10GE1/0/1
<HUAWEI-if10GE1/0/1> qos car inbound 50M behavior green discard yellow
<HUAWEI-if10GE1/0/1> commit

说明：

• behavior green discard yellow：绿包正常转发，黄包丢弃

• 可用于结合业务优先级控制流量

五、操作注意事项与最佳实践

1. 模板命名规范

   • 建议使用带宽数字命名，如 100M、1G，方便管理

2. 入方向 vs 出方向

   • CAR 模板多用于入方向限速

   • 出方向可用流量整形或端口速率限制

3. 验证

   • 使用 display qos car statistics 查看统计数据

   • 测试不同流量速率，确保模板生效

4. 结合业务

   • 租户服务器或特定 VLAN 可单独应用模板

   • 可创建多个模板组合使用

5. 提交配置

   • 每次模板或接口配置后执行 commit

六、总结

本文提供了 华为 CE 系列交换机模板限速完整教程，包括：

• CAR 模板创建与应用

• 流量整形配置

• 端口速率限制

• 优先级限速配置

• 验证方法与操作注意事项

⚠️ 核心提示：模板限速简单易用，适合 CE 系列交换机流量管理。结合流量整形和优先级，可实现灵活的流量控制策略。

一、新建本地用户账号

以用户名 csbsgyl 为例：

<HUAWEI> aaa

进入 AAA（Authentication, Authorization, Accounting）模式，用于用户管理和权限控制。

<HUAWEI-aaa> local-user csbsgyl password cipher 123456

创建本地用户 csbsgyl，并设置登录密码为 123456，cipher 表示密码加密存储。

<HUAWEI-aaa> local-user csbsgyl privilege level 15   // S 系列命令
<HUAWEI-aaa> local-user csbsgyl level 3              // CE 系列命令

设置用户权限等级：

• S 系列交换机使用 privilege level，15 为最高权限

• CE 系列交换机使用 level，3 为管理员权限

<HUAWEI-aaa> local-user csbsgyl service-type telnet terminal ssh

为用户开启登录协议，包括 Telnet、Console（terminal）和 SSH。

<HUAWEI> display current-configuration | include user

查看当前已配置的用户信息，用于确认账号创建成功。

二、开启 SSH 服务

<HUAWEI> stelnet server enable

启用 SSH 服务（华为交换机中 STelnet 即 SSH 功能）。
⚠️ 部分旧型号可能默认启用，或不支持此命令。

三、配置用户支持 SSH 登录

<HUAWEI> ssh ipv4 server port 23333

设置 IPv4 SSH 登录端口为 23333（默认 22，可自定义）。

<HUAWEI> ssh ipv6 server port 23333

设置 IPv6 SSH 登录端口为 23333。

<HUAWEI> ssh user csbsgyl

指定 SSH 登录用户为 csbsgyl。

<HUAWEI> ssh user csbsgyl authentication-type password

设置 SSH 登录认证方式为密码认证。

<HUAWEI> ssh user csbsgyl service-type all

指定用户允许通过 SSH 使用所有服务类型。

<HUAWEI> ssh server-source all-interface

设置 SSH 服务器的源接口为所有接口（便于从任意接口访问）。

<HUAWEI> undo ssh ipv6 server-source all-interface

取消 SSH IPv6 源接口设置（如不需要从所有接口访问 IPv6，可执行）。

<HUAWEI> ssh authorization-type default aaa

配置 SSH 授权方式使用 AAA 默认策略，统一管理用户权限。

四、配置允许远程访问

<HUAWEI> user-interface vty 0 4

进入虚拟终端接口配置，用于远程访问（Telnet/SSH）。

<HUAWEI-ui-vty0-4> authentication-mode aaa

设置 VTY 远程登录认证方式为 AAA（使用已创建的本地用户）。

<HUAWEI-ui-vty0-4> screen-length 0

设置终端显示长度为 0，避免分页，方便查看完整输出。

<HUAWEI-ui-vty0-4> protocol inbound all

允许所有协议远程访问，包括 SSH、Telnet 等。

五、配置 Console 登录密码

<HUAWEI> user-interface con 0

进入 Console 接口配置模式。

<HUAWEI-ui-console0> authentication-mode password

设置 Console 登录认证方式为密码认证。

<HUAWEI-ui-console0> set authentication password cipher 123456

设置 Console 登录密码为 123456，cipher 表示加密存储密码。

六、操作注意事项

1. SSH 端口自定义

   • 默认端口 22，建议自定义端口增强安全性。

2. 用户权限

   • 管理员权限（S 系列 15，CE 系列 3）才能执行全局配置。

3. AAA 管理

   • 建议使用 AAA 管理远程登录用户，更安全，可统一权限管理。

4. 密码安全

   • 避免使用简单密码，生产环境建议使用复杂密码。

5. 远程访问

   • VTY 配置必须开启 SSH 协议，并设置认证模式为 AAA。

✅ 总结
本文提供了 华为交换机 SSH 登录完整配置步骤，包括：

• 创建本地用户并设置权限

• 开启 SSH 服务

• 配置用户登录 SSH

• 配置远程访问和 Console 登录密码

• 命令详解及注意事项

按步骤操作即可安全开启 SSH 登录，适合博客发布和运维参考。

一、进入交换机配置模式

<switch> system-view

⚠️ 注意：system-view 命令会切换到全局配置模式，后续 SNMP 配置需在此模式下操作。

二、启用 SNMP 服务

[switch] snmp-agent

提示：启用后交换机开始响应 SNMP 请求。

三、配置 SNMP 团体名（Community）

1. 只读团体名（必需）：

[switch] snmp-agent community read cipher Huawei

2. 可写团体名（可选，慎用）：

[switch] snmp-agent community write Huawei

⚠️ 注意：

• read：只允许获取信息

• write：允许修改设备配置，安全风险高，生产环境谨慎使用

• 团体名建议设置复杂字符，避免默认 public/private 被攻击

四、配置 SNMP 版本

[switch] snmp-agent sys-info version v2c v3

提示：

• 建议使用 SNMPv3，支持认证和加密，更安全

• v2c 仍然可用，兼容老版本 NMS

五、配置系统信息（可选）

1. 设置联系方式：

[switch] snmp-agent sys-info contact Mr.Luo-Tel:028-80000000

2. 设置设备位置：

[switch] snmp-agent sys-info location 3rd-floor

⚠️ 提示：这些信息会显示在 NMS 系统中，方便运维定位。

六、配置 SNMP 出口接口（管理 IP 独立口时）

1. 指定 VPN 实例（如有 VPN 隔离）：

[switch] snmp-agent protocol vpn-instance MGT

2. 指定源接口：

[switch] snmp-agent protocol source-interface MEth0/0/0

⚠️ 提示：

• 这一步确保 SNMP 消息从正确接口发送

• 如果管理 IP 与默认网关在同一接口，可忽略此步骤

七、配置 SNMP Trap

1. 启用 Trap 功能：

[switch] snmp-agent trap enable

2. 配置 Trap 接收主机：

[switch] snmp-agent target-host trap address udp-domain 129.102.149.23 udp-port 5000 params securityname public

说明：

• 129.102.149.23 为 NMS 服务器 IP

• udp-port 5000 为 Trap 端口，可根据 NMS 配置调整

• securityname 对应团体名（v2c）或 SNMPv3 用户

八、查看当前配置

[switch] display current-configuration

⚠️ 提示：可以确认 SNMP 服务、团体名、Trap 设置是否正确。

九、操作注意点与最佳实践

1. 安全性

   • 尽量使用 SNMPv3，启用认证和加密

   • 避免在公网暴露 SNMPv2c

   • 团体名使用复杂字符，禁止默认 public/private

2. Trap 配置

   • 确认 NMS 可达

   • 端口和团体名一致

3. 出口接口

   • 配置源接口保证 Trap 消息发送正确

   • 若管理 IP 与默认路由接口相同，可跳过

4. 备份配置

   • 配置完成后建议保存：

[switch] save

5. 逐步验证

   • SNMP 客户端测试：

snmpwalk -v2c -c Huawei 192.168.1.1

✅ 总结

本文提供了 华为交换机 SNMP 基础配置完整步骤：

• 启用 SNMP 服务

• 配置团体名和版本

• 设置系统信息

• 配置出口接口和 Trap

• 查看当前配置与安全注意事项

⚠️ 核心提示：优先使用 SNMPv3，严格管理团体名和 Trap 主机，确保安全可靠。

一、准备工作

1. 搭建内网 TFTP/FTP 服务器

   • 内网可访问交换机

   • 上传需要升级的固件（.cc）和补丁文件（.PAT）

   • 确保文件完整性，可使用 MD5/SHA256 校验

2. 备份交换机配置（强烈建议）：

<HUAWEI> save flash:/backup.cfg

⚠️ 注意：升级固件会重启设备，未保存配置可能丢失。

3. 确认网络连通性：

<HUAWEI> ping 192.168.56.48

确保交换机可以访问 TFTP/FTP 服务器。

二、下载固件及补丁

1. 进入根目录：

<HUAWEI> cd flash:/

2. 通过 TFTP 下载文件：

<HUAWEI> tftp 192.168.56.48 get CE6851HI-V200R002C50SPC800.cc
<HUAWEI> tftp 192.168.56.48 get CE6851HI-V200R002SPH008.PAT

⚠️ 注意点：

• 下载过程中确保网络稳定

• 文件必须完整，下载失败或不完整可能导致升级失败

• 文件名区分大小写，严格与服务器文件一致

3. 验证下载结果：

Info: Transfer file in binary mode.
Please wait for a while...
237285020 bytes transferred
Info: Downloaded the file successfully.

三、应用固件和补丁

1. 应用固件（全量升级）：

<HUAWEI> startup system-software CE6851HI-V200R002C50SPC800.cc all

⚠️ 注意点：

• 确认固件文件与交换机型号、版本匹配

• all 表示应用到全部槽位，保证一致性

2. 应用补丁：

<HUAWEI> startup patch CE6851HI-V200R002SPH008.PAT all

⚠️ 注意点：补丁应针对当前固件版本，顺序不可颠倒（先固件，再补丁）

3. 重启设备生效：

<HUAWEI> reboot

⚠️ 注意点：

• 重启会断开所有会话，请提前通知网络用户

• 升级过程中 不要断电，否则可能造成交换机无法启动

四、文件管理操作

1. 删除文件

<HUAWEI> delete CE6851HI-V200R002C50SPC800.cc

⚠️ 默认文件进入回收站，可恢复。

2. 恢复已删除文件

• 单个文件：

<HUAWEI> undelete sample.bak

• 整个根目录文件：

<HUAWEI> undelete flash:

⚠️ 系统会提示确认，依次恢复文件。

3. 完全删除（跳过回收站）

<HUAWEI> delete /unreserved CE6851HI-V200R002C50SPC800.cc

4. 清空回收站

<HUAWEI> reset recycle-bin

⚠️ 注意点：回收站清空后无法恢复文件，请确认重要文件已备份。

五、操作注意事项与最佳实践

1. 升级前备份配置

   • 使用 save flash:/backup.cfg 或 display current-configuration 导出配置

2. 检查固件和补丁匹配型号

   • 错误固件可能导致设备无法启动

   • 补丁版本必须对应当前固件版本

3. 升级顺序

   • 先升级固件，再打补丁

   • 不要跳过步骤或颠倒顺序

4. 网络稳定性

   • 下载固件或补丁时确保 TFTP/FTP 网络稳定

   • 避免在无线或不稳定网络环境中操作

5. 重启注意

   • 升级过程中不可断电

   • 重启会中断业务，请选择低峰期操作

6. 回收站管理

   • 删除文件默认进入回收站，可恢复

   • 完全删除文件前务必确认不再需要

7. 安全与日志

   • 升级操作记录在系统日志，可通过 display logbuffer 查看

   • 建议在操作前拍照或记录设备当前版本、补丁版本

六、总结

本文提供了 华为交换机固件升级与补丁安装的全流程操作指南，包含：

• 准备工作与网络环境确认

• 下载固件与补丁

• 固件升级与补丁应用

• 文件管理（删除、恢复、清空回收站）

• 每步操作注意点与最佳实践

⚠️ 核心提示：严格按照顺序操作、备份配置、确保网络稳定，是成功升级的关键。

一、查看网卡名称

在配置前，需要先确认网卡名称：

ip link

常见网卡名称：

• eth0 / eth1（早期版本 CentOS）

• eno1 / ens33（CentOS 7/8/Stream）

二、手动配置 IPv6 地址（静态）

1. 编辑网卡配置文件

打开对应网卡的配置文件（以 eno1 为例，替换为实际网卡名称）：

vim /etc/sysconfig/network-scripts/ifcfg-eno1

添加或修改以下内容：

TYPE=Ethernet
BOOTPROTO=static
NAME=eno1
DEVICE=eno1
ONBOOT=yes
IPADDR=192.168.31.3
PREFIX=24
GATEWAY=192.168.31.1

IPV6INIT=yes              # 启用 IPv6
IPV6_AUTOCONF=no          # 关闭自动获取地址
IPV6_DEFROUTE=yes          # 默认路由启用
IPV6_FAILURE_FATAL=yes     # 异常保持连接
IPV6ADDR=2001::2/64        # IPv6 地址
IPV6_DEFAULTGW=2001::1     # IPv6 网关

2. 重启网络服务

service network restart

或在 CentOS 7/8 使用 systemd：

systemctl restart network

3. 验证 IPv6 配置

ip -6 address show eno1
ping6 2001::1

三、自动获取 IPv6 地址（DHCPv6）

1. 编辑网卡配置文件

vim /etc/sysconfig/network-scripts/ifcfg-eno1

内容示例：

TYPE=Ethernet
BOOTPROTO=static
NAME=eno1
DEVICE=eno1
ONBOOT=yes
IPADDR=192.168.31.3
PREFIX=24
GATEWAY=192.168.31.1

IPV6INIT=yes
IPV6_AUTOCONF=yes         # 启用自动获取 IPv6
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=yes
DHCPV6C=yes               # 启用 DHCPv6 客户端

2. 重启网络服务

service network restart

3. 验证

ip -6 address show eno1

确认 IPv6 地址已通过 DHCP 自动获取。

四、静态路由配置

1. 临时添加 IPv6 静态路由

添加：

route -A inet6 add 2400:dd0a:1001:151::1/64 gw 2400:dd0a:1001:140::1

删除：

route -A inet6 del 2400:dd0a:1001:151::1 gw 2400:dd0a:1001:140::1

说明：临时添加的路由在重启后失效。

2. 永久添加 IPv6 静态路由

2.1 编辑路由配置文件

vim /etc/sysconfig/network-scripts/route-eno1

添加静态路由：

2400:dd0a:1001:151::1/64 via 2400:dd0a:1001:140::1 dev eno1
210.72.151.1/24 via 210.72.140.1 dev eno1

eno1 替换为实际网卡名称。

2.2 重启网络服务

service network restart

或：

systemctl restart network

2.3 验证静态路由

ip -6 route show

确认路由条目已生效。

五、注意事项

1. 兼容性

   • /etc/sysconfig/network-scripts/ifcfg-* 配置方式兼容 CentOS 全系列

   • CentOS 7/8 也可以使用 systemd 管理网络，命令略有不同

2. IPv6 默认路由

   • IPV6_DEFROUTE=yes 必须开启，否则无法访问外网 IPv6

3. 网络服务重启方式

   • CentOS 6：service network restart

   • CentOS 7/8/Stream：systemctl restart network

4. 安全性

   • 配置静态 IPv6 地址时，确保地址与网络不冲突

   • 静态路由设置需与现有网络拓扑匹配，避免路由环路

✅ 总结

• 本教程覆盖 CentOS 全系列 IPv6 地址与静态路由配置

• 包含 手动 IPv6、DHCPv6、临时/永久静态路由

• 步骤清晰、兼容全系列，适合博客发布和运维参考

在服务器或虚拟机中，通常需要配置静态 IP 和自定义 DNS。本教程覆盖 Debian 全系列（Debian 9/10/11/12），同时给出经典和 Debian 12 新方式，完整可操作。

一、查看网卡名称

ip address

输出示例：

2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 ...
    inet 192.168.2.100/24 brd 192.168.2.255 scope global dynamic ens33

网卡名称为 ens33（不同系统可能是 eth0、ens18 等）。

二、经典方式：修改 /etc/network/interfaces（兼容全系列 Debian）

1. 编辑网卡配置文件

vi /etc/network/interfaces

在末尾添加静态 IP 配置：

auto ens33
iface ens33 inet static
    address 192.168.2.157
    netmask 255.255.255.0
    gateway 192.168.2.2

• ens33：网卡名称

• address：静态 IP

• netmask：子网掩码

• gateway：网关

2. 重启网络服务

systemctl restart networking.service

或者：

ifdown ens33 && ifup ens33

3. 配置 DNS

Debian 12 默认没有 /etc/resolv.conf，可手动创建：

vi /etc/resolv.conf

添加：

nameserver 114.114.114.114
nameserver 8.8.8.8

保存后即可生效。防止 DHCP 覆盖：

chattr +i /etc/resolv.conf

三、Debian 12 / 新版本方式：systemd-networkd 配置静态 IP 与 DNS

Debian 12 默认使用 systemd-networkd，推荐通过 .network 文件配置。

1. 创建网卡配置文件

vi /etc/systemd/network/20-ens33.network

添加内容：

[Match]
Name=ens33

[Network]
Address=192.168.2.157/24
Gateway=192.168.2.2
DNS=114.114.114.114 8.8.8.8

• Address：IP/掩码

• Gateway：默认路由

• DNS：DNS 列表，可多个

2. 启用并重启网络服务

systemctl enable systemd-networkd
systemctl restart systemd-networkd

3. 验证配置

ip address
ip route
resolvectl status

确认 IP、网关和 DNS 设置正确。

四、验证网络配置

1. 测试 IP 是否生效

ip address

2. 测试网关是否正确

ip route

3. 测试 DNS 是否生效

ping www.baidu.com
nslookup www.google.com

五、注意事项与优化

1. 兼容性

   • /etc/network/interfaces 方法兼容 Debian 全系列

   • systemd-networkd 方法为 Debian 12 默认方式，更现代

2. 安全与稳定

   • 避免 IP 冲突

   • DNS 配置可防止被 DHCP 覆盖

   • 可以限制防火墙只允许特定 IP 或端口

3. 网络服务重启

   • systemctl restart networking.service

   • ifdown/ifup 或 systemctl restart systemd-networkd

✅ 总结

• 教程覆盖 Debian 全系列静态 IP 与 DNS 配置

• 同时提供 经典方式 和 Debian 12 新方式

• 包含 DNS 设置、防止 DHCP 覆盖等安全优化

• 步骤清晰、直接可操作，适合博客发布和运维参考