可信网络安全平台实施指南：从安装手册模板到生产环境部署

简介这份安元可信网络安全平台安装手册模板来源于北京明朝万达科技 Chinasec安元可信网络安全平台 V3.1面向网络安全运维、系统集成与交付人员适合在部署可信安全管控平台前理清整体架构、组件组成与安装流程。文档体例规范既可用于指导现场安装也能作为编写项目实施方案、交付文档的参考底稿。资源包内共 1 个 doc 文档整体约 4.05MB以模板形式保留完整章节结构便于按实际环境补充参数后复用。内容覆盖系统概要、系统架构图、服务器介绍与兼容性、WEB 管理平台功效与特点、用户端说明以及服务器安装环境、安装步骤等关键模块同时包含版权声明、警告承诺和反馈联系方式便于使用者合规操作并及时获得技术支持。借助清晰目录可快速定位服务器配置、管理端部署与客户端接入等章节提升部署效率。目前已有 61 人学习适合需要规范搭建该平台或撰写相关技术文档的工程师参考。1. 一份安装手册模板为什么比安装包更值得较真拿到一份名为《安元可信网络安全平台安装手册模板.doc》的文件时大多数人以为就是照着敲命令的说明书。实际做一次现场实施就会发现这份模板的价值不是让你敲命令而是让一台服务器从裸机变成可交付的合规产品每一步都有据可查。它面向三类人平台交付工程师、写项目验收资料的实施人员以及接手时面对一堆未知配置无从下手的后来人。我一般先把模板章节通读一遍因为它定义了部署流程的骨架——环境检查、安装准备、组件安装、初始化配置、安全校验、验收记录。真正干活时模板里大量留空字段背后是硬件可信根、操作系统加固、网络分区、证书和双机参数这些绕不开的技术点。这篇笔记就按这个骨架拆开讲把它变成能直接照做的部署路径也把文档里不会写的坑一并说清。2. 安装前把环境当作战场规划硬件、OS 与网络分区不少实施人员拿到模板后直接翻到「组件安装」章节恨不得马上跑命令。可模板里那些不起眼的空行——硬件型号、操作系统版本、网卡用途、端口列表——才是整个安装能不能顺利收尾的前提。安元可信网络安全平台这类产品尤其吃环境因为它的核心机制是可信启动和完整性校验硬件不支持、系统底子不干净后面每一步都会被安全校验卡住。2.1 硬件和可信根先过一遍底牌先确认服务器是否带 TPM/TCM 可信根芯片。安元这类平台在安装阶段通常要做信任链自检没有可信根要么安装程序直接退出要么安装完成后完整性校验永远报红。物理机上常见做法是进 BIOS 看 Security Device 选项虚拟机里则要看虚拟化平台是否正确透传 vTPM。# 查看CPU、内存、BIOS版本 lscpu | grep -E Model name|Flags free -h dmidecode -s bios-version # 检查TPM/TCM设备是否存在 ls /dev/tpm* 2/dev/null ls /sys/class/tpm/ 2/dev/null dmesg | grep -i tpm | head -n 20 # 虚拟机环境确认vTPM是否已透传 systemd-cryptenroll --tpm2-device list 2/dev/null || truedmesg 里能看到 tpm_tis 或 tpm_crb 字样说明内核已经识别可信根设备如果两条命令都没输出先别急着装系统回 BIOS 打开相关开关。磁盘方面系统盘和数据盘必须分开系统盘建议 100G 以上固态数据盘独立挂载并做 RAID。内存从 16G 起步双机部署时两个节点规格保持一致避免主备切换后性能差异导致同一个任务在两个节点上表现不同。注意虚拟机里看不到 /dev/tpm* 时先确认虚拟化平台是否透传了 vTPM而不是怀疑镜像有问题。2.2 操作系统选型与合规基线从 Ubuntu Server 22.04 到国产 OS 的一键加固平台对 OS 的兼容范围一般会在安装介质里有说明。常见部署环境是 Ubuntu Server 22.04 LTS也有现场指定 CentOS Stream 或国产化系统。选型时不用纠结功能差异关键是确认内核版本和 systemd 版本满足安装包要求然后统一做一轮合规基线加固再把每条加固项回填到模板的「系统加固记录表」里。# SSH只允许密钥登录禁用root直接登录 sudo sed -i s/^#PermitRootLogin.*/PermitRootLogin no/ /etc/ssh/sshd_config sudo systemctl restart sshd # 关闭非必要服务降低攻击面 sudo systemctl disable --now cups avahi-daemon bluetooth 2/dev/null || true # 提高文件句柄上限平台组件并发高时避免“too many open files” echo fs.file-max1048576 | sudo tee -a /etc/sysctl.d/99-platform.conf sudo sysctl -w fs.file-max1048576 # 统一账号策略安装过程全部使用专用账号而非root sudo useradd --system --create-home --shell /sbin/nologin anxuang 2/dev/null || true这段命令里的关键是最后一行的 nologin 账号。很多实施人员图省事全程用 root 跑安装结果平台运行期组件以 root 身份工作出问题后审计日志无法区分操作来源。我一般会让安装过程使用 sudo 执行平台服务账号固定为独立的系统账号这样模板里的「服务账号」一栏填起来才名正言顺。2.3 网络分区与端口清单先画图再开端口平台至少需要两张网卡管理口用于 SSH 和平台控制台访问业务口承载实际业务流量。双机部署时还要单独给心跳口否则主备节点之间的状态同步会抢占业务带宽。安装模板里通常有一张「网络规划表」我会在动手之前先在表格里填死每个口的 IP、掩码、网关和用途再照着它去配置系统。平台涉及的关键端口一般包括 SSH 22、平台 Web 控制台 8443、节点间同步端口常见 9000 段、NTP 123、健康检查端口 9100/tcp。这里不展开具体端口号因为不同版本差异很大以安装包内文档为准。端口放通时间点应当是安装前而不是启动组件之后否则装完打开控制台超时排查一圈才发现是防火墙拦了。# firewalld 放通常用端口按现场实际端口调整 sudo firewall-cmd --permanent --add-servicessh sudo firewall-cmd --permanent --add-port8443/tcp sudo firewall-cmd --permanent --add-port9100/tcp sudo firewall-cmd --reload sudo firewall-cmd --list-all网络规划表里还应该写明 NTP 服务器地址。可信平台对时间敏感度很高证书校验和完整性度量都会用到时间戳节点间时间偏差超过一定阈值双机同步会反复报错。这个字段在模板里常常被忽略实际是最容易埋雷的一项。3. 从 doc 模板到部署脚本盘符规划、组件安装与启动顺序安装手册模板的编排顺序一般就是正确的部署顺序。只是模板是给人看的文档服务器不会读 doc所以要把模板里的每一步翻译成可执行的命令再按模板的顺序执行。先说明章节映射关系再给出一套最小化部署的命令路径最后单独强调可信根初始化——这是模板里最容易被跳过的环节。3.1 模板章节结构如何映射到落地动作我通常会把模板的章节结构先拆成一张动作对照表再开始干活。模板里写「安装前检查」对应的落地动作就是跑一遍硬件和系统检查命令模板里写「盘符规划」对应的就是分区和挂载模板里写「组件安装」对应的才是解压安装包。模板章节落地动作需要回填的产出物安装前环境检查lscpu、dmidecode、/dev/tpm 检查硬件型号、可信根类型、BIOS 版本安装准备分区、挂载、创建服务账号、放通端口盘符、UUID、服务账号名、端口清单组件安装运行安装脚本、指定模式和参数安装模式、安装路径、日志路径初始化配置配置网络、双机、证书、可信策略浮动 IP、证书路径、策略文件安全校验可信链自检、HASH 记录trust-check.json、SHA256 值验收记录端口探测、服务状态确认验收结果、遗留问题这份对照表做完之后我会顺手把 doc 模板转成 Markdown 放进 Git 仓库用 pandoc 一条命令就能完成转出来的文本文件方便 diff后续每次修改都有痕迹。这一步不改变安装流程但能让「手册模板」变成真正被维护的资产而不是验收后躺在文件夹里吃灰。3.2 最小化部署的逐步命令与参数说明下面这套命令是通用性的部署骨架参数名以现场安装包的实际 README 为准。核心思路是先给数据盘做分区和挂载再创建服务账号然后解压安装包执行安装脚本。每一步做完立刻看返回码不要一口气执行到结尾再回头查。# 1. 数据盘分区与挂载示例盘符 /dev/sdb实际以 lsblk 为准 sudo parted /dev/sdb mklabel gpt sudo parted /dev/sdb mkpart primary xfs 1MiB 100% sudo mkfs.xfs /dev/sdb1 sudo mkdir -p /data echo /dev/sdb1 /data xfs defaults 0 2 | sudo tee -a /etc/fstab sudo mount -a # 2. 确认挂载结果和 UUID模板盘符栏要填 UUID不是设备名 lsblk -f /dev/sdb1 blkid /dev/sdb1 # 3. 解压安装包并执行安装脚本 sudo mkdir -p /opt/pkg sudo tar -xzf platform-installer.tgz -C /opt/pkg cd /opt/pkg/platform-installer # 4. 运行安装参数按现场安装包README调整 sudo ./install.sh \ --mode minimal \ --trust-mode tpm \ --base-dir /opt/anxuang \ --data-dir /data \ --admin-ip 192.0.2.10分区这一步最容易踩的坑是直接分区后忘写 /etc/fstab重启后 /data 目录是空的平台数据文件散落在系统盘里后期想迁移很被动。blkid 输出的 UUID 要抄进模板因为 /dev/sdb 这种设备名在重启后可能变化而 UUID 是稳定的。安装脚本的 --mode 参数一般有 minimal 和 full 之分单机测试和双机生产场景选法不同拿不准时先在测试机跑 minimal确认组件依赖完整再上生产。3.3 可信根初始化和固件校验安装里最容易被跳过的一步很多部署人员完成组件安装后就直接进入业务配置把可信根初始化忘得一干二净。安元可信网络安全平台的可信计算链路包含固件度量、引导度量、内核度量三层安装阶段只做了前两层第三层需要平台自带工具触发。跳过这一步平台管理界面里「信任状态」会一直处于未初始化状态后续安全策略下发都会失败。# 记录BIOS和固件版本作为模板固件校验栏的原始凭证 sudo dmidecode -t 0 | tee /var/log/anxuang_firmware.txt # 执行平台信任链自检工具名以安装包为准 sudo /opt/anxuang/bin/trust-check \ --policy baseline.json \ --out /var/log/trust-check.json # 对自检结果做HASH记录回填模板验收表 openssl dgst -sha256 /var/log/trust-check.json固件版本记录这一步看似多余其实很关键。平台升级时固件版本变化会直接导致可信基线失效有原始记录才能快速确认是升级引起的变化还是被篡改。trust-check 输出的是 JSON建议归档留存不要只看终端打印的 OK 就完事。HASH 值填进模板后后续任何一次巡检拿当前文件重新算一遍 HASH 就能判断自检结果是否被动过手脚。4. 三个必调参数与安全基线核对让配置对得上现场环境安装脚本跑通只是第一步真正让平台在现网稳定运行的是安装完成后的参数调整。模板里通常有专门的「参数配置」章节我总结下来三个必须调对的地方网络与双机参数、可信策略与证书参数、验收清单。这些参数不调单机演示没问题一上双机或运行三个月就出状况。4.1 网络与双机参数双机部署时模板里至少需要四个 IP 的角色定义节点一管理 IP、节点二管理 IP、业务浮动 IP、心跳 IP。浮动 IP 的掩码和网关必须写在同一个网段否则主备切换后虚拟 IP 无法对外通告。keepalived 或等价组件的配置里vrrp_instance 的 interval 建议设为 1 秒unicast_src_ip 填本机心跳 IPgarp 相关参数要打开备节点接管后能主动发送免费 ARP。# 检查双机节点网卡绑定和心跳口链路状态 ip addr show | grep -E state UP|inet ip link set dev eth1 up # 查看 keepalived 运行状态组件名称以现场安装为准 systemctl status keepalived ip addr show | grep -E 192\.0\.2\.(1|2|10)最容易翻车的是把心跳网线插到了管理口。两个节点心跳口直连或接同一台交换机物理上要单独标注。调完参数后手动执行一次主备切换确认浮动 IP 在 3 秒内漂移到备节点再切回来。不要只检查服务状态要用 ip addr 看 IP 是否真的落在对应网卡上。4.2 可信策略与证书参数可信策略参数里基线策略的度量阈值一般保持默认即可但度量超时次数建议调成 3 次。现场常常出现固件升级后第一次度量失败如果阈值是 1平台直接判定不可信业务中断是 3 的话重度量机制会自动兜底。证书参数则是另一个重灾区平台 Web 控制台默认证书有效期通常不长安装后要立刻换正式证书并在模板里记录到期日。# 检查平台服务证书有效期 openssl x509 -enddate -noout -in /etc/anxuang/certs/server.crt # 批量查看证书目录下所有证书到期时间 for c in /etc/anxuang/certs/*.crt; do echo $c: $(openssl x509 -enddate -noout -in $c) done证书 CN 字段要和访问域名完全匹配否则控制台打开时浏览器拦一道证书错误移动端访问时可能直接连不上。证书续期建议在模板里写清楚负责人和检查周期每次巡检跑一次上面的循环命令输出结果直接贴进巡检记录。参数项建议值不调的风险度量超时次数3固件升级后误判不可信证书有效期检查提前 30 天告警证书过期后平台自检不通过双机切换间隔1 秒切换时间过长业务中断浮动 IP 免费 ARP开启切换后网段内设备不更新 ARP 表4.3 把模板核对项固化成验收清单模板最后的验收记录页很多人是安装完当天填的填的内容全凭记忆。正确做法是把安装过程中实际执行的命令输出重定向到文件再把这些文件作为验收表的附件。我一般会在安装完第二天上午做一次「冷启动验收」重启所有节点看组件能不能全部自动拉起。# 逐个检查平台核心服务状态 services(anxuang-mgmt anxuang-engine anxuang-trust) for s in ${services[]}; do status$(systemctl is-active $s) if [ $status ! active ]; then echo [FAIL] $s 状态异常: $status else echo [PASS] $s 运行正常 fi done # 检查关键端口监听情况 ss -tlnp | grep -E :(8443|9100)\b验收清单里除了端口和服务状态还要记录安装包 SHA256 值、trust-check 结果的 HASH、证书到期日这三个长期生效的数据。这些数据填进模板后后续任何一次变更都可以拿同一套检查命令复核模板就不再是「一次性的文档」而是可以反复使用的部署基线。5. 安装部署避坑与常见问题排查那些让实施人员翻车的环节安元可信网络安全平台的安装过程整体上比普通业务系统更挑剔环境。以下五个坑是我在实际交付中遇到频率最高的每一条都按「现象、原因、解决」整理照着排查能省下大量时间。5.1 TPM 设备找不到安装程序直接退出现象安装脚本执行到「可信根检查」一步直接报错退出终端提示 no TPM device。 原因最常见是服务器 BIOS 里 TPM 开关没开其次是内核缺少 tpm_tis/tpm_crb 模块。虚拟机环境则大概率是 vTPM 未在虚拟化平台配置。 解决物理机进 BIOS 开启 Security Device确认 TPM 状态为 Enabled虚拟机在虚拟化平台给虚机挂载 vTPM 设备后重启再试。检查 dmesg | grep -i tpm 确认内核识别必要时 modprobe tpm_crb 加载模块。5.2 组件全部启动成功但 Web 控制台访问超时现象systemctl 看所有组件都是 active浏览器访问平台管理地址却一直转圈或者直接连接被拒。 原因大概率是防火墙没有放通控制台端口或者是证书 CN 和访问地址不匹配导致 HTTPS 握手失败。有一次排了半天最后发现是安装时 --admin-ip 参数填错控制台监听在了另一张网卡的 IP 上。 解决先 ss -tlnp | grep 8443 确认监听地址再确认防火墙放通的是不是监听的那个端口。如果监听 IP 不对需要改配置文件重启控制台服务或重新执行安装脚本修正参数。5.3 双机主备切换后浮动 IP 不漂移现象手动把主节点服务停掉后备节点状态变成了 MASTER但业务访问仍然不通。 原因心跳线路接错网卡或者 vrrp 配置里 unicast_src_ip 填的不是心跳口 IP。有时交换机 ARP 表老化时间过长备节点接管后发出的免费 ARP 没有覆盖原主节点的 MAC。 解决检查 keepalived 配置里的网卡和 IP 是否和实际对应主备切换测试时用 ip addr 确认浮动 IP 落在了哪张网卡上。若 ARP 不更新在配置里开启 garp 相关参数并手动执行 ping 业务网关触发 ARP 更新。5.4 平台自检失败日志里全是证书过期现象运行三个月后突然收到平台告警登录控制台发现自检状态是 FAIL仔细看是证书过期。 原因安装时用了平台默认证书默认证书有效期短模板的「证书到期日」一栏没填巡检又没人管这件事。 解决安装完成后立即替换正式证书并在模板里记录到期日。同时写一个 cron 脚本每周检查证书剩余天数小于 30 天时输出告警到系统日志。脚本可以基于第 4 章里的 openssl x509 循环命令来写。5.5 模板填完但半年后照模板复现安装却失败现象同样一份安装手册模板换了一台同型号服务器按照模板里记录的路径和盘符操作安装到一半挂载失败。 原因模板里记的设备名是 /dev/sdb换机器后磁盘枚举顺序变了/dev/sdb 变成了另一块盘。这是文档里最典型的复现性杀手——设备名不是稳定标识。 解决模板里所有盘符一律填 blkid 输出的 UUID而不是设备名。安装步骤里加一条「mount UUIDxxx /data」的写法这样无论磁盘设备名怎么变都能挂到正确分区。提示盘符变化是安装文档里最典型的复现性问题任何模板字段里涉及设备路径的地方都优先写 UUID 或 LABEL。6. 安装只是开始用日志、GNS3 预演和版本化把手册变成资产一台节点装完、验收单签完项目现场的工作看起来就结束了。但真正让这份安装手册模板产生长期价值的是安装收尾阶段做的三件小事。第一件是把模板版本化。用 pandoc 把 doc 模板转成 Markdown和 trust-check.json、证书到期清单、fstab 备份一起放进 Git 仓库。之后任何一次变更都从改仓库里的文件开始历史记录里能看到谁在什么时候改了什么参数。固定网段和端口后去新现场部署时直接复用仓库里的检查和安装脚本不需要完全重填模板。第二件是去现场之前用 GNS3 把网络拓扑预演一遍。安元平台本身跑在真实服务器上GNS3 里模拟的是交换机、防火墙和路由器的连通性。先在 GNS3 里把管理网和业务网按规划接好验证跨网段访问路径能不能通、防火墙策略是否合理再带着这套拓扑去现场对照物理接线。我在 GNS3 里验证出过一次现场路由问题省掉了一天到现场排查的时间。第三件是给维护团队留三个「后悔药」证书到期巡检脚本、日志采集目录说明、可信基线备份文件。证书巡检脚本挂在 cron 里每周输出证书剩余天数日志统一放在 /var/log/anxuang 下并配置 logrotatetrust-check 生成的基线文件和 HASH 记录备份到异地。这三样东西平时没人在意出问题时就是最快定位的起点。我现在的习惯是拿到任何安装手册模板先不急着执行而是花一个下午把模板里每个字段都过一遍填不出来的地方就是安装风险点。这份安元平台的安装手册模板认真填完后后续所有巡检和变更都会变得有章可循。希望这套思路帮到你。本文还有配套的精品资源点击获取