管理网段怎么规划
带外管理网是运维的生命线：它必须在业务网络故障时仍然可用，同时又要尽可能少地暴露面。规划要点可以归成四条——用独立网段与 VLAN 与业务隔离、地址静态分配并登记、只允许运维网段或跳板机访问、与业务网之间用严格 ACL 控制互通。这些规则要写进上架验收单，而不是留在某个人的印象里，否则机器返修回来后配置往往与原设计不一致。
基本信息
| 规划对象 | BMC 管理网：网段、VLAN、网关、访问控制 |
|---|---|
| 网段原则 | 独立管理子网，不与业务网混用 |
| 地址分配 | 静态分配并登记台账，避免依赖动态分配 |
| 访问控制 | 仅放行运维网段或跳板机来源 |
| 互通策略 | 与业务网之间用 ACL 限制，非必要不放通 |
| 文档要求 | 规划写入上架文档与验收单 |
典型使用场景
- 新建机房的管理网设计与地址分配
- 安全检查：核对 BMC 的实际暴露面是否符合基线
- 故障排查：业务网不通时确认管理网是否仍然可达
- 设备返修或更换主板后，按同规格恢复网络配置
- 批量上架时统一模板配置，减少逐台手工出错
访问面核查
访问面核查
# 从运维网段扫描管理口开放端口，核对是否符合基线
nmap -Pn -p 623,443,22 10.0.0.10
# 确认管理口只应答管理网来源（从非运维网段测试应超时）
nc -vz -w 2 10.0.0.10 443
# 核查 BMC 网络参数与规划是否一致
ipmitool -I lanplus -H 10.0.0.10 -U admin -f /root/.ipmi_pass lan print 1
# 记录本轮扫描结果，作为基线快照归档规划要点
| 项 | 建议 | 理由 |
|---|---|---|
| 网段 | 独立管理子网与 VLAN | 故障域与安全边界清晰 |
| 访问源 | 仅跳板机或运维网段 | 缩小暴露面，降低被扫描风险 |
| 地址分配 | 静态分配并登记台账 | 监控与巡检目标稳定可预期 |
| 互通策略 | 严格 ACL 或完全隔离 | 降低横向移动风险 |
| 文档化 | 写入上架与验收文档 | 返修与扩容时保持一致 |
把管理网段、VLAN、网关与 ACL 规则写进上架验收单：设备返修或换板后按同规格配置，避免出现个别机器游离在规划之外。
管理网与业务网拉平会显著放大风险：一旦业务侧某台机器被攻陷，攻击者可以直接横向访问全部 BMC，进而控制整机房硬件。