简介安元可信网络安全平台V3.1安装手册由北京明朝万达科技提供面向网络安全运维人员与系统集成商用于指导平台在实际环境中的安装部署。手册先说明版权与免责声明并附有技术支持联系方式正文涵盖系统概要、系统架构图以及服务器、WEB管理平台、用户端三大组件的介绍。服务器部分突出兼容性、特点与选型参考WEB管理平台部分说明其功效、特点及对安全管理的关键作用用户端部分则帮助理解终端接入要求此外还提供服务器安装环境与步骤、配置指南、常见问题及故障排除思路。资源包为单个doc文件大小4.05MB结构清晰可作为部署前的评估依据和安装时的操作手册。目前已有62人学习对需要部署Chinasec安元平台的技术人员具有较高参考价值。1. 安元可信网络安全平台装的是什么先分清可信平台和安装手册模板两份活安元可信网络安全平台安装手册模板.doc这名字看起来像一份写实施文档用的表格。实际上这类平台装起来远不止跑一个安装包那么简单可信根要绑定设备、采集链路要通、账号策略要落地每一步都要留痕最后移交的不只是一套能用的系统还有一份符合验收要求的安装手册。对实施工程师、交付经理和后续运维接手人来说最容易低估的不是安装过程本身而是怎么把过程写成一份不返工的文档。这份模板承担的就是这件事——把现场安装步骤固化成可复现的交付物而不是靠个人记忆和聊天记录。先别急着看格式或找安装包。要搞清楚这份模板的价值得先想明白一个反直觉的结论最容易翻车的环节往往不是部署命令执行失败而是环境检查没做透、验证留证没拍全、回退方案没验证。这三件事恰好都是文档工作的范畴。所以这篇文章按一条完整路径走先拆模板章节结构再讲环境准备接着过部署和初始化路径然后列现场必踩的坑最后讲怎么把模板改造成真正能过验收的交付文档。新手可以照着顺序把活干完熟手可以直接跳到第 5 章和第 6 章去对照自己的交付习惯。2. 安装手册模板的文档骨架一份能带去现场的doc该怎么拆拿到安元可信网络安全平台安装手册模板.doc 这类文件我习惯先不急着填内容而是把模板当做一个检查清单来看。一份好的安装手册模板本质上是把整个部署过程拆成几段固定章节让每个实施人员填出来的文档结构都一样后续接手的人不需要重新适应。反过来说如果模板本身缺了“验证”或“回退”环节那这份模板就只能当报批材料不能带去现场当作业指导书。2.1 模板的标准段落与填报重点一份能直接用于现场部署的安装手册模板至少需要覆盖下面的段落。我按实际交付时的填报习惯列了一张表后面写手册时逐项对照模板段落要填的内容现场留痕方式安装目的与适用范围部署背景、覆盖设备范围、交付边界项目立项或任务单编号环境清单服务器型号、操作系统版本、IP、用途设备标签照片、系统信息截图前置检查记录时钟、磁盘、内存、防火墙、端口检查结果命令执行结果截图部署拓扑平台节点、采集器节点、被管设备连线拓扑图存档部署步骤每一步操作、关键参数、执行结果每一步的界面截图初始化配置管理员账号策略、日志存储路径、审计范围配置界面截图功能验证采集连通性、可信根状态、告警测试验证结果截图回退方案触发条件、备份文件位置、恢复步骤、验证方法备份文件清单这里要提醒一点模板里最容易被人忽略的是“回退方案”这一栏。很多实施人员觉得平台装完不出错就行回退方案随便写两句。实际上验收评审和后续运维接手人最在意的就是这部分——系统出问题时能不能按文档找回原来的状态。哪怕模板里这个段落是空白你也要自己补上。段落填的时候注意区分“描述性文字”和“验证性证据”。比如“数据库连接成功”是描述而“数据库连接测试页面显示‘连接正常’并附截图”才是证据。一个合格的手册要让一个没参与安装的运维人员照着就能知道当时做了什么、是否成功。所以填模板时宁可写成流水账也不要只写总结性结论。2.2 编写原则先环境后部署、先备份后回退填安装手册模板如果只按目录顺序写容易漏掉关键逻辑。我在实际写手册时给自己定了几条原则第一条是“先环境后部署”。环境检查没有完成之前不要进入安装步骤。因为安元可信网络安全平台这类系统对时钟偏差和磁盘空间很敏感环境不合格导致的安装失败表现往往伪装成“平台安装包有问题”排查起来非常耗时。第二条原则是“先备份后回退”。回退方案不是写在文档里的预案而是写在安装之前就要执行的动作。安装前先把原系统的重要配置导出来放到指定目录并且在文档里记下导出时间和文件校验信息。这样真正需要回退时不用凭感觉找备份直接按文档执行就行。第三条原则是“验证步骤必须独立成段”。安装后的验证不能放在“安装完成”一句里带过而是要单独写清楚验证了哪些点、预期结果是什么、实测结果是什么。这一点在安元可信网络安全平台的交付里尤其重要因为平台牵扯到可信根、采集器和账号策略任何一个环节没验证到后面运行出问题都很难定位。2.3 现场留证清单哪些页面必须截图截图是安装手册模板的“证据链”但很多实施工程师截图太随意拍一张全部打勾的页面就完事回头想不起哪步对应哪个操作。我一般会定一套命名规则截图文件名按“序号_阶段_主机名_内容”来命名比如“01_前置检查_mgt01_磁盘空间.png”“02_部署_trust01_镜像挂载.png”。这样写文档时按文件名就能对应到步骤不用来回翻。留证的具体位置我建议拍这几类操作系统版本页、License 导入成功页、服务进程状态页、可信根绑定结果页、采集器注册状态页、日志存储磁盘水位页。比界面更关键的是带时间戳的截图所以截屏前先在管理台里确认右上角时间是对的否则截图作为证据的价值会打折扣。截图还有一个常被忽视的技巧把一条命令的输入和输出一起截下来。比如执行df -h检查磁盘截图里要能看到完整的命令路径和返回结果这样文档后面标注“磁盘不足”时才有依据。只截返回结果不截命令阅读者无法判断到底执行的哪条命令。3. 环境准备阶段的硬指标硬件、端口、时钟与账号策略清单做安元可信网络安全平台这类项目的现场部署我通常会把实施工期分成三块环境准备占四成平台部署占三成验证和文档占三成。环境准备比例最高因为后续所有安装步骤都建立在这些基础条件上。前面没核对到位后面每走一步都可能被环境拖住。3.1 硬件与操作系统选型参数建议这部分我按常见做法给出建议值不是特别大的环境按照下面这张表配置基本够用。如果你的部署范围更大先按表中规模翻倍再往上加。配置项建议值说明CPU8 核起步建议 16 核可信根计算和审计策略匹配会持续占 CPU内存16 GB 起步安装时最小要求日志量大时加到 32 GB系统盘100 GB SSD系统分区、应用安装目录用数据盘500 GB 起按日志量扩展审计日志和事件存储都写这里网卡管理口与采集口物理分离避免业务数据流量干扰管理通道操作系统与平台兼容的 64 位 Linux 发行版具体版本以平台适配清单为准数据库建议独立部署平台自带库适合小环境独立数据库方便后续迁移和备份配置上最容易犯的错是把数据盘和系统盘放在同一个分区。安元可信网络安全平台的日志采集量一旦起来系统盘写满是迟早的事。所以我做环境检查时第一眼就看分区布局系统盘和数据盘没有分开的机器直接建议客户加盘或者重新规划。操作系统层还有一个常见争议要不要用最小化安装。我建议用最小化安装不装图形界面。安全平台跑了图形界面除了占资源之外还多出不少补丁面。安装前把操作系统的账号策略也一并确认掉比如密码复杂度、登录失败锁定阈值这些配置后面初始化管理台时会被平台引用如果操作系统自己没设好管理台的安全基线检查会一直报错。3.2 网络区域与端口规划网络规划必须在安装前定稿因为安元可信网络安全平台的部署涉及管理面、采集面和被管设备三个网络区域端口放行错了后面排查起来容易怀疑到平台本身。下面是一份常用端口规划表请按实际项目调整功能协议端口访问方向备注管理台登录HTTPS443 或自定义运维终端到平台管理口不要用默认密码长期在线远程维护SSH22 或自定义运维终端到管理口默认密码必须改采集器注册TCP自定义注册端口采集器到平台采集口平台端需放行事件接收TCP/UDP事件接收端口被管设备/采集器到平台采集口需与被管设备侧保持一致日志查询下载HTTPS管理台端口复用运维终端到管理口不需要额外放行时钟同步NTP123平台到 NTP 服务器所有节点指向同一时钟源端口规划里最重要的不是记端口号而是理清“哪些端口需要跨区域放行”。有些现场把所有防火墙策略都放行了平台能装通但客户的安全检查一扫描就全是开放端口又得回来收口。所以我在模板里专门留一栏“实际开放范围”每一行都要写清源地址、目标地址和端口而不是简单地写“允许”。我习惯把时钟同步安全加固和网络放在一起讲因为这两个问题最容易在安装时不暴露运行后才爆发。时钟不同步会导致采集事件的时间戳乱掉事件检索出来前后顺序不对用户会以为平台丢了数据。端口放行同理安装时管理员账号能登录就行等真实采集数据量上来才会发现事件链路根本没打通。3.3 安装前检查的强制项与时钟核对安装前检查不能靠记忆必须在模板里形成一张带勾选框的检查表。我常用的是下面这几个必查项目主机名和 hosts 解析是否正常、日期时间和时区是否一致、数据盘是否已正确挂载、挂载目录是否有写权限、防火墙是否放行了规划端口、SELinux 是否处于目标模式。时钟核对这一项单独拿出来强调做法是让所有参与节点时钟精确对齐到同一 NTP 服务器。检查时用date对比时间用timedatectl查看时区确认所有节点都处于同一时区且时间误差在分钟级以内。误差太大时先同步时钟再做部署不要抱有“装完再改”的想法——可信类平台在初始化时往往会记录时间基准时间不准会让后续的审计和证书校验行为变得难以解释。检查项的记录方式也值得统一。我在现场一般不做“全过/不过”的判断而是把每个检查项的实际输出贴到模板里比如磁盘空间直接贴df -h的结果端口检查直接贴ss -lntp的结果。这样后续如果平台出现异常可以回溯文档判断是不是环境问题而不是靠回忆。提示安装前检查完以后建议对系统盘做一次快照或整机备份。平台安装后的回退依赖这个备份越早做越省事。4. 部署与初始化从镜像导入到可信根启用的关键路径环境准备做完就进入真正的部署阶段。安元可信网络安全平台的部署大致分成四步导入安装包与 License、执行安装程序、初始化数据库与管理账号、配置可信根和采集器。这四步有先后依赖顺序不对会出现“装完以后某个模块起不来”的玄学问题。4.1 License 与安装包的装载顺序我一般会先把安装包上传到指定目录同步记录文件大小和校验值然后导入 License再执行安装程序。顺序为什么这么排因为安装程序在初始化阶段会读取设备指纹并绑定 LicenseLicense 先导入安装过程就能直接完成授权绑定如果先装完再导 License就得额外跑一次授权注册部分环境会出现平台主服务已启动但授权模块还在等待激活的中间状态。安装包的校验环节虽然容易被跳过但强烈建议不要省。上传后先计算校验值跟交付方提供的校验值比对不一致就不要执行安装。安装包损坏的情况在项目现场确实存在跳过校验的结果就是装到一半报错重新下载后再装整个过程多花半天。安装包目录建议用固定路径比如/data/pkg并在模板里记录路径、文件和校验值。执行安装程序时最大的一类问题往往不是程序本身报错而是安装过程中断。中断原因常见是 SSH 连接超时、磁盘空间不足、终端关闭。所以安装时我习惯用screen或者tmux挂起会话避免网络抖动导致安装中断。这一步不会写进安装手册模板的操作步骤里但却是现场保命技巧。4.2 初始化配置账号、数据库、日志存储路径安装完成后进入初始化配置这一步决定平台日常运行的行为比安装本身更容易影响客户满意度。我按常用参数整理了一张初始化配置表配置项建议值说明管理员账号禁用默认管理员新建专用账号避免默认凭据被滥用密码策略长度不少于 12 位定期更换与平台安全基线保持一致数据库连接使用独立业务账号最小权限不要用 root 连接业务库日志存储路径单独挂载的数据盘目录避免写满系统盘日志保留周期按合规要求配置一般 180 天起存储空间不足时优先扩容磁盘水位告警存储超过 70% 告警85% 暂停写入防止日志写满后平台异常数据库初始化是安装手册里很少写透的环节。平台自带的数据库适合小规模验证环境生产环境我一般建议独立部署数据库原因很简单平台运行过程中的日志清理、索引重建、备份恢复独立库操作起来空间更大。数据库初始化如果失败不要急着重装平台先去看平台自身的日志文件大多数情况是连接超时或权限不足。账号初始化这块还有一个细节管理台账号和操作系统账号是两个体系不要在文档里混着写。平台管理台创建的账号只用于登录管理界面操作系统层面的账号用于维护。两边密码策略要一致但账号不能互相替代。我在验收时见过不少项目把管理台密码和 SSH 密码设成同一个安全评审直接被驳回。4.3 可信根配置与白名单的第一次启用可信根配置是安元可信网络安全平台区别于普通日志审计系统的关键点也是安装手册模板里必须单独成节的内容。可信根的用途是建立平台自身运行环境的可信基准防止被篡改。配置时一般会生成可信根证书或密钥绑定到平台所在的主机设备上首次配置时需要指定存储介质和备份方式。这块的常见做法是先生成可信根并保存到离线介质再导入到平台然后绑定主机信息之后启用完整性度量策略。首次启用白名单时要注意观察平台上各服务进程的状态因为白名单机制会对比当前运行环境与基准值的差异如果平台服务在安装后有版本升级或文件变更白名单可能误报。第一次启用可信根强烈建议先在测试环境完整演练一遍重点看两条路径一是正常重启后可信根是否能自动加载二是如果平台检测到可信根不匹配系统的具体反应是“拦截”还是“告警”。这两个行为直接影响生产环境的安全策略选择。及时记录首次启用的时间点、基准值和后续验证结果这些都是安装手册里最有价值的内容。5. 安装避坑模板里不会写、现场必踩的5个问题安装手册模板写的是标准路径现场遇到的往往是偏离标准路径的情况。我在多个安全平台项目里积累了一些共性问题以下 5 条按“现象 → 原因 → 解决”的顺序整理给正在安装安元可信网络安全平台的人做个参考。5.1 登录页能打开但账号输进去就闪退现象平台部署完成浏览器打开管理台登录页正常输入管理员账号和密码后页面白屏或直接退出不报任何错误。原因这类问题在安全平台里很常见多数是平台管理台服务没有完整注册到进程管理中登录跳转时依赖的会话校验服务没有启动另一个常见原因是访问地址和管理台证书里的域名不匹配浏览器校验证书失败后出现了静默拦截。解决先检查平台进程和监听端口确认主服务与会话服务的状态再检查管理台访问地址是否和证书中的 Common Name 一致不一致就用证书里的域名绑定 hosts 访问。实际操作中90% 的情况出在 hosts 解析和 HTTPS 证书域名上先查这两项再考虑重装。5.2 采集器显示在线但事件数据一条都上不来现象采集器接入后状态显示在线但平台事件中心始终收不到数据界面看采集器也像是正常连接的。原因这事容易往采集器配置方向排查但更常见的是平台端根本没放行事件接收端口或者采集器的注册身份没有在平台上完成授权。平台显示在线只能说明链路握手通了不代表数据接收策略已经下发到采集器。解决先到平台端的事件接收或者接入管理页面看采集器是否处于“已授权”状态再检查防火墙和平台侧端口监听确认事件接收端口的流量能正常到达平台。抓包工具在这个场景很管用不需要抓太久抓个十几秒看有没有数据包到达就能定位是网络问题还是平台策略问题。5.3 重启服务器后可信模块显示未启用现象服务器因机房断电或维护重启后平台主服务正常拉起但可信模块状态显示为未启用需要重新导入可信根才能恢复。原因通常是因为配置可信根之后没有执行持久化保存操作或者可信根的存储依赖了某个没有随系统自启动的本地服务。还有一部分情况是服务器启用了安全启动但启动顺序发生变化导致可信根校验服务拿不到预期状态。解决配置完可信根后立即执行平台提供的持久化导出或保存操作并把备份放到离线目录重启后在模板里记录系统启动顺序和可信根恢复状态。如果没有这个习惯重启一次丢一次配置时间成本非常高。5.4 业务量很小但服务器 CPU 持续打满现象平台上没有多少被管设备也没有大量日志但服务器 CPU 一直处于高位界面操作明显变慢。原因我遇到过的情况是默认审计策略范围太宽把临时目录、缓存文件目录、系统日志目录都纳入了全量审计导致平台不断地在扫描和计算文件变化CPU 被无效工作耗尽。这在小环境上尤其明显因为小环境没有足够业务数据平台空闲时反而把所有资源花在了不必要的审计计算上。解决检查审计策略里的路径范围把/tmp、进程缓存目录、临时文件目录排除掉同时调整文件变更监控的粒度和扫描周期。调整完以后观察 CPU 使用率如果还是在 80% 以上再从采集器和事件处理线程角度排查。5.5 按模板回退却恢复失败现象因配置调整导致平台异常按照安装手册里的回退方案执行恢复结果数据库起不来系统一直停留在恢复中。原因模板里的回退步骤写得太粗糙是主因多数只写了“备份并恢复”没有写明备份的一致性校验方式和恢复顺序。实际恢复数据库前如果备份文件没有校验过或者恢复时数据库相关服务还在运行都会出现数据文件不一致的问题。解决备份完成后马上做一次恢复演练至少确认备份文件可以完整恢复到测试环境恢复的正式步骤必须包含“先停服务再恢复、恢复后统一启动、启动后检查服务进程”的先后顺序。安装手册里回退方案不是给验收看的一页纸是要能实际救命的步骤。6. 把安装手册模板改造成交付物验证清单与回退检查表安装手册模板如果要变成真正能过验收的交付物最后一个动作是把“验证清单”和“回退检查表”补成可勾选状态。我给团队定的习惯是每写一步操作先写“预期输出”再写“实测结果”两者不一致直接标红。这样文档不只记录了动作还记录了动作是否达标的判断依据。回退检查表是容易被忽略但价值很高的部分。我通常会在文档最后放一张表列出回退触发场景、前置条件、操作步骤和验证方法。比如“平台服务异常无法启动”这一行前置条件是“已确认系统盘快照存在”操作步骤就写“从快照恢复系统盘再启动服务”验证方法是“登录管理台并检查可信根状态为启用”。这张表不需要太复杂但每一行都要保证其他同事能照做。关于安元可信网络安全平台的整体落地我的习惯是在正式操作前先把硬件的资源分配、系统的分区布局、网络的端口规划这三件事钉死在文档里留下可追溯的证据部署阶段每完成一步就在模板里打一个勾不要等到全部装完再补记录安装完成后一定要做一次从上到下的验证把管理台、可信根、采集器、审计日志四类状态全部检查一遍。这样做的原因很简单——平台上线后的维护人员拿到的所有信息都来自这份文档。文档里的模糊描述到了紧急故障时会被放大成无效信息。这套流程在一开始会感觉比直接装系统多花半天到一天时间但它在系统故障时能给团队留一颗后悔药。我见过太多项目交付完成之后运维人员对着安装文档找不到数据库密码存在哪里、不知道回退方案是否真的可用最后只能靠远程连服务器现场摸索。希望这次的拆解能帮你把安装这件事做成一件可复现、可移交的工作而不是一次碰运气希望帮到你。本文还有配套的精品资源点击获取