简介：这份资源是奇安信网神SecADS 3600应用交付系统的快速配置手册，面向网络运维工程师、售前技术支持及渠道商技术人员，帮助读者在设备上架初期快速完成基础部署与业务配置。手册围绕网络部署、账户管理、设备管理、WEB快速配置与软件升级五大模块展开，具体涵盖设备默认配置、管理口默认参数、默认管理员用户、设备高可用设置，以及登录设备、配置VLAN、配置IP地址、配置服务器负载均衡和链路负载均衡等关键操作，并说明了通过WEB进行软件升级的流程，适合需要快速上手该型号应用交付设备的初中级技术人员对照实操。资源包共1个文件，为docx格式的配置手册文档，压缩包大小约1.18MB，便于下载后离线查阅与打印。目前已有1458人学习下载，可作为设备开局配置、日常维护与故障排查的参考依据，帮助读者理清串行接入场景下的配置思路，减少现场调试时间。
1. 网神应用交付设备开箱：从串行接入到双机冗余的部署逻辑
很多同行第一次拿到网神应用交付设备时，习惯性把它当成一台普通负载均衡器，插上电、配个 VIP 就完事。但真正在客户现场翻过车的都清楚，这类设备的部署位置和接入方式，直接决定了后面所有业务配置能不能跑通。网神应用交付系统本质上是一台串行接入的四层到七层流量调度设备，所有流量先经过它处理，再转发给后端真实服务器。典型场景是：虚拟服务（VS）配公网 IP，内部服务器用私有 IP，设备夹在中间做目的地址转换和源 NAT。它适合谁？适合需要做服务器负载均衡、多链路出口调度、并且对网络冗余有硬性要求的场景。如果你只是想让两台 Web 服务器轮询，用 Nginx 就够了；但如果你面对的是多运营商出口、FTP 长连接调度、双机热备这些需求，这台设备的价值才真正体现出来。部署前先想清楚一件事：你的流量是从上往下串，还是旁路单臂接入？这决定了后面 VLAN 和 IP 怎么规划。
2. 开局三件事：管理口、默认账户与高可用模式选型
设备上架之后别急着配业务，先把管理通道和高可用架构定下来。这一章按实际开局顺序拆解：管理口怎么接、默认账户怎么用、双机冗余怎么选模式。每一步都给出具体参数和操作路径，照着做能少走弯路。
2.1 管理口 G1 的默认参数与首次登录
出厂状态下，G1 接口被预设为管理口，IP 地址是 10.0.0.1/24，允许 Telnet、Ping 和 HTTPS 操作。这意味着你不需要 console 线就能完成初始配置，前提是把本机网卡设成同网段。
操作步骤很直接：
# 本机网卡配置（以 Linux 为例，Windows 在图形界面改） # 将本机 IP 设为 10.0.0.1/24 网段内任意空闲地址，比如 10.0.0.100 ip addr add 10.0.0.100/24 dev eth0 ip link set eth0 up # 验证连通性 ping 10.0.0.1网络通了之后，浏览器输入https://10.0.0.1，会看到登录页。默认有三组账户：
| 账户类型 | 用户名 | 默认密码 | 权限范围 |
|---|---|---|---|
| 管理员 | admin | admin | 全部功能 |
| 账户管理 | account | account | 账户相关 |
| 审计 | audit | audit | 日志审计 |
这里有个细节：admin 账户不限制登录来源地址，任何能路由到的地址都可以登录。所以在正式上线前，一定要改默认密码，并且限制管理口的访问源 IP。我一般会在第一次登录后立刻做两件事：改 admin 密码、把管理口允许的协议从 Telnet 改成只留 HTTPS。
提示：如果 ping 不通 10.0.0.1，先检查本机防火墙是否放行了 ICMP，再看网线是不是插在 G1 口上。有些批次的设备面板丝印和实际接口编号有偏移，插错口是新手最常见的翻车点。
2.2 高可用模式：主主模式与心跳参数怎么填
单机跑业务风险太高，双机冗余是标配。进入「系统管理 > 高可靠性」，工作模式选「主主模式」，然后填几个关键参数：
- 首先通讯地址：本机用于心跳的 IP
- 备选通讯地址：备用心跳链路 IP
- 对端 IP：另一台设备的心跳地址
- 抢占模式：根据业务需求决定是否开启
- 心跳发送间隔：默认值通常够用，跨机房场景可以适当调大
抢占模式的含义是：当原主设备恢复后，是否自动抢回主角色。如果业务对切换敏感，建议关闭抢占，避免频繁切换导致连接中断。心跳发送间隔设得太短会增加网络负担，设得太长则故障检测迟钝，常见做法是保持默认或者设为 1 到 2 秒。
配置完成后，两台设备会通过心跳线同步会话表和配置。验证方法是：拔掉主设备的上联链路，观察备设备是否在几秒内接管虚拟服务 IP。这个测试一定要在业务低峰期做，因为切换瞬间会有短暂丢包。
2.3 默认配置的边界：哪些能改，哪些别动
设备出厂自带一套默认配置，目的是让你能通过 Web 完成初始接入。但默认配置里有几个地方容易踩坑：
第一，管理口 IP 10.0.0.1/24 如果和现有内网网段冲突，必须在 console 下改，Web 改不了。第二，默认允许任何地址登录 admin，这个在正式环境必须收紧。第三，G1 口默认开启了 Telnet，而 Telnet 是明文传输，上线前务必关掉，只保留 HTTPS。
我见过一个案例：某公司把设备直接串进生产网，管理口 IP 没改，结果和内部一台监控服务器 IP 冲突，导致整个管理网段时通时断。排查了半天才发现是地址冲突。所以开局第一步永远是：确认管理口 IP 不冲突，改默认密码，关不必要的协议。
3. VLAN 与 IP 配置：转发业务的地基怎么打
应用交付设备的所有转发业务都建立在 VLAN 之上。不配 VLAN，后面的虚拟服务、链路负载都无从谈起。这一章把 VLAN 创建、接口成员加入、VLAN IP 配置的完整流程拆开讲，重点说清楚 Tagged 和 Untagged 的区别，以及 STP 参数在什么场景下需要调。
3.1 创建 VLAN 并加入物理接口成员
进入「网络配置 > 接口 > 物理接口列表」，点击新建。关键参数如下：
| 参数 | 说明 | 示例值 |
|---|---|---|
| 名称 | VLAN 标识名 | vlan1 |
| Tag | VLAN 标签号 | 1 |
| 管理状态 | 接口开关 | UP |
| MTU | 最大传输单元 | 1500（默认） |
| 资源 | 物理接口成员 | ge0/1 Untagged，ge0/2 Tagged |
| STP | 生成树协议 | 启用，桥优先级 32768 |
Tagged 和 Untagged 的区别是理解重点。Untagged 表示接口发出的帧不带 VLAN 标签，通常用于连接不识别 VLAN 的终端设备或服务器；Tagged 表示帧带标签，用于连接交换机 trunk 口。如果你把该 Untagged 的口配成了 Tagged，对端设备会直接把带标签的帧丢弃，现象就是「物理口 up 了但业务不通」。
STP 参数里，桥优先级 32768 是默认值，Hello 时间 2 秒、老化时间 20 秒、端口状态延迟 15 秒都是标准生成树的默认参数。除非网络里有环路或者多台交换机级联，否则保持默认即可。如果网络拓扑简单、追求快速收敛，可以考虑关闭 STP，但前提是确认没有二层环路。
配置完成后点击提交，VLAN 就创建好了。此时可以用show vlan之类的命令（具体命令以设备实际支持为准）确认 VLAN 状态和成员接口。
3.2 在 VLAN 上配置 IP 地址
VLAN 创建后，如果要做三层以上业务处理，必须在 VLAN 上配 IP。进入「网络配置 > 设备 IP > VLAN IP」，点击新建：
- IP 地址：VLAN 接口的 IP，比如 134.71.14.144
- 掩码：子网掩码，比如 255.255.0.0
- VLAN：选择之前创建的 vlan1
- 浮动 IP 与单元 ID：单机场景不选，双机场景下浮动 IP 用于主备切换
这里有个容易忽略的点：VLAN IP 配置的网段，决定了后面虚拟服务的目标地址范围。如果虚拟服务的 VIP 和 VLAN IP 不在同一网段，需要确保路由可达，否则客户端请求根本到不了设备。
配置提交后，可以用 ping 测试 VLAN IP 是否可达。如果 ping 不通，检查三件事：VLAN 管理状态是不是 UP、物理接口成员有没有加对、对端设备的 VLAN 配置是否匹配。
3.3 单臂接入与串行接入的选型差异
原文提到了两种接入方式：串行接入和单臂接入。串行接入是设备夹在上下层交换机之间，所有流量物理经过设备；单臂接入是设备只接一根线，通过源 NAT 把回程流量拉回来。
服务器负载均衡场景常用单臂接入，因为改造成本低，不需要动现有网络拓扑。但单臂接入有个前提：真实服务器的网关必须指向设备，或者在虚拟服务里配源 NAT 地址池。原文案例里用的是源 NAT 方式，这样真实服务器回包时先到设备，设备再做源地址转换后发给客户端。
串行接入的冗余性更好，配合 HA 双机可以做双链路交叉连接。但串行接入对网络规划要求高，一旦设备故障，需要确保 bypass 或者切换机制能顶上。选哪种，取决于你对改造范围和故障容忍度的权衡。
4. 服务器负载均衡与链路负载均衡：两个核心业务场景的配置拆解
这一章是整篇手册的重头戏。服务器负载均衡解决的是「多台后端服务器怎么分摊请求」，链路负载均衡解决的是「多条出口链路怎么选路」。两个场景的配置逻辑不同，但都依赖前面配好的 VLAN 和 IP。
4.1 服务器负载均衡：服务池、虚拟服务与 FTP 高性能模式
先看服务器负载均衡的配置流程。案例拓扑是：设备单臂接入，PC 客户端访问虚拟服务的 FTP 服务，VS 把请求调度到后端真实服务器。
第一步，新建服务器池。进入「服务器负载 > 服务池 > 新建」，把后端所有 FTP 真实服务器的地址加进去。服务池是真实服务器的集合，后面虚拟服务会引用它。
第二步，新建虚拟服务。进入「服务器负载 > 虚拟服务 > 虚拟服务列表 > 新建」，关键配置项：
- 目标地址：必须是客户端可达的地址，可以配为 VLAN 接口地址
- 源 NAT 地址池：为了保证真实服务器回包经过设备，配源 NAT
- 目的地址转换和目的端口转换：必须选中
- 默认服务池：选中之前建的服务池
- 负载模式：FTP 负载只支持高性能模式，代理模式不支持
这里重点说 FTP 为什么只支持高性能模式。FTP 协议有控制连接和数据连接两条通道，数据连接的端口是动态协商的。代理模式下设备需要完整解析应用层协议，对 FTP 的动态端口处理起来有局限；高性能模式工作在四层，直接做 NAT 转发，不解析应用层，所以能支持 FTP。这个限制在选型阶段就要确认，如果你后端跑的是 FTP 服务，别选代理模式。
配置完成后点击提交，虚拟服务即可使用。验证方法是：用 FTP 客户端连接虚拟服务 IP，看请求是否被调度到后端真实服务器，并且回包是否经过设备。
4.2 链路负载均衡：地址对象、路由策略与链路池优先级
链路负载均衡的场景更复杂一些。案例需求是：内网 192.168.0.0/24 通过三条出口链路访问互联网，电信、网通、移动各一条，要求按目的地址选路，并且链路拥塞时能切换到备用链路。
配置步骤分五步：
第一步，创建地址对象。进入「模板和对象 > 对象管理 > 地址对象」，分别创建电信 ISP 地址库、网通 ISP 地址库、移动 ISP 地址库。地址对象是后续路由策略的匹配条件。
第二步，创建路由策略。进入「链路负载 > 虚拟链路 > 路由策略」，分别创建电信、网通、移动三条路由策略，匹配对应的地址对象。
第三步，创建链路节点。进入「链路负载 > 虚拟链路 > 链路节点」，分别创建电信链路、网通链路、移动链路，填入各自的公网地址和网关。
第四步，创建链路池。这是链路负载均衡的核心逻辑所在：
| 链路池 | 优先级配置 | 拥塞切换行为 |
|---|---|---|
| 电信链路池 | 电信最高，移动次之 | 电信拥塞时切到移动 |
| 网通链路池 | 网通最高，移动次之 | 网通拥塞时切到移动 |
| 移动链路池 | 移动最高，电信和网通优先级都为 1 | 移动拥塞时均匀切到电信和网通 |
| 默认链路池 | 无优先级区分 | 未匹配路由策略时均匀转发 |
这个优先级设计对应了案例里的八条需求。电信和网通链路池都把移动设为次优先级，是为了在各自链路拥塞时把流量引导到移动；移动链路池把电信和网通都设为优先级 1，是为了在移动拥塞时均匀分流到另外两条链路。
第五步，创建虚拟链路。进入「链路负载 > 虚拟链路 > 链路列表」，创建虚拟链路「lc」，引用上面创建的链路池。
配置完成后，验证方法是：从内网分别访问电信、网通、移动的 IP，看是否走了对应链路；然后模拟某条链路拥塞（比如断开该链路），观察流量是否按预期切换。
4.3 链路健康检查与拥塞判定参数
链路负载均衡能不能按预期工作，取决于健康检查机制是否准确。设备通常通过探测目标地址来判断链路是否可用，探测方式可能是 ICMP 或者 TCP 探测。
常见做法是：为每条链路配置一个或多个探测目标，比如运营商 DNS 或者公网稳定地址。探测间隔和超时时间需要根据链路质量调整。如果探测间隔太短，链路轻微抖动就会触发切换，导致流量频繁切换；如果太长，链路真正故障时切换不及时。
拥塞判定通常基于带宽利用率或者延迟阈值。原文没有给出具体参数值，实际配置时需要根据链路带宽和业务容忍度来定。我一般会先把阈值设得宽松一些，观察一段时间后再收紧，避免误判。
注意：链路切换会导致已有连接中断，所以切换策略要结合业务特性。如果是长连接业务，频繁切换的代价很大，宁可多等几秒确认链路真的挂了再切。
5. 避坑与排查：配置过程中最容易翻车的五个点
这一章不讲新配置，专门说踩过的坑。每条按「现象 → 原因 → 解决」写，都是实际环境中遇到过的。
5.1 虚拟服务配好了但客户端访问不通
现象：虚拟服务显示已启用，服务池里真实服务器状态正常，但客户端连接 VIP 超时。
原因：最常见的是回程流量没经过设备。如果真实服务器的网关没有指向设备，也没有配源 NAT，服务器回包会直接走默认网关发给客户端，导致 TCP 三次握手完不成。
解决：检查虚拟服务里是否配了源 NAT 地址池，或者确认真实服务器的网关指向设备。用抓包工具在设备上行口和下行口分别抓包，看请求和回包是否都经过设备。
5.2 FTP 负载配了代理模式，数据连接建不起来
现象：FTP 控制连接能建立，登录成功，但列目录或传文件时卡死。
原因：FTP 负载只支持高性能模式，代理模式不支持动态数据端口。如果配了代理模式，设备无法正确处理 FTP 的数据连接协商。
解决：把虚拟服务的负载模式改成高性能模式。这个限制在配置前就要确认，别等业务上线了才发现。
5.3 双机切换后会话全部中断
现象：主备切换后，已建立的连接全部断开，用户需要重新登录。
原因：会话表没有同步，或者同步链路不通。主主模式下，两台设备需要通过心跳线同步会话状态，如果心跳线断了或者同步配置有误，切换后备设备没有会话信息，只能重建连接。
解决：检查心跳线连通性，确认「首先通讯地址」和「备选通讯地址」配置正确。切换测试时观察会话同步状态，确保切换前会话已经同步完成。
5.4 VLAN 接口 up 但业务不通
现象：VLAN 管理状态显示 UP，物理接口也 up，但 ping 不通 VLAN IP，业务流量也不通。
原因：Tagged/Untagged 配置和对端不匹配。比如设备侧配了 Tagged，对端交换机配的是 Access 口（Untagged），带标签的帧会被丢弃。
解决：确认两端 VLAN 模式一致。设备连服务器通常用 Untagged，连交换机 trunk 口用 Tagged。改配置后记得提交并验证。
5.5 软件升级后配置丢失
现象：通过 Web 升级软件版本，重启后发现之前的配置没了。
原因：升级过程中没有保存配置，或者新版本和旧配置不兼容。原文的升级步骤是「系统管理 > 版本管理 > 软件镜像 > 浏览 > 提交 > 重启」，但没有明确提到升级前备份配置。
解决：升级前一定要备份当前配置，并且确认新版本是否支持配置迁移。升级后如果配置丢失，用备份文件恢复。我一般会在升级前把配置导出到本地，升级后再导入，多花两分钟，省得后悔。
6. 升级与验证：Web 升级流程和上线前的检查清单
软件升级是运维绕不开的操作。原文给出的 Web 升级流程是：进入「系统管理 > 版本管理」，点击软件镜像浏览本地文件，选中版本文件后提交，然后重启设备，新版本在启动后加载。
这个流程看起来简单，但有几个细节决定成败。第一，升级前必须备份配置。第二，确认新版本和当前硬件型号匹配，别把 A 型号的固件刷到 B 型号上。第三，重启期间业务会中断，必须安排在维护窗口。
升级完成后，不要只看版本号变了就完事。我习惯做一轮完整验证：
| 检查项 | 验证方法 | 预期结果 |
|---|---|---|
| 管理口连通性 | ping 管理 IP，HTTPS 登录 | 正常响应 |
| VLAN 状态 | 查看 VLAN 列表和成员接口 | 与升级前一致 |
| 虚拟服务 | 客户端访问 VIP | 请求被正确调度 |
| 链路负载 | 分别访问各运营商 IP | 走对应链路 |
| 双机状态 | 查看高可用状态 | 主备同步正常 |
| 会话同步 | 切换测试 | 会话不中断 |
这套检查清单是我从多次升级翻车中总结出来的。有一次升级后没验证链路负载，结果路由策略的地址对象丢了，内网访问电信 IP 走了移动链路，用户投诉网速慢，排查了半天才发现是升级导致的配置丢失。从那以后我每次升级完都强制走一遍完整验证，不省这一步。
希望帮到你。
本文还有配套的精品资源，点击获取
