华为云用户手册

后续操作 如果系统表结构发生了变化或者有表级别调整，则需要重新开启CDC配置，配置步骤如下： 先关闭CDC配置，请根据实际情况填写schema和name。 EXEC sys.sp_cdc_disable_table @source_schema = N'dbo', @source_name = 'baris', @capture_instance ='all' 重新开启CDC配置，请根据实际情况填写schema和name。 开启表级别配置。 IF EXISTS(SELECT 1 FROM sys.tables WHERE name='baris' AND is_tracked_by_cdc = 0) BEGIN EXEC sys.sp_cdc_enable_table @source_schema = 'dbo', -- source_schema @source_name = 'baris', -- table_name @capture_instance = NULL, -- capture_instance @supports_net_changes = 1, -- supports_net_changes @role_name = NULL -- role_name END

测试计划 表4 测试用例数量扩展 计费方式 包年/包月 适用场景 当CodeArts套餐中单版本包含的用例数不满足实际使用需求时，可购买测试用例数量扩展。 计费项 用例容量（万个） 购买限制 购买测试用例数量扩展前，已购买CodeArts服务基础版及以上套餐。 单次购买：1万个用例起购，步长1万个用例，上限为4万个用例。 计费公式 单价*用例容量*购买时长 计费周期 根据购买时长确定（以GMT+8时间为准）。一个计费周期的起点是您开通或续费测试计划用例数量扩展的时间（精确到秒），终点则是到期日的23:59:59。 例如，如果您在2023/03/08 15:50:04购买时长为一个月的测试计划用例数量扩展，那么其计费周期为：2023/03/08 15:50:04 ~ 2023/04/08 23:59:59。 变更配置 测试计划用例数量扩展支持变更配置，可以增加或减少用例容量，变更时系统将按照如下规则为您计算变更费用。 资源升配：变更后的用例容量高于变更前，此时您需要支付新老配置的差价。 资源降配：变更后的用例容量低于变更前，此时会将新老配置的差价退给您。 更多信息请参见变更资源规格费用说明。 到期后影响 测试计划用例数量扩展到期未续费时，该测试计划资源扩展将失效。

知识库 表1 知识库存储扩展 计费方式 包年/包月 适用场景 当CodeArts套餐中包含的知识库文件存储容量不满足实际使用需求时，可购买知识库存储扩展。 计费项 存储容量（GB） 购买限制 购买知识库存储扩展前，须完成CodeArts基础版及以上规格套餐的购买。 单次购买：10GB起购，步长10GB，上限为1000GB。 计费公式 单价*存储容量*购买时长 计费周期 根据购买时长确定（以GMT+08:00时间为准）。一个计费周期的起点是您开通或续费知识库存储扩展的时间（精确到秒），终点则是到期日的23:59:59。 例如，如果您在2023/03/08 15:50:04购买时长为一个月的知识库存储扩展，那么其计费周期为：2023/03/08 15:50:04 ~ 2023/04/08 23:59:59。 变更配置 支持变更存储容量，变更时系统将按照如下规则为您计算变更费用。 资源升配：变更后的存储容量高于变更前，此时您需要支付新老配置的差价。 资源降配：变更后的存储容量低于变更前，此时会将新老配置的差价退给您。 更多信息请参见变更资源规格费用说明。 到期后影响 到期未续费时，已购知识库存储扩展将失效。

制品仓库 表2 制品仓库存储扩展 计费方式 包年/包月 适用场景 当CodeArts套餐中包含的制品仓存储容量不满足实际使用需求时，可购买制品仓库存储扩展。 计费项 存储容量（GB） 购买限制 购买制品仓库存储扩展前，须完成CodeArts基础版及以上规格套餐的购买。 单次购买：10GB起购，步长10GB，上限为10000GB。 计费公式 单价*存储容量*购买时长 计费周期 根据购买时长确定（以GMT+08:00时间为准）。一个计费周期的起点是您开通或续费制品仓库存储扩展的时间（精确到秒），终点则是到期日的23:59:59。 例如，如果您在2023/03/08 15:50:04购买时长为一个月的制品仓库存储扩展，那么其计费周期为：2023/03/08 15:50:04 ~ 2023/04/08 23:59:59。 变更配置 支持变更存储容量，变更时系统将按照如下规则为您计算变更费用。 资源升配：变更后的存储容量高于变更前，此时您需要支付新老配置的差价。 资源降配：变更后的存储容量低于变更前，此时会将新老配置的差价退给您。 更多信息请参见变更资源规格费用说明。 到期后影响 到期未续费时，该制品仓库存储扩展将失效。

代码托管 表3 代码托管存储扩展 计费方式 包年/包月 适用场景 当CodeArts套餐中包含的代码仓总存储容量不满足实际使用需求时，可购买代码托管存储扩展。 计费项 存储容量（GB） 购买限制 购买代码托管存储扩展前，须完成CodeArts基础版及以上规格套餐的购买。 单次购买：10GB起购，步长10GB，上限为5000GB。 计费公式 单价*存储容量*购买时长 计费周期 根据购买时长确定（以GMT+08:00时间为准）。一个计费周期的起点是您开通或续费代码托管存储扩展的时间（精确到秒），终点则是到期日的23:59:59。 例如，如果您在2023/03/08 15:50:04购买时长为一个月的代码托管存储扩展，那么其计费周期为：2023/03/08 15:50:04 ~ 2023/04/08 23:59:59。 变更配置 支持变更存储容量，变更时系统将按照如下规则为您计算变更费用。 资源升配：变更后的存储容量高于变更前，此时您需要支付新老配置的差价。 资源降配：变更后的存储容量低于变更前，此时会将新老配置的差价退给您。 更多信息请参见变更资源规格费用说明。 到期后影响 到期未续费时，该代码托管存储扩展将失效。

部署分支安全服务 安全分支场景下，当分支网络建设完成后，可以叠加使用一系列安全服务。本场景支持的安全服务有：边界防护与响应服务、智能终端安全服务、威胁信息服务和 云日志 审计服务。请根据自身实际诉求，按需部署安全服务，具体参见表1。 表1 安全服务的部署步骤 部署的服务 部署步骤 步骤描述 文档参考 边界防护与响应服务 1 配置防火墙上线。 边界防护与响应服务的《部署指南》。 须知： 需要注意的是： 叠加安全服务时，建议检查配置，如果防火墙已完成设备上云，则无需重复以上操作。 当使用IPsec VPN分支场景时，防火墙使用云管模式上云；当使用SD-WAN分支场景时，防火墙使用传统模式上云。 2 在使用服务能力之前，配置基础业务： 配置设备安全域 配置全局白名单 授权黑白名单 查看威胁事件 威胁信息服务 - 无需部署操作，开通后可正常进行威胁信息搜索和查询。 - 智能终端安全服务 - 安装HiSec Endpoint Agent 查看终端资产 智能终端安全服务的《部署指南》。 云日志审计服务 1 配置防火墙上线。 云日志审计服务的《部署指南》。 须知： 需要注意的是： 叠加安全服务时，建议检查配置，如果防火墙已完成设备上云，则无需重复以上操作。 当使用IPsec VPN分支场景时，防火墙使用云管模式上云；当使用SD-WAN分支场景时，防火墙使用传统模式上云。 2 添加审计资产和日志上报。 父主题： 部署指南

畜牧业（FW） 某大型畜牧业公司以生猪养殖为核心，集饲料加工、种猪育种、生猪养殖、屠宰加工等于一体。目前拥有2000+家养殖场，遍布全国各地。 该公司希望采用自动化技术替代人工方式，提升整个企业养殖管理效率，打造智慧牧场新标杆。在实现过程中主要面临的困难包括： 各地养殖场无法集中管理，各类IoT设备繁多，管理复杂度高。 牧场每天产生数以亿计的养殖数据，牲畜对温度、湿度等数据比较敏感，一旦场内服务器遭遇威胁攻击，可能导致养殖停滞，给牧场带来巨大经济损失。 设备维护依靠IT人员现场勘察，而养殖场本身对外来生物管控严格，一般要求提前2天进行封闭消毒。一旦设备故障，定位成本高、耗时很长。 图1 畜牧养殖场组网图 如图1所示，采用华为乾坤安全分支解决方案，可以帮助畜牧业公司实现： 集中运维，远程管理：少量网络工程师统一集中运维全国所有的养殖场网络，零接触设备替换、升级、远程管理。 终端安全管理：自动物料器、温湿度传感器、AGV小车、视频监控等物联数据实时检测，异常终端隔离，全方位保障圈舍环境调控、精准饲喂和疫病监测。 物联应用优先保障：AGV小车等终端接入过程全旅程可视，多维度评估Wi-Fi网络质量，主动进行智能调优，保障牧场网络应用体验。 父主题： 应用场景

方案组网 图1 防火墙作为出口网关 如图1所示，方案采用云边端一体创新架构。 云端部署系列云服务，支持设备云化管理、威胁自动分析处置、安全策略一键下发，支持网络极简开局、智能运维。 本地网络边界部署安全设备（天关），提供入侵防御、反病毒、DNS过滤等能力，持续保护企业分支安全；提供DHCP、NAT、IPsec VPN分支上网以及分支互联/上云能力。 在PC、服务器等企业终端部署HiSec Endpoint Agent软件，云端时刻感知资产终端风险，防止终端感染和威胁在内网传播。

安全日常操作 安全分支场景下，华为乾坤提供了一系列安全服务，如边界防护与响应服务、智能终端安全服务、威胁信息服务和云日志审计服务。此类服务提供了诸多识别威胁、阻断威胁的能力，详细的操作指导请参见表1。 表1 安全服务操作 安全服务 操作描述 文档参考 边界防护与响应服务 介绍如何使用边界防护与响应服务，包括处置威胁事件、管理黑白名单、查看安全报表等。 边界防护与响应服务的《用户指南》。 威胁信息服务 介绍如何使用智能终端安全服务，包括检索威胁信息、查看威胁情报等。 威胁信息服务的《用户指南》。 智能终端安全服务 介绍如何使用网络威胁与评估服务，包括查看终端安全、配置 威胁检测 策略、处置威胁事件等。 智能终端安全服务的《用户指南》。 云日志审计服务 介绍如何使用云日志审计服务，包括审计资产管理、日志查询和导出等。 云日志审计服务的《用户指南》。 父主题： 常见维护操作

典型应用 某企业的分支机构规模和人员规模在逐步扩大，办公园区中接入的终端数量也逐步增加。企业当前缺少对接入网络的终端进行准入控制的手段，导致接入网络的终端的安全状态与使用者身份未知，无法保障终端入网安全可信。此外，企业终端目前缺少有效的安全防护面临着被病毒攻击的隐患。终端失陷后，病毒将在内网横向传播感染更多终端，最终造成企业系统瘫痪、数据遭遇破坏或丢失的后果，企业将蒙受巨大损失。 采用如图1所示的安全园区解决方案即可解决上述问题。 图1 园区办公场景 采用华为乾坤安全办公园区解决方案可以实现： 丰富的接入认证方式。基于不同的使用场景，提供多样化的接入认证方式为不同类型的终端用户进行用户身份合法性校验，并针对用户身份给予相应的网络权限。 确保入网终端安全可信。已安装HiSec Endpoint Agent的终端资产评分如小于云准入服务中定义的分数，则拒绝该终端接入企业网络。 提高终端安全能力。HiSec Endpoint Agent内置防病毒引擎和行为检测引擎，根据全攻击路径检测规则，对终端上的文件和目录进行毫秒级检测，快速判定威胁。 父主题： 方案概述

开通服务 安全分支解决方案由云管理网络和一系列安全服务组成。如果成功购买了云管理网络套餐和安全服务套餐，需要先激活套餐，才能正常使用各服务功能。 服务的开通步骤具体请参见表1。 表1 服务套餐开通 开通服务 套餐描述 开通步骤参考 云管理网络 支持试用套餐开通 支持云管理网络商用套餐开通 支持CloudCampus产品套餐开通 参见云管理网络的《服务开通》。 边界防护与响应服务 支持试用套餐开通 支持商用套餐开通（线下） 参见边界防护与响应服务的《服务开通》。 威胁信息服务 支持试用套餐开通 支持商用套餐开通（线下） 参见威胁信息服务的《服务开通》。 智能终端安全服务 支持试用套餐开通 支持商用套餐开通（线下） 参见智能终端安全服务的《服务开通》。 云日志审计服务 支持试用套餐开通 支持商用套餐开通（线下） 参见云日志审计服务的《服务开通》。 父主题： 部署指南

基于IPsec VPN的架构介绍 基于IPsec VPN的华为乾坤安全分支解决方案总体架构如图2所示，主要包括业务呈现层、管理/控制层、网络层。 图2 安全分支网络互联架构模型（IPsec VPN） 业务呈现层 华为乾坤提供了面向企业、MSP等不同用户角色的Portal界面，Portal中展示了完整的网络端到端业务处理和配置流程，业务呈现层将最终用户的诉求传递到华为乾坤云平台。 管理/控制层 网络管理/控制层主要提供设备一站纳管（通过Netconf协议纳管）、统一运维能力，同时基于智能算法实现威胁检测、自动处置、安全策略统一下发，保障重点业务平稳运行。 对于多分支/园区场景，华为乾坤提供了IPsec VPN互联网络编排能力，通过华为乾坤云平台对站点间VPN的模型进行编排、业务发放。 网络层 网络层由物理设备组成，是企业WAN的基础物理组网。基于场景诉求，选择合适的出口设备，主要包括防火墙和第三方VPN网关。 防火墙：主要适用于金融、物流、办公等高安全场景，采用防火墙做出口设备，可以做分支、总部的出口设备。 第三方VPN网关：多分支场景，总部网络一般已部署（已存在第三方VPN网关设备），此时分支设备需要和第三方VPN网关对接，只能通过IPsec VPN与第三方VPN网关对接。

基于SD-WAN的架构介绍 基于SD-WAN的华为乾坤安全分支解决方案总体架构如图1所示，主要包括管理层、控制层、网络层。 图1 安全分支网络互联架构模型（SD-WAN） 第三方BSS/OSS 华为乾坤开放了北向API接口，可以将SD-WAN纳入到已有的BSS/OSS等第三方业务编排系统，实现SD-WAN的集成和灵活定制。 管理层 管理层的核心是华为乾坤云平台，主要提供网络编排和管理能力，支持端到端业务处理。 网络编排：负责SD-WAN面向业务的网络模型抽象、编排和配置自动化发放，主要包括企业WAN组网和各种网络策略相关的业务编排。通过对网络模型的抽象和定义，屏蔽SD-WAN部署和实现的技术细节，使网络配置和业务发放更加简易、灵活。 网络管理：负责网络层设备的统一管理与运维，包括统一配置网络业务；采集设备告警、日志等信息；基于链路、应用、网络的性能数据采集、统计和分析；基于网络拓扑、告警管理、性能监控等方式多维度统计和呈现运维信息。 控制层 控制层的核心组件是RR（Route Reflector，路由反射器），主要负责控制网络层的路由转发和拓扑定义。其功能主要包括：VPN路由的分发和过滤、VPN拓扑的创建和修改、站点间Overlay隧道的创建和维护等。相比传统网络完全的分布式控制方式，这种集中式的控制实现了企业WAN控制平面和转发平面的分离，简化了网络运维操作，减少了网络配置错误几率，提升了企业WAN的运维效率。 网络层 从业务角度来说，企业的分支、总部和数据中心以及在云上部署的IT基础设施等都可以统称为企业的站点。用于不同站点WAN互联的网络设备以及中间的WAN一起构成了SD-WAN的网络层。 从网络功能层次划分，SD-WAN网络可以分为Underlay网络和Overlay网络两层。 Underlay网络：即物理网络，是由路由器等网络设备通过运营商提供的物理线路互联组成的WAN，常见类型有MSTP专线、MPLS VPN以及Internet等。 Overlay网络：即虚拟网络，是在一张物理网络上构建出一张或多张虚拟的逻辑网络。不同的虚拟网络虽然共享物理网络中的设备和线路，但虚拟网络中的业务与物理网络中的业务相互解耦。虚拟网络的多实例化，既可以服务于同一租户的不同业务（如多个部门），也可以服务于不同租户。 从网络设备的功能定位划分，网络层主要由Edge和GW两类设备构成。 Edge：是站点的出口CPE设备（Customer Premise Equipment）。Edge的本质是SD-WAN隧道的发起和终结点，也可以看做SD-WAN网络的边界点。Edge之间的Overlay隧道可以构建在任意的有线或者无线的Underlay WAN网络上。 GW：是连接SD-WAN站点和其他网络（如传统VPN）的网关设备。通过GW可以实现SD-WAN网络与传统网络、公有云网络间的互通。

背景信息 对于多园区/分支网络，通常会采用SD-WAN或IPsec VPN来实现分支间互联。 SD-WAN：属于一种动态的VPN，可以按需在站点间建立隧道，动态发布路由。SD-WAN通过在站点间建立GRE隧道来创建VPN通道，同时支持在GRE隧道上进行IPsec加密，以实现隧道的加密安全。另外SD-WAN可以基于应用、策略选择质量较优的链路发送数据，实现基于应用、策略的智能选路。 IPsec VPN：属于一种静态的VPN，通过在站点之间建立IPsec隧道来创建VPN通道，根据配置静态网段引流到VPN隧道中，实现站点间的业务通过VPN隧道进行访问。

零售业（AR） 某零售集团在中国400多个城市拥有超过4000家店铺，涉猎的商品包括保健产品、美容产品、香水、化妆品、日用、食品、饮品、电子产品、洋酒及机场零售业务。 该集团要求门店尽快扩张，业务数据需要接入总部和云数据中心，目前面临的主要困难包括： 4000+门店数量庞大，设备管理复杂。 缺乏专业IT人员，网络建设和运维能力匮乏，一旦网络故障无法及时响应，影响访客体验。 门店缺乏基本的安全防护手段，门店收银系统时常面临网络安全风险。 图1 零售门店组网图 如图1所示，采用华为乾坤安全分支解决方案，可以帮助零售集团实现： 网络和出口安全统一管理，分支门店状态实时可视。 设备即插即用，无需工程师现场调测，一家门店部署时间由1周降为1天，让网络部署不再成为门店扩张的瓶颈。 有线无线智能运维，故障远程指导定位解决。 安全问题实时阻断，门店安全优先保障。 父主题： 应用场景

物流业（FW） 某物联公司主要从事运输、仓储、搬运、包装、配送等工作，在全国10多个省份有200+家分拨中心。 该司希望分拨中心和总部之间能够进行业务互访，同时分拨中心实现无线全覆盖。在实现过程中主要面临的困难包括： 分拨中心的位置分散，分拨中心管理员完全不具备IT知识，远程业务部署的效率低下。 各分支网络无法统一管理，网络状态不可见，一旦故障，无法及时闭环，从而导致用户无法查看物流信息，引发大面积的投诉。 图1 物流分拨中心组网图 如图1所示，采用华为乾坤安全分支解决方案，可以帮助物联公司实现： 分拨中心设备即插即用，WLAN网络云端规划，配置一键下发，分钟级网络交付。 200+分拨中心网络状态云端集中可视，分支通过部署安全设备实时检测威胁，一旦故障云网联合定位，故障远程处理，运维效率大幅提升。 父主题： 应用场景

配置天关和防火墙上线 华为乾坤等保合规解决方案需要在客户侧部署天关或防火墙才能正常使用。本方案配套的天关或防火墙的型号，即同时支持边界防护与响应服务（标准版及addon版、专业版均可）、 漏洞扫描服务 和云日志审计服务的型号。该方案配套的具体型号，请参见《华为乾坤安全云服务天关和防火墙上云清单》（该文档获取需要权限，请联系华为产品经理或渠道获取）中同时支持以上三个服务的款型。 由于边界防护与响应服务、 漏洞扫描 服务和云日志审计服务均需要使用天关或防火墙，故共用一套上线指南，具体操作请参见《天关和防火墙上线指南》。 父主题： 部署指南

操作步骤 如图1所示，假设出口网关作为DHCP服务器，向交换机动态分配管理IP地址。为了完成交换机上线，DHCP服务器侧和交换机侧需要进行的操作如下。 图1 交换机通过DHCP Option方式上线示例 DHCP服务器侧：需要配置DHCP Option 148选项。 无论网关设备是防火墙还是路由器，只要保证出口已成功接入运营商网络，作为DHCP服务器时它们的配置大致一样。 以华为防火墙作为DHCP服务器为例，完整的配置如下，注意不要忘记最后的分号。 interface Vlanif100;ip address 192.168.100.1 255.255.255.0;service-manage all permit; interface Vlanif100：进入VLAN 100的逻辑接口。该数值为用户自定义，可修改。 ip address 192.168.100.1 255.255.255.0：设置IP地址。IP地址和掩码为用户自定义，可修改。 service-manage all permit：以策略全放通为例，一般不建议全放通，请根据实际情况设置。 dhcp select interface;dhcp server option 148 ascii agilemode=agile-cloud;agilemanage-mode=domain;agilemanage-domain=device.qiankun-saas.huawei.com;agilemanage-port=10020; agilemode=agile-cloud：设置切换模式为云模式，使能NETCONF。 agilemanage-mode=domain：设置注册方式。值为domain，表示使用URL 域名 注册；值为ip，表示使用IP地址注册。 agilemanage-domain=device.qiankun-saas.huawei.com：设置华为乾坤云平台的南向域名为device.qiankun-saas.huawei.com。 agilemanage-port=10020：设置端口号为10020。

邮件开局 邮件开局也称URL开局，在华为乾坤云平台完成ZTP配置后，平台会自动生成开局邮件/ZTP文件，其中包含的URL参数已经携带了设备上线所需的WAN口配置信息（以加密形式）。开局人员收到开局邮件/ZTP文件后，通过浏览器访问URL链接即可启动开局流程，完成设备自动开局。详细的邮件开局流程如图1所示。 图1 邮件开局流程 配置网络参数，并发送开局邮件。 （可选）若通过邮件开局，需要提前配置邮件服务器，选择“发送邮件方式”开局。 在华为乾坤云平台创建站点、添加设备并分别配置网络部署参数。 区分不同开局方式，执行如下操作： 发送邮件方式：在华为乾坤云平台配置设备开局邮件内容，并发送到指定邮箱帐号中。该邮件中提供的URL将以加密方式携带对应CPE设备的网络配置信息。 下载ZTP文件方式：从华为乾坤云平台获取ZTP文件，文件中提供的URL将以加密方式携带对应CPE设备的网络配置信息。 通过邮件/ZTP文件方式，获取包含开局参数的URL链接。 发送邮件方式：登录邮箱帐号，确认已成功接收到所有开局邮件，并将其携带至客户现场。 下载ZTP文件方式：获取ZTP文件，确认文件中包含所有开局设备的ZTP文件，并将其携带至客户现场。 通过手机或PC执行邮件开局。 待CPE设备安装完毕并启动成功后，开局终端通过有线或无线方式接入设备，点击开局邮件中的URL链接启动开局流程。 设备解析URL链接内容推送开局Portal页面，开局人员确认开局后，设备根据URL链接中的参数自动完成配置（一般包括接口配置、网络接入配置以及VPN配置）。 设备接入网络并注册到华为乾坤云平台。 设备根据URL中的华为乾坤云平台地址和端口号参数，自动发起注册。 若注册成功，平台自动下发业务配置数据至该CPE设备，至此开局流程结束。 若注册失败，待失败原因排除后，CPE设备会自动向华为乾坤云平台再次发起注册。

DHCP Option开局 DHCP Option开局是指网络管理员在华为乾坤云平台完成站点ZTP配置，在DHCP服务器上完成对CPE接口分配IP地址、平台的南向IP地址、端口号等信息。CPE接口通过DHCP方式向DHCP服务器申请IP地址，DHCP服务器在给CPE分配IP地址时，通过DHCP报文的Option选项将平台信息传递到CPE。CPE在获取IP地址接入到Underlay网络后，自动注册完成开局。 当WAN侧是IPv4网络时，采用Option 148方式；当WAN侧是IPv6网络时，采用Option 17方式。 表2 DHCP Option开局流程 步骤序号 步骤说明 1 开局前，网络管理员在华为乾坤云平台上配置站点、全局参数、配置ZTP。 2 网络管理员配置DHCP服务器。 3 站点开局人员完成CPE设备连线并上电。 4 DHCP服务器在给CPE分配IP地址的同时，通过Option 148/Option 17选项将华为乾坤云平台的相关信息传递给CPE。 5 CPE根据获取到的华为乾坤云平台信息，自主发起注册请求，从而完成DHCP Option开局。 CPE设备通过WAN侧L3接口与DHCP服务器互通。 开局流程如图3所示，数字对应表2中步骤序号。 此场景下，DHCP服务器为CPE设备的WAN侧L3接口分配临时IP地址，待CPE向华为乾坤云平台注册后，平台会为CPE的WAN侧L3接口分配正式的IP地址，覆盖临时IP地址。 例如，DHCP服务器给CPE的WAN侧接口GE1/0/1分配IP地址是10.1.1.1，平台上ZTP配置的是10.1.1.2，CPE会首先使用10.1.1.1向平台注册，配置下发成功后，GE1/0/1的IP地址会被替换为10.1.1.2。 图3 DHCP Option开局流程（WAN侧L3接口互通） CPE设备通过非WAN侧L3接口与DHCP服务器互通。 开局流程如图4所示，数字对应表2中步骤序号。 此场景下，DHCP服务器为CPE设备的非WAN侧L3接口分配IP地址，CPE通过非WAN侧L3接口接入管理网络后，向华为乾坤云平台注册，平台会为CPE的WAN侧L3接口分配IP地址。 例如，DHCP服务器给CPE的非WAN侧接口GE1/0/5分配的IP地址是192.168.1.1，平台上ZTP配置的是10.1.1.2，CPE会首先使用192.168.1.1向平台注册，配置下发成功后，CPE的WAN侧接口GE1/0/1的IP地址会被设置为10.1.1.2。 图4 DHCP Option开局流程（非WAN侧L3接口互通）

U盘开局 U盘开局是指网络管理员在华为乾坤云平台完成站点的ZTP配置后，自动会生成记录了CPE开局信息的ZTP文件，开局人员将ZTP文件存储在U盘中，再将U盘插入CPE以完成开局，具体流程参见图2。 图2 U盘开局流程 配置网络参数。在华为乾坤云平台创建站点、添加设备并分别配置网络部署参数。 生成ZTP文件。根据ZTP配置，平台自动生成记录了CPE开局配置信息的ZTP文件（即配置文件及索引文件），网络管理员将ZTP文件发送给站点开局人员。 批量导入ZTP文件。开局人员批量导入ZTP文件到U盘中，方便后续批量开局。 开局人员执行开局。待CPE设备上电并启动成功后，开局人员将准备好的U盘插入到CPE设备的USB接口上，系统自动启动U盘开局流程。 设备接入网络并注册到华为乾坤云平台。 设备根据ZTP文件中的华为乾坤云平台地址和端口号参数，自动发起注册。 若注册成功，平台自动下发业务配置数据至该CPE设备，至此开局流程结束。 若注册失败，待失败原因排除后，CPE设备会自动向华为乾坤云平台再次发起注册。

配置思路 图1是典型网络部署流程和步骤，如果您的网络业务有特殊需求，可以在此基础上进行调整。 图1 配置流程图 原始校园组网方案不变，WAC和Fit AP设备已打通管理通道。为方便管理和运维，现将WAC和Fit AP设备在华为乾坤云平台纳管。其中WAC通过命令行方式上云，Fit AP组通过配置CAPWAP源接口上云，然后远程进行业务配置。 数据规划。 Fit AP的安装点位保持原有设计。 基于现有组网规划网络信息，包括接口参数、无线业务、QoS策略、网络安全策略等。 配置前准备。 （可选）手机下载并安装华为乾坤APP软件，用于网络验收。 现场安装设备，包括硬装、连线、上电等。 设备上线。 准备工作：针对现有组网，获取AC和Fit AP设备基本信息，同时检查设备状态和网络状况。 创建站点并添加设备：在华为乾坤云平台创建站点，将AC和Fit AP设备加入同一个站点，以便统一配置。 配置设备上线云平台。 AC设备注册上线：工作模式切为云管理模式，采用Web网管配置对接云平台。 Fit AP设备注册上线：配置CAPWAP源地址接口。 在华为乾坤云平台配置网络业务。 认证授权准备。 员工Wi-Fi采用用户名密码认证，创建员工用户组，定制Portal推送页面、推送策略、认证规则等。 访客Wi-Fi采用短信认证，配置华为乾坤云平台与短信平台对接，定制Portal推送页面、推送策略、认证规则等。 配置无线业务。 认证服务器侧（华为乾坤云平台）：创建无线认证模板，配置员工和访客无线子网业务。 认证控制点侧（AC）：通过Web网管配置员工和访客无线子网业务，包括创建SSID模板、认证模板和QoS策略等。 配置设备数据上报。 上报设备侧基础数据至华为乾坤云平台，实现整网设备状态界面可视。 上报设备侧运维数据至华为乾坤云平台，以便进行网络故障识别、智能分析处置等运维操作。 结果验证。确认终端可以正常上网，可以在华为乾坤云平台监控各设备状态信息。 父主题： 独立AC+Fit AP监控上云组网场景

基础操作 表1 租户基础操作 操作任务 使用场景 操作入口 详细参考链接 委托MSP管理 当您需要委托MSP（服务渠道商）进行日常运维时，需要执行委托操作。 单击控制台右上角个人帐号，选择“委托”。 委托MSP管理 创建工单 当您在使用服务时，一旦发现问题即可创建问题工单。随后，华为工程师根据工单记录进行问题分析和处理。 单击控制台右上角个人帐号，选择“我的工单”。 工单管理 新建用户 华为乾坤支持分权分域管理。您可以根据组织结构划分不同的工作组，并为不同的工作组创建用户。 单击控制台右上角个人帐号，选择“权限管理”。 创建用户 订阅 华为乾坤支持订阅功能。订阅之后，华为乾坤会向订阅接受者发送订阅主题相关的信息。 单击控制台右上角个人帐号，选择“订阅”。 订阅管理 查看日志 日志主要包括操作日志和安全日志。当您需要了解相关信息的时候，可以查看。 单击控制台右上角个人帐号，选择“日志”。 日志查看

委托MSP 如果租户想委托MSP管理云管理网络，需要创建委托申请。等MSP审批同意后，将与MSP成功建立委托关系。 以租户帐号登录华为乾坤控制台。 在租户帐号界面，单击右上角帐号，选择“委托”进入委托界面。 单击“创建”，根据表2设置参数，然后单击“确定”。 表2 委托参数 参数 说明 受托方标识 若当前租户帐号由MSP创建，界面默认已填充对应的MSP标识。 若当前租户帐号是自注册，请向被委托的MSP获取唯一标识（在MSP界面，单击帐号名获取唯一标识）。 委托列表 选择“公共服务”中“基础管理”和“设备管理”角色卡片。 选择“网络服务”中“云管理网络”角色卡片。 委托角色包括管理员、审计员、开放接口操作员，默认全选。 委托到期时间 选择委托到期时间，到达该时间后，本次委托将自动结束。 说明 委托说明，此处填写的内容将在MSP的审批流程中显示。 在弹出的授权清单界面，确认无误后勾选“我已阅读代操作授权风险告知协议并明确该操作的风险”，单击“确定”。当MSP审批同意后，将与MSP建立委托关系。

选路策略 选路策略配置主要包含以下部分： 流分类配置 流量分类配置支持基于源IP、目的IP、协议、源端口、目的端口、DSCP标志和应用组等参数配置，当前是基于模板方式配置。 切换条件配置 切换条件包括：时延，抖动和丢包三个指标，其中一个指标不满足就会进行切换。支持按流量带宽进行选路控制，可保证高优先级应用不受低优先级应用的影响。 主备传输网络配置 主备传输网络基于传输网络进行选择，主备传输网络分别可以同时选择多个传输网络，可配置链路的优先级。当主传输网络存在多个传输网络时，所有传输网络对应的物理链路上承载的Overlay隧道链路质量都满足要求的情况下，优先从高优先级链路选择，当所有主传输网络的隧道不满足要求，则切换到备传输网络的隧道进行按优先级选择传输。

安全策略 URL过滤 支持配置URL过滤策略并下发到CPE设备，通过对用户访问的统一资源定位符URL（Uniform Resource Locator）进行控制，允许或禁止用户访问某些网页资源，达到规范上网行为的目的。可根据系统预置的高、中、低三种分类策略控制的模板来对URL进行分类，控制企业用户禁止或允许访问哪些类别的URL。这三种默认的分类如果不满足要求可以使用自定义的方式控制动作。当前支持如下几种级别： 高：代表相对比较严格的分类处理动作（例如：对成人网站、非法活动、社交网络、视频共享等网站进行控制）。 中：代表相对比较中等的分类处理动作。（例如：对所有成人网站和非法网站进行控制）。 低：代表相对比较宽松的分类处理动作（例如：对成人网站进行控制）。 自定义： 对每一个预定义分类自定义动作，即选择允许或者拒绝。 防火墙（Firewall） 防火墙是一种隔离技术，使内网和外网分开，可以防止外部网络用户以非法手段通过外部网络进入内部网络，保护内网免受外部非法用户的侵入。防火墙策略只在选中站点的域间生效，例如在trust域与untrust域之间生效。 IPS&AV安全策略 通过预置的IPS与病毒特征库，将报文的特征与特征库中的特征进行对比，如果匹配则采取相应的防御措施。从而对企业用户访问Internet的业务进行安全防护，阻断来自Internet的各种入侵行为，有效地保护网络安全。

QoS QoS策略配置主要包含以下部分： 流量分类配置 流量分类配置支持基于源IP、目的IP、协议、源端口、目的端口，DSCP标志和应用，当前是基于模板方式配置。 支持设置策略优先级 优先级值越大级别越低。 支持配置队列优先级，级别包含中等、高、最高。保证带宽可以设置为具体的值也可以设置百分比。 支持配置流量带宽限制，可以设置为具体的值也可以设置百分比。 支持为同一站点不同的传输网络设置不同的QoS应用策略。 支持在入方向上实现VN+APP的二层QoS策略。 支持按VN组进行QoS策略配置。

ACL Overlay 支持的ACL阻断策略： 增加、删除、修改和查看ACL策略 支持克隆一条ACL策略 ACL策略支持使能去使能 ACL策略绑定流分类模板 ACL策略指定时间生效模板 ACL策略支持绑定到站点 ACL策略支持站点视图查看站点绑定策略情况 支持ACL策略提交到设备 提交ACL策略支持设置预约下发时间 ACL策略支持设置策略优先级，队列优先级及限制带宽 ACL策略支持指定LAN侧接口配置 Underlay 支持的ACL阻断策略： 增加、删除、修改和查看ACL策略 支持克隆一条ACL策略 ACL策略支持使能去使能 ACL策略绑定流分类模板 ACL策略指定时间生效模板 ACL策略支持绑定到站点 ACL策略支持站点视图查看站点绑定策略情况 支持ACL策略提交到设备 提交ACL策略支持设置预约下发时间 ACL策略支持设置策略优先级 支持将ACL阻断策略下发至WAN接口，阻断站点的WAN侧入接口的业务报文

网络信息规划 本案例中规划的参数值、设备上线方式等均为示例说明，仅供参考，具体项目中根据实际情况调整。 表1 网络信息规划表 设计项 设计要点 设计内容 管理员设计 租户 租户帐号名称：test@huawei.com 租户帐号密码：testUser@123 架构设计 网络拓扑 见图1 设备选型 防火墙：USG6525E 汇聚交换机（随板AC）：S6730-H48X6C 接入交换机：S5731-H48P4XC AP：AirEngine5761-21 站点 站点名称：test_native_ac 站点类型：FW、LSW、WAC/Fit AP 设备接口互联 见图1 设备上线设计 防火墙接入Internet方式 采用Web网管配置 FW1为主用防火墙：GE0/0/1接口，PPPoE拨号 FW2为备用防火墙：GE0/0/1接口，PPPoE拨号 心跳线：主备防火墙通过GE0/0/2连接 防火墙注册上线方式 采用Web网管配置 华为乾坤云平台URL地址为device.qiankun-saas.huawei.com，端口号为10020 随板AC注册上线方式 采用Web网管配置 华为乾坤云平台URL地址为device.qiankun-saas.huawei.com，端口号为10020 随板AC下挂的设备获取IP地址方式 IP地址获取方式：DHCP动态获取，汇聚交换机（随板AC）作为DHCP Server IP地址范围：10.1.1.0/24 随板AC下挂的设备注册上线方式 DHCP Option148方式 NAT 在出口防火墙上开启NAT功能 用户上线设计 用户接入 教学上网（有线接入） 员工（本案例指教职工和学生，无线接入） 访客（无线接入） 用户终端的IP地址 IP地址获取方式：DHCP动态获取，汇聚交换机（随板AC）作为DHCP Server（网关） IP地址范围： 教学上网：10.1.2.0/24 员工：10.1.4.0/24 访客：10.1.6.0/24 用户所属的VLAN 教学上网：VLAN 10 员工：VLAN 20 访客：VLAN 30 终端接入与认证方式 教学上网：有线子网test-wired，802.1X认证 员工Wi-Fi：SSID名称为test-emp；Portal认证（用户名密码认证） 访客Wi-Fi：SSID名称为test-guest；Portal认证（短信认证） 用户业务设计 QoS 无线终端带宽限制：5Mbit/s

背景信息 除DHCP Option、注册查询中心等即插即用上线方式外，交换机也支持通过本地Web网管界面，手工配置华为乾坤云平台的URL/IP和端口号信息，最终完成上线。 交换机上如何使能NETCONF、切换到云管理模式，以及设置华为乾坤云平台对接参数的操作过程如下。除此之外，还需要保证交换机与华为乾坤云平台能够互通，才能完成上线。 V600款型交换机目前不支持通过Web网管方式上云，请通过其他方式上云。