网络共享案例

概述

阵列式服务器规模化集群部署中，项目立项阶段往往无法确定现场具体网络环境，部署阶段才发现现场普遍存在外网 IP 配额有限、网络管控严格、禁止批量配置多个外网 IP 等刚性约束。

传统网络架构采用"单核心板、单外网 IP"的一对一组网模式，每块核心板都需要独立申请或手动配置外网 IP 才能接入网络。该模式只适合小规模设备部署；面对大节点阵列集群，会出现 IP 资源不足、多 IP 部署违规、运维成本高、地址浪费等问题。若新增路由器，不仅增加硬件采购和后续维护成本，还要经过多部门协调、预算审批和采购手续，显著延长部署周期。

本案例通过 BMC 的高速网卡（带宽建议不低于 5 Gbps）配合内部三层交换机，用 VLAN 虚拟出 WAN 口和 LAN 口，并在 BMC 上启用 NAT 和 IP 转发，让整个集群只占用一个外网 IP。目标是在不新增网络设备的前提下，降低外网 IP 消耗、简化运维、提高地址利用率，并实现内外网逻辑隔离。

读者对象

• 网络管理员、交付工程师：现场外网 IP 配额有限，或禁止批量配置多个外网 IP。
• 运维人员：希望减少逐台配置子板 IP 的工作量和维护成本。
• 项目负责人：需要在不大规模改造现场网络的前提下完成集群部署。

应用场景

服务器集群节点数量持续增加时，传统一对一 IP 模式的局限性会集中暴露：

适合外网 IP 配额有限、禁止批量配置多个外网 IP、或不希望为组网新增路由器的集群部署。若现场外网 IP 充足，直接为每块子板配置独立 IP 即可，不需要启用本方案。

方案原理

WAN / LAN 怎么划分

BMC 的高速网卡与内部三层交换机配合，通过 VLAN 虚拟出两路逻辑网口：

三层交换机把算力节点与现场业务网络划分为两个相互独立的网络区域，完成内外网隔离。

单向通信怎么实现

本案例要求单向通信：算力核心可以访问摄像头等现场终端设备，现场网络不能直接访问算力核心内网。

图：外部网络只看到一个地址；算力核心使用内部地址接入，通过 BMC 的 NAT 共享外网 IP。

图：算力核心访问外网使用 MASQUERADE；现场网络访问算力核心内网未配置 DNAT，无法进入。

数据怎么走

算力核心访问现场终端：

1. 子板把数据发给 BMC 的 nic0；
2. BMC 开启 IP 转发，把数据转到 WAN 口（VLAN 50）；
3. 经过 MASQUERADE，源地址变成 BMC 的 WAN 地址；
4. 数据以这个唯一的外网地址发往现场业务网络。

现场网络访问算力核心：

1. 现场终端访问 BMC 的 WAN 地址；
2. BMC 没有配置到算力核心内网的 DNAT 规则，也没有对应路由；
3. 数据无法进入算力核心内网。

操作步骤

建议按「交换机 VLAN → aBMC → 子板与路由 → IP 转发与 NAT → 验证」的顺序配置。

# 开启 IP 转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 设置开机自动生效
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

# 如系统同时使用 nftables，先清空规则，避免冲突
nft flush ruleset

# 仅配置出方向：算力核心访问外网时做源地址转换
iptables-legacy -t nat -A POSTROUTING -o vlan50 -j MASQUERADE

# 查看规则
iptables-legacy -t nat -L -n -v