ADDC纳管山石防火墙问题

根据您描述的情况，问题可能出在L4-L7物理资源池创建时的设备过滤或纳管类型选择上。山石防火墙属于三方防火墙，其纳管方式与H3C自有设备有差异。

1. 确认纳管方式
在控制器中添加L4-7设备时，选择“三方防火墙”进行纳管。请确认您选择的协议是SSH，且输入的管理IP、用户名、密码正确，状态为“active”表示纳管已成功。但请注意，中H3C SeerEngine-SEC安全控制器的静态代理和伪代理纳管方式不同：

• 静态代理：管理IP需填写Context的管理IP。
• 伪代理：管理IP需填写根墙的管理IP。

山石防火墙若支持多Context，请确认使用了正确的管理IP。

2. 创建L4-L7物理资源池
进入【自动化】-【安全资源池】-【资源池】-【设备】页面，点击“增加”。在选择设备时，请直接搜索您刚添加的山石防火墙名称。若看不到，请检查：

• 设备是否已被分配到当前用户所属的组织（在纳管时可设置“使用组织”）。
• 设备状态是否为“active”，且健康检查通过（可在纳管时配置健康检查类型和地址）。

如果仍看不到，可能需要先创建一个“设备组”，将山石防火墙加入该组，然后在创建L4-L7物理资源池时选择该设备组。参考中静态代理流程，需要先创建L4-L7物理资源池及模板，再添加设备。

3. Runbook、流程包和动作包的使用
Runbook通常用于自动化运维任务编排。对于山石防火墙作为服务网关，您需要：

• 在控制器中导入对应的“动作包”（包含山石防火墙的API或SSH命令模板）。
• 在“流程包”中编排调用这些动作的流程。
• 创建L4-L7物理资源池后，需要配置“服务链模板”，将山石防火墙作为服务节点插入到服务链中。

具体操作建议查看控制器中已导入的Runbook说明文档，确认流程包是否匹配山石防火墙的设备类型。如果流程包是为H3C自有设备设计的，可能无法直接驱动山石防火墙，需要确认山石防火墙是否支持NETCONF或RESTCONF等标准接口，或者是否有专门的适配包。

4. 验证与排查

• 在控制器“设备”页面，点击山石防火墙的“测试”或“连接检测”，确认控制器能正常下发配置。
• 若状态active但无法被资源池识别，尝试重新登录设备或重启控制器的南向服务。
• 检查控制器日志，确认山石防火墙纳管时是否触发了异常告警。

如需进一步协助，可提供山石防火墙的型号和软件版本，以及控制器中添加设备时的详细配置截图，以便更精准地定位问题。

纳管后状态为 Active，但在创建 L4-L7 物理资源池时找不到设备，这通常不是纳管失败，而是后续的配置流程尚未完成。要让山石防火墙作为服务网关被控制器识别和调用，需要完成从设备纳管到资源池创建，再到 Runbook 编排的完整链路。

 为什么在物理资源池中看不到设备？

设备状态为 Active 仅代表控制器与防火墙的 SSH 管理通道已建立，但控制器要将其作为 L4-L7 资源调用，还需要满足以下条件：

• 设备未被分配到当前用户所属的组织：在纳管时如果未设置“使用组织”，设备可能属于默认组织，导致在其他组织下不可见。

• 控制器全局配置未正确设置：在 基础网络 > 网络 > 参数 > 控制器全局配置 中，“边界设备对接第三方防火墙”应设置为 关闭，否则租户页面可能无法选择网关资源。

• 设备驱动包未正确导入：仅有 Runbook 流程包和动作包还不够，还需要导入适配山石防火墙的 设备驱动包，否则控制器无法识别设备的资源模型。

 正确纳管山石防火墙作为服务网关的完整步骤

第一步：山石防火墙侧配置

确保防火墙已开启 SSH 并配置了正确的管理访问权限：

第二步：在ADDC控制器中完成纳管

1. 导入资源包：从 H3C 官方获取适配山石防火墙的 设备驱动包 和 Runbook 流程包/动作包，并在控制器中导入。

2. 添加设备：在 资源 > 设备管理 中点击“增加”，选择 第三方防火墙，接入类型选择 SSH，填入山石防火墙的管理 IP、用户名和密码。

3. 验证状态：保存后设备状态应变为 Active，表示 SSH 通道和认证均正常。

第三步：创建 L4-L7 物理资源池

1. 进入 自动化 > 安全资源池 > 资源池 > 设备 页面，点击“增加”。

2. 搜索设备：直接搜索刚添加的山石防火墙名称。如果看不到，说明设备尚未被分配到你当前所在的组织，需要在纳管时设置“使用组织”或先创建设备组并将其加入。

3. 配置服务链模板：创建资源池后，还需要配置 服务链模板，将山石防火墙定义为服务节点，才能在后续的业务编排中被引用。

 Runbook、流程包和动作包如何使用？

你导入的流程包和动作包是 Runbook 自动化编排的核心组件，它们的角色如下：

关键点：流程包和动作包必须是为 山石防火墙 适配的版本。如果导入的是为 H3C 自有设备设计的包，则无法正确驱动山石防火墙，需要确认是否有专门的适配包。

 验证与排查清单