H3Ct5010 透明部署走带外管理vrf更新特征库

参考配置案例集的立即更新license。

Web方式：立即升级特征库文件典型配置

核心就是：特征库升级走管理口所在 VRF，并且指定用管理口的 IP / 路由。
一、你的场景关键点
T5010 透明模式：业务口二层，没有默认路由，业务 VRF 上不了网。
带外管理口（MGT）：单独 VRF（例如叫 mgmt），能上网。
要让IPS/AV 特征库更新流量 → 走 mgmt VRF → 从管理口出去上网。
二、先确认管理口 & VRF 基础配置（必须正确）
假设：
管理口：G1/0/24（或 MGT 口）
管理 VRF：mgmt
管理 IP：10.99.99.9/24
管理网关：10.99.99.1
命令行
bash
运行
# 1) 创建管理VRF
ip vpn-instance mgmt
ipv4-family
route-distinguisher 1:1

# 2) 管理口绑定VRF并配IP
interface GigabitEthernet 1/0/24
ip binding vpn-instance mgmt
ip address 10.99.99.9 255.255.255.0

# 3) 管理VRF下配置默认网关（关键！透明模式业务没路由，管理VRF要有）
ip route-static vpn-instance mgmt 0.0.0.0 0 10.99.99.1
Web 对应路径
网络 → 接口与 VRF → VRF：新建 mgmt
网络 → 接口：编辑 MGT 口，绑定 mgmt，配 IP
网络 → 静态路由：VRF 选 mgmt，目的 0.0.0.0/0，下一跳网关
三、特征库升级指定 “源接口 + 目的 VRF = mgmt”（核心）
Web 配置（推荐）
系统 → 升级中心 → 特征库升级


右上角：特征库服务器配置


填写：
源 IP 获取方式：指定接口
接口：选 G1/0/24（管理口）
目的 VRF：mgmt（非常关键，不填默认是业务 VRF，出不去）
服务器地址：默认 update.h3c.com 或官方 IP
确定保存。
命令行（等效）
bash
运行
# 进入特征库自动更新视图
ips signature auto-update

# 指定：用管理口IP发起升级
source interface GigabitEthernet 1/0/24

# 指定：服务器在 mgmt VRF 里查路由
vpn-instance mgmt

# 开启自动更新（可选）
update schedule weekly sun 3:00
四、安全策略放行（local → mgmt）
透明模式下，设备本身流量（local）也要允许：
Web
策略 → 安全策略 → 新建
源安全域：Local
目的安全域：Management
动作：允许
服务：HTTP、HTTPS、DNS
命令行
bash
运行
zone-pair security source local destination management
packet-filter ip
五、验证是否走对 VRF
bash
运行
# 1) 看特征库配置是否绑定mgmt
display ips signature auto-update

# 2) 测试管理VRF连通性
ping vpn-instance mgmt update.h3c.com

# 3) 抓包（可选）
diagnose
packet-capture interface GigabitEthernet 1/0/24
ping 通 + 配置里 vpn-instance mgmt → 升级流量一定走管理口。
六、常见坑
没配置 mgmt VRF 的默认路由：透明模式业务无路由，管理 VRF 必须单独配默认网关。
特征库服务器配置没选目的 VRF=mgmt：默认在全局路由表，透明模式不通。
local→management 策略拒绝：设备自身发起的流量被挡住。

这种情况在透明部署设备上很典型，操作时需要明确一点：H3C设备的特征库自动升级功能，默认不支持通过绑定了VRF的接口进行。

这意味着即便管理口网络畅通，自动升级也会失败。所以，要实现通过管理口更新特征库，你有以下三种方案可选：

💻 方案一：Web界面立即升级 (失败风险高)

你可以先在Web界面测试一下，虽然成功率不高，但操作最简单。

1. 创建连接：进入 系统 > 升级中心 > 特征库升级。

2. 登录验证：输入 admin 账户和密码，点击立即升级。

3. 操作与结果：如果成功，设备会开始下载升级。但如果失败，则证明你的设备不支持带VRF自动升级，这时你需要通过下面的离线方式来操作。

💾 方案二：Web界面本地升级 (推荐，100%成功)

既然网是通的，我们可以手动下载文件来升级，这是最稳妥的方法。

1. 下载特征库：在带外管理机上访问 H3C 官网产品支持页，找到H3C SecPath T5010对应的特征库文件（如AV、IPS等），下载到本地。

2. 执行升级：登录设备Web界面，进入特征库升级页面。点击本地更新，选择刚才下载的文件并上传，系统便会自动完成升级。

⌨️ 方案三：命令行开启定向升级 (理论上可行，建议向H3C确认)

虽然常规自动升级不支持VRF，但可以尝试强制指定出口。

登录设备的命令行界面，执行以下命令为特征库升级流量“指路”：

⚠️ 需要确认：
根据部分用户反馈，即使这样配置，升级功能仍可能不支持，建议执行前联系H3C 400热线确认。

⚙️ 操作前确认：检查License及安全策略

• 检查License：登录设备Web界面，进入“系统”->“License”菜单，或使用 display license 命令确保License有效且未过期。

• 检查安全策略：确保管理口（M-GigabitEthernet0/0/0）已加入安全域（如Management），并且配置了允许从管理口发起流量的域间策略。