ADDC7.3如果纳管山石防火墙，并且下配置

纳管山石防火墙后状态为 Active，这只是第一步，代表控制器与防火墙的 SSH 管理通道已建立。要让它在 L4-L7 物理资源池中可见，并真正作为服务网关被调用，还需要完成后续的配置流程。

 第一步：山石防火墙侧必备配置

在 ADDC 纳管前，需确保山石防火墙已做好以下基础配置，这是通信的前提：

注意：请务必根据实际网络环境替换 IP 地址和密码，并确保山石防火墙的管理口（MGT口） 配置正确，ADDC 控制器能够 ping 通该地址。

 第二步：ADDC控制器侧关键操作

完成防火墙侧配置后，需在 ADDC 控制器中执行以下步骤：

1. 导入资源包：这是最关键的一步。除了你已导入的 Runbook 流程包和动作包，还需要导入适配山石防火墙的设备驱动包。这些包必须从 H3C 官方获取对应版本，官网无法直接下载，建议拨打 400-810-0504 热线，提供山石防火墙型号和 ADDC 版本申请。

2. 添加设备：在 资源 > 设备管理 中，选择“第三方防火墙”，接入类型选“SSH”，填入山石的管理IP、用户名和密码。

3. 关联网络分段：在网络 > 虚拟网络中配置分段（通常为管理段、业务内/外段、HA段），并将山石防火墙的接口映射到对应分段。

4. 检查全局配置：在 基础网络 > 网络 > 参数 > 控制器全局配置 中，确保 “边界设备对接第三方防火墙” 选项设置为 “关闭”。否则，租户页面可能无法选择网关资源。

 第三步：Runbook、流程包和动作包的使用

你导入的流程包和动作包是 Runbook 自动化编排的核心组件，它们的角色如下：

关键点：流程包和动作包必须是为 山石防火墙 适配的版本。如果导入的是为 H3C 自有设备设计的包，则无法正确驱动山石防火墙，需要确认是否有专门的适配包。

 第四步：创建 L4-L7 物理资源池

1. 进入 自动化 > 安全资源池 > 资源池 > 设备 页面，点击“增加”。

2. 搜索设备：直接搜索刚添加的山石防火墙名称。如果看不到，请检查：

   • 设备是否已被分配到当前用户所属的组织（在纳管时可设置“使用组织”）。

   • 设备状态是否为“active”，且健康检查通过（可在纳管时配置健康检查类型和地址）。

3. 如果仍看不到，可能需要先创建一个 “设备组” ，将山石防火墙加入该组，然后在创建 L4-L7 物理资源池时选择该设备组。

4. 创建资源池后，还需要配置 “服务链模板” ，将山石防火墙作为服务节点插入到服务链中，才能在后续的业务编排中被引用。

现象：添加 L4‑7 第三方防火墙，SSH 连通状态显示Active；新建 L4‑7 物理资源池下拉框看不到这台山石设备；runbook、动作包、流程包已导入，不知道如何使用。

关键点区分：

1. 设备列表显示 Active，仅代表 SSH 连通性检测成功，≠L4‑7 业务模型注册完成；SSH 连通和 L4‑7 资源池可选用是两套逻辑。
2. 第三方异构防火墙（山石、深信服等）全部依赖 Runbook 编排包实现 L4‑7 资源模型注册、接口发现、资源池识别；只添加设备、不执行初始化 Runbook，资源池下拉不会出现设备H3C。
3. H3C 原生 M9000 虚墙不需要 runbook；所有第三方 L4‑7 异构设备，必须执行初始化编排动作。

一、为什么状态 Active，资源池看不到设备（4 个根因，按优先级排查）

①没有执行山石防火墙初始化 runbook（最高概率）

添加第三方 L4‑7 设备仅仅保存 SSH 账号，不会自动做业务初始化。需要手动执行对应的初始化 playbook，完成：设备业务模型注册、物理接口发现、填充 L4‑7 资源数据库，之后资源池下拉列表才能识别设备。 只导入包，不执行初始化动作，资源池永远看不到设备。

②Region 归属问题

山石 L4‑7 设备没有归属正确 Region；创建 L4‑7 物理资源池时，页面只展示同 Region 下的 L4‑7 设备，跨 Region 设备不会出现在下拉选项。

③runbook / 动作包版本与当前 ADDC 版本不匹配

导入的山石流程包、动作包版本和 SeerEngine‑DC 大版本不兼容；导入成功但内部动作执行报错，模型注册失败。

④山石防火墙侧预配置缺失

1. 用于 runbook 执行的管理员账号权限不足，需要超级管理员权限，不能只读账号；
2. 山石防火墙到 ADDC Runbook 节点网络放通 SSH；防火墙系统时间与控制器时间偏差过大，会导致部分 API / 脚本执行异常。

二、完整标准操作步骤（山石第三方 L4‑7 网关）

步骤 1：山石防火墙侧预配置

1. 创建超级管理员账号，允许 SSH 登录，禁止只给只读权限；
2. 防火墙放通来自 ADDC runbook 节点 IP 的 SSH 访问；
3. 山石与 ADDC 控制器 NTP 时间同步，时间差＜10s；
4. 记录山石用于服务链的物理接口名称，后续 runbook 会读取接口列表。

步骤 2：ADDC 导入对应山石 Runbook 动作包 & 流程包

注意包版本必须匹配你的 SeerEngine‑DC 版本，高 / 低版本混用会动作执行失败。

1. 进入【自动化】‑【编排（Runbook）】‑【动作库】，导入山石的.zip动作包；
2. 进入【编排‑流程库】，导入山石流程包；
3. 确认动作库、流程库状态全部为 “已启用”，无导入报错。

步骤 3：添加第三方 L4‑7 设备（你已经完成）

【资源】‑【L4‑7 设备】‑添加设备，设备类型选择第三方防火墙；填入山石管理 IP、SSH 账号密码；保存，设备状态变为Active。

⚠️这里 Active 只代表 SSH 连通检测，不等于业务就绪。

步骤 4：执行【山石防火墙初始化】Runbook（核心，缺失这一步就看不到设备）

1. 打开【自动化】‑【编排 (Runbook)】‑【流程库】，找到山石对应的Hillstone‑初始化流程；
2. 点击【执行】，选择刚才添加的 L4‑7 山石设备实例，填入参数，执行流程；
3. 等待流程执行完成，查看执行日志，必须全部步骤显示成功 (success)；

该初始化动作完成主要工作：

• 读取山石设备硬件信息、物理接口；
• 在 ADDC 内部注册 L4‑7 物理网关资源模型；
• 把设备注册进对应 Region，之后 L4‑7 物理资源池下拉框才可以看到该设备。

❗常见坑：很多工程师以为导入包就完事，不手动执行初始化流程，资源池永远找不到设备。

步骤 5：创建 L4‑7 物理资源池

1. 【资源】‑【L4‑7 资源池】‑新建物理资源池；
2. Region 必须和山石 L4‑7 设备归属 Region 保持一致；
3. 此时下拉选择框中即可出现山石防火墙，勾选加入资源池。

步骤 6：服务链中调用该第三方 L4‑7 资源池

1. 创建服务链实例，资源类型选择【第三方 L4‑7 资源池】，选中刚才建好的山石资源池；
2. 在服务链配置页面指定山石的入接口、出接口（流量从 Leaf 重定向到山石，处理完成回注 Leaf）。

重要：第三方山石防火墙，ADDC 控制器不能下发安全策略、NAT、对象组；安全策略全部需要登录山石 Web/CLI 手工配置。Runbook 仅完成设备纳管、接口发现、资源模型注册；不能自动推送安全业务配置。流量牵引由 ADDC 服务链在 Leaf 上完成。

三、Runbook 执行失败排查要点

1. 查看 runbook 执行日志，看哪一步报错；常见报错：SSH 登录拒绝、权限不足、接口读取失败、时间不同步。
2. 确认山石账号为超级管理员，不是只读账号；
3. 确认 runbook 动作包适配当前 SeerEngine‑DC 版本；版本不匹配直接重新获取对应版本编排包；
4. 确认 Region 配置，L4‑7 设备与资源池必须同一个 Region。

四、关键命令 / 页面检查清单

1. L4‑7 设备列表：状态 Active，查看设备归属 Region；
2. Runbook 执行记录：【编排】‑执行历史，看初始化流程每一步返回码；
3. 查看系统日志：监控‑日志中心‑系统日志，筛选 L4‑7、FWaaS 模块报错H3C。

五、边界说明（山石第三方 L4‑7 限制）

1. ✅支持：设备状态监控、服务链流量牵引、物理资源池管理（依赖 runbook）
2. ❌不支持：ADDC 页面下发安全策略、NAT、安全域、对象组；所有安全业务在山石本设备手工配置；
3. ❌不支持 CGSR 虚墙模式；只能做物理 L4‑7 第三方服务链网关。

高频踩坑汇总

1. ❌误区：导入 runbook 包就自动完成初始化。导入只是上传脚本，必须手动执行初始化流程。
2. ❌误区：L4‑7 设备 SSH 状态 Active 代表业务就绪。Active = 仅 SSH 可达，L4‑7 业务模型注册依赖 runbook 初始化动作。
3. ❌Region 不一致：资源池和设备不在同一个 Region，设备不会出现在下拉选项。
4. ❌runbook 包版本与 ADDC 版本不匹配，执行全部失败，无报错提示，资源池看不到设备。