关于H3C云平台通过增加子网的方式配置备份的问题

1. 管理节点不配置备份子网 IP：备份设备可访问CVM 管理 IP，但是备份业务跑不通（节点没有备份网 IP）
2. 管理节点配置备份子网 IP1.1.1.16：备份设备能通1.1.1.16，但是无法访问 CVM 原来的管理 IP。

一、根本原因（不是防火墙会话监控阻断）

CVK 底层是 Linux 系统，同一虚拟交换机（OVS）上配置多个不同网段 IP，会触发 Linux 源 IP 选路（反向路由）问题：

1. 备份设备1.1.1.100发起访问 CVM 管理 IP（假设管理 IP 是10.0.0.10），请求报文到达 CVM 主机。
2. CVM 主机路由表：目标1.1.1.100匹配本机上的本地子网 1.1.1.0/24，Linux 内核选择同子网的源 IP：1.1.1.16来回复报文。

✨关键点：回包源 IP 变成备份网 IP，而不是原来的管理 IP。

3. 备份设备收到回包，源 IP 是1.1.1.16，和它访问的目的 IP10.0.0.10不一致；TCP 会话直接断裂，表现就是连接不通。

你的理解误区：你以为回包会走管理网关；但 Linux 本机回包优先看目标对端 IP 属于哪个本地子网，优先使用该子网对应的源 IP 应答，不走默认网关。 该现象是 Linux 内核的标准行为，不是中间安全设备拦截；抓包在 CVM 主机上就可以看到回包源 IP 已经发生变化。

补充：H3C CAS 官方文档明确，备份网络应当使用独立备份类型虚拟交换机，不建议直接在业务虚拟交换机新增子网充当备份网H3C。

二、临时变通方案（不推荐长期生产，仅应急）

风险：升级、重启主机后策略路由配置丢失，需要重做。 在 CVM/CVK 合一节点后台 SSH 登录，配置策略路由（源 IP 强制）： 访问外部来访问本机管理 IP 的流量，回复报文强制使用管理网源 IP，不使用备份网 IP。 操作复杂，多节点集群每台 CVK 都要配置策略路由，维护成本高，升级容易丢失配置，不建议生产使用。

三、官方最佳实践（二选一，推荐方案 1）

方案 1：独立【备份网络】虚拟交换机（官方标准方案，强烈推荐）H3C

1. 每台宿主机增加一套独立物理网卡，创建类型 = 备份网络的 vswitch，单独配置备份子网，绑定独立物理网口，建议独立 VLAN。
2. 备份虚拟交换机只用于 CVK 主机之间备份流量，不挂载任何虚拟机。
3. 备份服务器：配置两张网卡
   • 网卡 A：接入管理网 → 访问 CVM 管理 IP，用于 API / 管理交互，获取虚拟机元数据、任务下发。
   • 网卡 B：接入独立备份网络子网 → 专门传输备份数据流。

优点：管理平面、备份数据平面彻底隔离；不会出现源 IP 选路问题；升级、重启配置不会丢失，符合 CAS 产品网络设计规范。

方案 2：备份服务器单网卡（受硬件限制，无法加网卡时使用）

备份服务器单网卡同时接入管理 + 备份 VLAN（Trunk）：

1. 备份服务器配置两个 IP：
   • IP1：管理网段，用来访问 CVM 管理 IP，做管理交互。
   • IP2：备份网段，用来和 CVK 节点跑备份数据流。
2. CAS 侧：依然创建独立的备份类型虚拟交换机，而不是在业务 vswitch 上加子网。

注意：CVK 节点管理网、备份网依旧两套独立物理网卡。

四、你现在这种组网（业务 vswitch 新增子网当备份网）存在的其他隐患

1. OVS 虚拟交换机上多子网，CVM/CVK 合一节点必然出现上述源 IP 回包异常；
2. 业务流量和备份大流量共享物理网卡，备份跑满带宽会挤压业务虚拟机网络；
3. CAS 升级主机组件、重启 CVK，自定义策略路由会丢失，故障复现；
4. 不符合产品规范，后续排错、版本升级会被 H3C 技术支持要求整改。

五、备份软件侧说明

备份软件的两个逻辑流量：

1. 管理控制流：备份软件 ↔ CVM 管理 IP；用于获取虚拟机列表、快照指令、任务调度。
2. 数据数据流：备份软件 ↔ CVK 节点备份网 IP；读取虚拟机磁盘数据做备份。

这两套流量建议分开走不同 IP / 不同网络平面，不要强行复用同一套子网。

总结

不通根因不是中间防火墙拦截，是 Linux 源 IP 反向选路。

不建议继续在业务虚拟交换机增加子网充当备份网；优先新建【备份网络】类型独立虚拟交换机；备份服务器尽量双网卡分别对接管理网、备份网。