NetScaler Console

NetScaler MPX™ 通过 NetScaler Console 进行磁盘加密

December 18, 2025

投稿者:

C C

注意事项：

磁盘加密仅支持 NetScaler MPX 9100 实例。

NetScaler MPX 9100 实例的磁盘加密只能在独立 NetScaler Console 中启用。

从版本 14.1-56.x 开始，在 2025 年 5 月 20 日之后制造的 NetScaler MPX 9100、16000 和 MPX 15000-50G 实例上支持磁盘加密。

磁盘加密对于保护存储磁盘上的敏感数据至关重要。它可确保即使物理存储设备受到威胁，数据也无法访问。对于 NetScaler MPX，磁盘加密提供了一个额外的安全层，特别是对于 /var/core、/var/crash、/var/log、/var/nslog、/flash/nsconfig、/var/nstrace 和 /var/temp 等关键目录。

磁盘加密的一些优势包括：

静态数据保护：防止系统关机时未经授权访问敏感数据。
合规性：有助于满足数据安全方面的法规和合规性要求。
降低物理盗窃风险：确保被盗或放错位置的存储设备上的敏感和专有数据无法被访问。
安全启动过程：在启动期间需要经过身份验证的凭据，确保只有授权用户才能访问系统。
增强关键数据的安全性：保护日志、配置和崩溃数据免受未经授权的访问。

NetScaler MPX 9100 上的磁盘加密仅在 2025 年 5 月 20 日之后发布的版本 14.1-47.x 中受支持，并且可以通过运行版本 14.1-47.x 的 NetScaler Console 启用。每个 NetScaler MPX 实例的磁盘加密都需要一个由硬件安全模块 (HSM) 服务器（即 Thales CipherTrust Manager）管理的密钥。NetScaler MPX 实例使用 NetScaler Console 从 HSM 服务器获取密钥。

NetScaler MPX 9100、16000 和 MPX 15000-50G 上的磁盘加密仅在 2025 年 5 月 20 日之前发布的版本 14.1-56.x 中受支持，并且可以通过运行版本 14.1-56.x 的 NetScaler Console 启用。要启用此功能，请参阅通过 NetScaler Console 进行实例磁盘加密。

注意：

NetScaler Console 支持 Thales CipherTrust Manager 作为 HSM 服务器。

为了成功加密，您必须在 HSM 服务器中添加 NetScaler MPX 实例序列号。添加 NetScaler MPX 实例序列号后，NetScaler Console 将使用实例序列号从 HSM 服务器获取密钥。

磁盘加密完成后：

如果移除了 NetScaler MPX 实例磁盘，则数据将无法访问。
如果您重新启动 NetScaler MPX 实例，则只有在 NetScaler Console 使用其序列号从 HSM 服务器验证 NetScaler MPX 实例后，重新启动才能成功。

先决条件

确保：

对于 9100，NetScaler MPX 实例正在运行版本 14.1-47.x，并在运行版本 14.1-47.x 的本地 NetScaler Console 上进行管理。

注意：

NetScaler Console 服务不支持磁盘加密。
您已在 HSM (Thales CipherTrust Manager) 服务器中添加了 NetScaler MPX 实例序列号，以便 NetScaler Console 在使用其序列号验证实例后共享密钥。
NetScaler MPX 实例已通过 NetScaler Console 进行备份。有关详细信息，请参阅备份和还原 NetScaler 实例。
对于 MPX 16000 和 MPX 15000-50G，本地 NetScaler Console 的版本为 14.1 build 56.x。

在 HSM (Thales CipherTrust Manager) 服务器中添加实例序列号

在加密 NetScaler MPX 实例之前，您必须在 HSM 服务器中添加 NetScaler MPX 实例序列号。

登录到 Thales CipherTrust Manager 服务器。
在左侧窗格中，选择 Keys（密钥），然后单击 Add Key（添加密钥）。
在 Key Labels（密钥标签）下，添加一个名为 serialnumber 的标签，在 Label Value（标签值）文本框中指定实例序列号，单击 + 按钮添加密钥详细信息，然后单击 Add Key（添加密钥）。
在密钥详细信息页面中，您必须为此密钥启用 Exportable（可导出）开关。
注意事项：
- 支持的最大密钥大小为 511 字节。例如：支持 AES-128 和 AES-256。不支持 512 到 4096 之间的 RSA 密钥。
- 建议您仅使用支持的密钥大小。如果配置了不支持的密钥大小，则 NetScaler® 实例将失败。
- 确保指定正确的序列号。如果序列号不匹配，加密过程将不会启动。
- 建议您从 NetScaler Console 复制实例序列号。在 NetScaler Console GUI 中，导航到 Infrastructure > Instance > MPX（基础结构 > 实例 > MPX），选择 NetScaler MPX 实例，然后从 Select Action（选择操作）列表中单击 Get Serial Number（获取序列号）。

通过 NetScaler Console 进行实例磁盘加密

在开始磁盘加密之前，请确保通过 NetScaler Console 备份 MPX 实例。有关详细信息，请参阅配置实例备份。

备份后：

导航到 Infrastructure > Instances > NetScaler（基础结构 > 实例 > NetScaler）。
在 NetScaler MPX 选项卡中，您可以看到受管实例详细信息。您要加密的实例在 Disk Encryption Status（磁盘加密状态）下显示 Plain Text（纯文本）。
从 Select Action（选择操作）列表中，单击 Disk Encryption Settings（磁盘加密设置）。
从 Select Action（选择操作）列表中，单击 Promote device（提升设备）。

注意：

选择 Promote device（提升设备）选项是专门针对 2025 年 5 月 20 日之前制造的 MPX 设备激活磁盘加密功能的强制性步骤。请等待大约 30 分钟，让 MPX 设备完成转换为启用磁盘加密的设备。
在 Disk Encryption Settings（磁盘加密设置）页面中：
1. 指定 HSM 服务器的 IP 地址、用户名和密码，NetScaler Console 可以通过序列号从该服务器获取加密密钥。
2. 启用 Key Manager Proxy（密钥管理器代理）。您必须启用此选项才能继续磁盘加密过程。
  
  注意：
  
  即使加密完成后，也要确保 Key Manager Proxy（密钥管理器代理）始终处于启用状态。如果禁用此选项，则在升级实例或强制重新启动实例等情况下，加密实例将无法成功重新启动。
3. 单击 Save（保存）。
选择实例，然后从 Select Action（选择操作）列表中，单击 Encrypt File System（加密文件系统）。

出现确认窗口。单击“是”继续。
NetScaler Console 中出现一条确认消息，指示加密已启动，并且实例将在大约 30 分钟内处于“关闭”状态。

实例状态显示为 Encryption in progress（加密进行中）。

加密后验证

实例加密在大约 30 分钟内完成。加密完成后：

您可以使用 SSH 客户端登录到 NetScaler MPX 实例，然后使用以下命令验证加密是否成功：

show filesystemencryption

加密前加密后
您可以重新启动 NetScaler MPX 实例，并验证重新启动是否在加密后完成，如下例所示：
您可以使用以下命令验证 Key Manager Proxy（密钥管理器代理）是否已成功配置并可从 NetScaler 访问：

show keymanagerproxy

注意：

加密后，NetScaler Console 使用 mpx_disk_encryption_default_profile 访问 NetScaler MPX 实例。mpx_disk_encryption_default_profile 具有默认凭据 (nsroot/nsroot)。