ESXi主机如何通过DCUI或Host Client配置静态IP地址？

Question

在ESXi主机首次部署或网络异常后，常因未配置静态IP导致无法通过vSphere Client或SSH远程管理。典型问题为：重启后IP恢复为DHCP获取值（即使此前在Host Client中修改过），或DCUI中完成静态IP设置却仍无法ping通网关。根本原因包括——未正确保存并应用网络配置（如遗漏“Restart Management Network”步骤）、物理网卡绑定错误、VLAN ID未匹配交换机端口、或管理网络所用vSwitch未关联正确物理网卡（vmnic）。此外，ESXi 7.0+默认启用“Lockdown Mode”时，DCUI修改可能被策略拦截；而Host Client中若误将IP设为与现有VMkernel端口冲突的地址，系统虽允许保存但会导致管理服务中断。用户常忽略验证步骤：未在DCUI中确认“Test Management Network”结果，或未检查`esxcli network ip interface ipv4 get`输出是否生效。此类问题易被误判为硬件故障，实则源于配置流程不完整或网络拓扑理解偏差。

Answer 1

```html

一、现象层：远程管理失联的典型表征

• vSphere Client 连接超时，提示“无法连接到指定主机”或“连接被拒绝”
• SSH 登录失败（Connection refused 或无响应），但控制台（DCUI）可本地访问
• 主机重启后管理IP自动回退至 DHCP 分配地址（即使 Host Client 中已手动修改）
• DCUI 设置静态IP并保存后，ping -I vmk0 <gateway> 失败，但物理链路指示灯正常
• ESXi 主机在 vCenter 中显示为“未响应”，但虚拟机仍正常运行（证明内核与存储网络未中断）

二、配置层：关键操作缺失与误操作清单

步骤	常见疏漏	后果
DCUI 静态IP设置	未执行 Restart Management Network（仅按F2保存即退出）	配置写入内存但未持久化至 /etc/vmware/esx.conf，重启丢失
Host Client 修改	将新IP设为已由其他 vmk 接口占用的地址（如 vmk1 已用 192.168.10.5，又将 vmk0 设为此地址）	系统允许保存，但触发内核路由冲突，vmk0 状态变为 down
vSwitch 绑定	管理端口组（Management Network）绑定至错误 vmnic（如 vmnic2 故障，却未切换至冗余 vmnic3）	物理链路UP但无有效上行路径，DCUI 显示“Link Up”但无ARP响应

三、策略层：ESXi 7.0+ 安全机制的隐性干预

自 ESXi 7.0 U2 起，默认启用 Lockdown Mode（严格模式），其影响如下：

• DCUI 中的网络配置变更会被 hostd 服务拦截，日志中可见：Lockdown mode prevents network configuration change
• 需先在 DCUI 中禁用 Lockdown Mode（F2 → Configure Lockdown Mode → Disable），再修改网络
• 若通过 vCenter 启用过“强制锁定”，还需检查 esxcli system settings advanced list -o /UserVars/HostClientLockdown 的值是否为 1

四、验证层：五步闭环诊断法

1. 查接口状态：esxcli network ip interface ipv4 get —— 确认 vmk0 的 IPv4 Address、Gateway 及 Enabled 字段
2. 验路由表：esxcfg-route -l —— 检查默认网关是否指向正确下一跳（非 0.0.0.0）
3. 测连通性：vmkping -I vmk0 -d -s 1472 <gateway_ip>（含DF位与MTU测试）
4. 析VLAN匹配：esxcli network vswitch standard portgroup policy security get -p "Management Network" → 对照交换机 show interfaces trunk 输出
5. 溯配置持久化：grep -A5 "ipaddress\|netmask\|gateway" /etc/vmware/esx.conf —— 验证是否落盘

五、根因层：网络拓扑认知偏差图谱

graph TD
  A[ESXi管理网络] --> B[vSwitch0]
  B --> C{Port Group: Management Network}
  C --> D[vmk0 VMkernel Interface]
  D --> E[Physical NIC: vmnic0]
  E --> F[ToP-of-Rack Switch]
  F -->|VLAN 10| G[Default Gateway]
  style A fill:#ffe4b5,stroke:#ff8c00
  style G fill:#98fb98,stroke:#32cd32
  classDef warning fill:#fff0f5,stroke:#ff69b4;
  class F warning;

常见拓扑误判：
• 认为“vmnic0 插在交换机端口即自动接入管理VLAN”，忽略交换机端口必须显式配置 switchport access vlan 10 或 switchport trunk allowed vlan 10；
• 将 iDRAC/IPMI 网络与 ESXi 管理网络混为同一物理平面，导致跨VLAN路由缺失；
• 在堆叠交换机环境中，未确认管理流量是否经由主控单元转发（部分堆叠协议不透传 vmk0 的ARP请求）。

六、修复层：生产环境安全加固式恢复流程

1. 进入 DCUI → F2 认证 → 禁用 Lockdown Mode
2. Network Configuration → IPv4 Configuration → Set static IPv4 address and gateway
3. 执行 Restart Management Network（关键！非仅保存）
4. 立即运行 Test Management Network（DCUI 内置工具，验证 DNS/Ping/Gateway）
5. 登录后执行：esxcli system settings advanced set -o /Net/GuestIPHack -i 0（禁用DHCP劫持保护）
6. 持久化校验：esxcli network ip interface ipv4 get | grep -E "(IP|Gateway|Netmask)"
7. 启用 Lockdown Mode（恢复安全基线）
8. 在 vCenter 中右键主机 → Reconfigure Management Network → 核对 vSwitch 绑定与 VLAN

```