> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/zh/gao-ji-qi-ye-ban-fu-wu/zoom-node/zoom-node-deployment-field-guide/zoom-node-deployment-considerations.md). # Zoom Node 部署注意事项 本节包含多个示例，说明 Zoom Node 如何支持各种服务模块，例如 Zoom Meetings Hybrid 和 Zoom Phone Local Survivability (ZPLS)。采用专用 IP 地址的典型部署方式如下图所示。 在 Zoom Node 上部署的每项服务都需要唯一的 IP 地址。如果 Node 为管理分配了一个特定地址，并为 Node 上部署的每项服务（最多四项）各分配一个地址，那么一个 Zoom Node 最多可拥有五（5）个 IP 地址。运行单一服务（例如 ZPLS）的 Zoom Node 如果 Node 和服务被分配共享同一个 IP 地址，则可以使用一个 IP 地址部署。 下方展示了多种部署选项。请注意各种部署选项所需的 IP 数量和证书（CN/SAN）。 ### 选项 1：部署了专用 IP 和主机名的 Zoom Meetings Hybrid
上图概述了部署以下内容所需的 IP 和证书配置要求 **Zoom Meetings Hybrid** 在本地部署或混合云环境中。 下表分解了示例 Node，并包含其有效代理和 MMR 服务模块： | 组件 | 主机名 | TLS 证书角色 | 功能 | | ---------- | -------------------- | ----------- | ------- | | Node 操作系统 | `node1.customer.com` | 通用名称（CN） | 核心编排 | | Zoom 连接器代理 | `zcp1.customer.com` | 主题备用名称（SAN） | 信令和会议控制 | | 媒体模块路由器 1 | `mmr1.customer.com` | 主题备用名称（SAN） | 媒体路由和处理 | | 媒体模块路由器 2 | `mmr2.customer.com` | 主题备用名称（SAN） | 媒体路由和处理 | | 媒体模块路由器 3 | `mmr3.customer.com` | 主题备用名称（SAN） | 媒体路由和处理 | {% hint style="info" %} 必须为每个模块分配一个专用静态 IP 地址。所需 IP 地址总数：五（5）个 {% endhint %}
上图概述了部署以下内容所需的最小配置 **Zoom Phone 本地容灾（ZPLS）**. ZPLS 通过在 Zoom Node VM 上本地运行容灾逻辑，可在互联网或云中断时保持电话服务可用。 以下主机名必须在 DNS 中配置并包含在 TLS 证书中： * `node1.customer.com` * `zplsl.customer.com` **主机名功能映射** | 组件 | 主机名 | TLS 证书角色 | 功能 | | --------- | -------------------- | -------- | ----------------- | | Node 操作系统 | `node1.customer.com` | 通用名称（CN） | 核心编排 | | ZPLS 模块 | `zplsl.customer.com` | 主题备用名称 | Zoom Phone 本地容灾逻辑 | **TLS 证书配置** | 字段 | 值 | | -------- | -------------------- | | 通用名称（CN） | `node1.customer.com` | | 主题备用名称 | `zplsl.customer.com` | 必须生成或采购证书（公有或私有 CA），以包含上面列出的 CN 和 SAN。这可确保在模块间安全通信时进行正确的 TLS 验证。 **IP 地址要求** | 指标 | 值 / 说明 | | ------------ | ------------------------------------- | | 所需 IP 地址总数 | 5（通用分配） | | 在 ZPLS 场景中使用 | 2 个 IP（1 个用于 Node 操作系统，1 个用于 ZPLS 模块） | 虽然一般部署需要五（5）个 IP， **但实际只使用两个（2）个 IP 地址** 在 ZPLS 部署中：每个模块一个，运行在一台 **专用节点虚拟机**. {% hint style="warning" %} ZPLS 只允许每个节点虚拟机部署一个模块。你不能在同一台虚拟机上将 ZPLS 与其他 Zoom 模块共置。 {% endhint %} 这些图如何比较？第一张图显示了一个 Zoom Meetings 混合部署示例。第二张图显示了一个 Zoom Phone 本地生存性部署示例。 如果需要，你可以在操作系统和第一个模块之间共享第一个 IP/主机名，以减少所需的 IP 地址、主机名和主题备用名称（SAN）数量。 ### 选项 2：使用共享 IP 和共享主机名部署的 Zoom Meetings 混合部署
此配置重复了选项 1 的 Zoom Meetings 混合部署图中所示的节点结构。但是，在此部署中， **节点操作系统与第一个已部署模块共享其 IP 地址** （通常为 Zoom 连接器代理，ZCP）。这会在满足 TLS 和功能要求的同时减少 IP 使用量。 以下主机名必须在 DNS 中配置并包含在 TLS 证书中： * `zcp1.customer.com` * `mmr1.customer.com` * `mmr2.customer.com` * `mmr3.customer.com` **主机名功能映射** | 组件 | 主机名 | TLS 证书角色 | 功能 | | --------------- | ------------------- | ----------- | ------- | | ZCP（Zoom 连接器代理） | `zcp1.customer.com` | 通用名称（CN） | 信令和会议控制 | | 媒体模块路由器 1 | `mmr1.customer.com` | 主题备用名称（SAN） | 媒体路由和处理 | | 媒体模块路由器 2 | `mmr2.customer.com` | 主题备用名称（SAN） | 媒体路由和处理 | | 媒体模块路由器 3 | `mmr3.customer.com` | 主题备用名称（SAN） | 媒体路由和处理 | **TLS 证书配置** | 字段 | 值 | | -------- | ------------------------------------------------------------- | | 通用名称（CN） | `zcp1.customer.com` | | 主题备用名称 | `mmr1.customer.com`, `mmr2.customer.com`, `mmr3.customer.com` | 证书必须包含所有 SAN，以支持 Zoom Node 与已安装的 Zoom 模块之间的安全 TLS 通信。 **IP 地址要求** | 指标 | 值 / 说明 | | ----------- | ---------------------- | | 所需 IP 地址总数 | 4 | | IP 共享策略 | 节点操作系统与第一个模块共享 IP（ZCP） | | 需要单独 IP 的对象 | ZCP/MMR1、MMR2、MMR3 | {% hint style="info" %} 当 IP 地址 **共享** 在节点操作系统与第一个已部署模块（ZCP）之间，仅 **四（4）个 IP 地址** 是必需的。此设计在遵守部署标准的同时优化了 IP 使用。 {% endhint %}
上图显示了一个最小化的 ZPLS 部署，其中 **节点操作系统与已安装的 ZPLS 模块共享其 IP 地址**。这是 **唯一场景** 在 Zoom Node 框架中， **单主机 TLS 证书** 有效。 必须在 DNS 中配置以下主机名，并将其包含在 TLS 证书中： * `zplsl.customer.com` **主机名功能映射** | 组件 | 主机名 | TLS 证书角色 | 功能 | | ------- | -------------------- | -------- | ----------------- | | ZPLS 模块 | `zplsl.customer.com` | 通用名称（CN） | Zoom Phone 本地容灾逻辑 | **TLS 证书配置** | 字段 | 值 | | -------- | ------------------- | | 通用名称（CN） | `zcp1.customer.com` | | SANs | （不需要） | 在此配置中，单主机证书已足够，因为操作系统和 ZPLS 模块共享相同的主机名和 IP 地址。 **IP 地址要求** | 指标 | 值 / 说明 | | ---------- | ----------------------- | | 所需 IP 地址总数 | 1 | | IP 共享策略 | 节点操作系统和 ZPLS 共享一个 IP 地址 | | 部署限制 | 每个节点虚拟机仅允许一个模块（仅限 ZPLS） | {% hint style="warning" %} 在 Zoom Node 架构中，ZPLS 是唯一受支持的场景，其中： * 单主机证书（仅 CN）是可接受的 * 由于操作系统-模块 IP 共享，部署仅需要一个（1）个 IP 地址 * 不支持在同一台虚拟机上共置其他模块 {% endhint %} ### 决定哪种证书管理方法最适合你的部署 在 Zoom Node 上部署的每个服务模块都需要一个由 Zoom Node 证书信任列表中的公开受信任证书颁发机构（CA）签署的有效证书。这包括知名的公共机构。 Zoom Node 提供两种证书管理方法： * **自动 PKI**：这一创新解决方案可自动完成与公开受信任证书颁发机构（CA）的安全证书注册和续期。Zoom 承担注册和续期相关费用。 * **自带证书（BYOC）**：使用此选项，你提供自己的证书，由任何主要的公开受信任 CA 签署。你负责证书注册和续期。关于使用客户提供的证书时 Zoom Node 最多可支持五个主机名/SAN 的潜在情况，还需考虑其他事项，下面将进一步说明。 #### 使用 Auto PKI 的自动证书管理 Zoom 自动 PKI 会为 Zoom Node 平台以及部署在其上的任何模块自动安装有效的公开受信任 CA 证书。证书续期也会自动处理。这简化了所有服务以及 Zoom Node 本身的证书管理。 #### 了解 Auto PKI 证书注册和续期 以下场景可帮助你了解证书注册和续期的工作方式。 例如：一名管理员已部署了一个新的节点实例。每个实例都需要一个有效的 x509 证书。 **证书的私钥绝不能离开此实例**. Auto PKI 过程执行以下步骤： 1. **模板检索**：从 Zoom 云中的 Auto PKI 服务提取所有受支持的配置模板，包括多个 CA 提供商的选项。 2. **IP 地址收集**：收集运行在 Node 上的服务所使用的所有 IP 地址，并将它们发送到 Zoom 云中的 Auto PKI 服务。 3. **DNS 名称配置**：Auto PKI 云服务会返回一组以下格式的 DNS 名称 `..zoomonprem.com`。这些域已配置 A/AAAA 记录。 4. **预留 DNS 名称请求**：请求一个以下格式的预留 DNS 名称 `rsvd-..zoomonprem.com`. 5. **证书请求生成**：使用第三步中的 DNS 名称作为 SAN 字段，并使用第四步中的预留名称作为通用名称（CN）字段，生成一个 x509 证书请求。 6. **证书签发**：将证书签名请求（CSR）发送到 Zoom 云中的 Auto PKI 服务。然后该服务与 CA 供应商协作签发证书，其中包括上一步中的 SAN 列表和 CN 字段。 7. **本地存储**：将上一步中新签发的 x509 证书及其对应的私钥（之前生成）写入本地存储，使其可供运行在 Node 实例上的服务使用。 Auto PKI 通过自动监控到期日期并请求新证书，简化了 Zoom Node 上的证书管理，从而无需手动续期。 #### 自带证书（BYOC） 你可以使用本地 Web 界面在 Zoom Node 上安装你自己的有效、公开签名的证书。你可以在初始安装期间执行此操作，也可以在稍后执行。对于习惯在基于 Web 的应用程序上安装证书的人来说，这个过程会很熟悉。 如果你选择使用自己的证书，请记住，该证书将位于一台与多个主机名通信的服务器上。因此，你选择的证书类型必须支持来自多个主机名（证书 CN）的流量加密。Node 和任何已部署服务所使用的所有主机名都必须能被 Zoom 的云服务公开解析。 Zoom 建议使用两种证书： * **通配符证书** * **多 SAN 证书** （也称为多域证书、SAN 证书或 UCC 证书） {% hint style="danger" %} 典型的单主机证书不适用于 Zoom Node，除非在一个特定场景中，一个 IP 地址和主机名被 Zoom Node 与一个单独模块共享。有关更多背景，请参阅中的 ZPLS 图示 [#option-2-zoom-meetings-hybrid-deployed-with-a-shared-ip-and-shared-hostname](#option-2-zoom-meetings-hybrid-deployed-with-a-shared-ip-and-shared-hostname "mention") 部分。 {% endhint %} **通配符证书：为简化而推荐** 通配符证书可以加密该域中任何主机名的流量。例如：像 \*.customer.com 这样的通配符证书可以加密来自 `host1.customer.com` 和 `host2.customer.com` 或该域内的任何名称 `.customer.com`. 当你部署 Zoom Node 并安装通配符证书时，它将自动加密你在 Node 上部署的任何服务的流量，前提是所部署的所有服务都使用来自通配符域的完全限定域名（FQDN）。 这将把在 Node 上部署服务的工作量降到最低：在部署之前，你无需知道这些服务的名称。不过，如果使用多 SAN 证书方法，则需要知道服务名称。 **Multi-SAN、多域、SAN 或 UCC 证书** {% hint style="warning" %} 你必须知道将用于 Node 的主机名和 IP 地址（最多 1 个），以及你将安装的任何服务的主机名和 IP 地址（最多 4 个）。 **在注册证书之前需要这些信息**. {% endhint %} 对于 Zoom Node，Multi-SAN 证书是必需的，因为它可以加密来自 5 个主机名的流量。此证书的一次性请求需要事先了解所有必要信息，包括计划中的 Node 名称以及计划部署在 Node 上的所有服务名称。例如，像 ZPLS 这样的模块，每个 Node 只部署一个 ZPLS 模块，因此 ZPLS 服务主机名只需额外一个 SAN。 下表可作为示例： | 主机名（SAN） | IP 地址 | | ---------------------------- | ------------- | | `zoom-node01.company.com` | `10.1.50.100` | | `zpls.company.com` | `10.1.50.100` | | `zoom-recording.company.com` | `10.1.50.101` | | `zoom-网络研讨会.company.com` | `10.1.50.102` | | （服务 4 - 此示例中未使用） | （不适用） | 此示例为典型配置：一个 Node 在同一 IP 上承载 ZPLS，并在不同的 IP 上承载另外两个服务。请将“company.com”替换为你的实际域名，并使用你网络中的 IP 地址。 **DNS 解析要求** Zoom 要求这些主机名可被公开解析，以便建立双向信任。所有 Zoom Node 主机名以及部署在这些节点上的所有服务主机名都必须包含在 DNS 区域中。 如果你的组织运行独立的内部和外部 DNS 服务或域，则 Zoom Node 主机名需要托管在一个可由你的外部 DNS 服务器解析的区域中（可限制为仅解析 Zoom IP 范围）。你的内部 Zoom 用户和 Zoom 云需要使用同一组主机名进行通信。 --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://library.zoom.com/technical-library/zh/gao-ji-qi-ye-ban-fu-wu/zoom-node/zoom-node-deployment-field-guide/zoom-node-deployment-considerations.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.