第一阶段 — 构建

第一阶段负责部署并验证完整的 CSD 基础设施。请按顺序完成所有步骤 — 每个步骤必须通过（PASS）后方可继续。在执行这些命令之前，请返回索引页完成环境设置和变量解析。

步骤 0：检查并创建命名空间（条件性）

检查目标命名空间是否已存在于租户中。如果不存在，则创建它。在 NAMESPACE_CREATED Shell 变量中记录结果 — 第四阶段拆除时将使用此变量决定是否删除命名空间。

NS_CHECK=$(curl -s -o /dev/null -w '%\{http_code\}' \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/web/namespaces/xF5XC_NAMESPACEx")

NAMESPACE_CREATED="false"
if [ "$NS_CHECK" = "404" ]; then
  curl -s -X POST \
    -H "Authorization: APIToken xF5XC_API_TOKENx" \
    -H "Content-Type: application/json" \
    -d '{"metadata": {"name": "xF5XC_NAMESPACEx"}, "spec": {}}' \
    "xF5XC_API_URLx/api/web/namespaces" | jq .
  NAMESPACE_CREATED="true"
fi

注意

spec 字段为必填项。 F5 XC 命名空间 API 要求请求体中包含 spec 字段，即使不需要任何配置时也需传入空对象 {}。省略 spec 将返回错误码 3（“spec should not be empty in request”）。

证据

确认命名空间存在，并记录是否为新建：

curl -s -o /dev/null -w '%\{http_code\}' \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/web/namespaces/xF5XC_NAMESPACEx"
echo "NAMESPACE_CREATED=$NAMESPACE_CREATED"

字段	预期值	状态
HTTP 状态码	200	返回则为 PASS，返回 404 或其他则为 FAIL
NAMESPACE_CREATED	true（已创建）或 false（已存在）	仅供参考 — 供第四阶段拆除使用

步骤 1：创建健康检查（可选）

创建一个 HTTP 健康检查，供源池用于监控后端健康状态。

注意

健康检查对于 CSD 是可选的。 客户端防御功能不依赖源健康监控。如果您的租户已耗尽健康检查对象限制（错误码 8 — 请参阅错误处理），请跳过此步骤，在不含健康检查引用的情况下创建源池。CSD 将正常运行。

如果确实创建了健康检查，请在创建源池之前创建它。源池必须引用一个已存在的健康检查 — 如果在创建源池时健康检查尚不存在，该引用将静默为空。

curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{
    "metadata": {
      "name": "xF5XC_HC_NAMEx",
      "namespace": "xF5XC_NAMESPACEx",
      "labels": {},
      "annotations": {},
      "disable": false
    },
    "spec": {
      "http_health_check": {
        "use_origin_server_name": {},
        "path": "/",
        "use_http2": false,
        "headers": {},
        "request_headers_to_remove": [],
        "expected_status_codes": ["200"]
      },
      "timeout": 3,
      "interval": 15,
      "jitter": 0,
      "unhealthy_threshold": 1,
      "healthy_threshold": 3,
      "jitter_percent": 30
    }
  }' \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/healthchecks" \
  | jq .

返回 200 响应及创建的对象，即确认健康检查已创建。如果响应包含 "code": 8 且消息类似 "Object kind healthcheck has exhausted limits(150)"，则租户已达到健康检查上限 — 跳至步骤 2 并省略健康检查引用。CSD 不依赖健康监控。

证据

确认健康检查存在：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/healthchecks/xF5XC_HC_NAMEx" \
  | jq '{name: .metadata.name, namespace: .metadata.namespace, path: .spec.http_health_check.path, interval: .spec.interval}'

字段	预期值	状态
HTTP 状态码	200 含对象	返回则为 PASS，返回 404 则为 FAIL
name	与 F5XC_HC_NAME 一致	PASS
path	/	PASS
步骤 1 已跳过（错误码 8，已达上限）	—	PASS（健康检查对 CSD 为可选项）

步骤 2：创建源池

创建一个指向后端服务器的源池。如果在步骤 1 中创建了健康检查，请包含 healthcheck 引用。如果步骤 1 已跳过，则使用空数组。

包含健康检查（步骤 1 成功）：

curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{
    "metadata": {
      "name": "xF5XC_ORIGIN_POOLx",
      "namespace": "xF5XC_NAMESPACEx",
      "labels": {},
      "annotations": {},
      "description": "Origin pool for CSD demo",
      "disable": false
    },
    "spec": {
      "origin_servers": [{
        "public_ip": { "ip": "xF5XC_ORIGIN_IPx" },
        "labels": {}
      }],
      "no_tls": {},
      "port": xF5XC_ORIGIN_PORTx,
      "same_as_endpoint_port": {},
      "healthcheck": [{
        "namespace": "xF5XC_NAMESPACEx",
        "name": "xF5XC_HC_NAMEx",
        "kind": "healthcheck"
      }],
      "loadbalancer_algorithm": "LB_OVERRIDE",
      "endpoint_selection": "LOCAL_PREFERRED"
    }
  }' \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/origin_pools" \
  | jq .

不包含健康检查（步骤 1 已跳过）：

curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{
    "metadata": {
      "name": "xF5XC_ORIGIN_POOLx",
      "namespace": "xF5XC_NAMESPACEx",
      "labels": {},
      "annotations": {},
      "description": "Origin pool for CSD demo",
      "disable": false
    },
    "spec": {
      "origin_servers": [{
        "public_ip": { "ip": "xF5XC_ORIGIN_IPx" },
        "labels": {}
      }],
      "no_tls": {},
      "port": xF5XC_ORIGIN_PORTx,
      "same_as_endpoint_port": {},
      "healthcheck": [],
      "loadbalancer_algorithm": "LB_OVERRIDE",
      "endpoint_selection": "LOCAL_PREFERRED"
    }
  }' \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/origin_pools" \
  | jq .

返回 200 响应即确认源池已创建。

警告

如果响应包含 "code": 8 且消息类似 "Object kind endpoint has exhausted limits(500)" 或 "Object kind origin_pool has exhausted limits"，则租户已达到配额上限。与健康检查不同，源池对于演示而言是必需的 — 没有源池演示无法继续。请删除其他命名空间中未使用的源池以释放容量（删除源池也会释放其端点子对象），然后重试。如果无法解决配额问题，请联系您的 F5 分布式云（F5 XC）管理员以提高租户配额。

验证健康检查是否已关联

如果您包含了健康检查引用，请确认其已正确关联：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/origin_pools/xF5XC_ORIGIN_POOLx" \
  | jq '.spec.healthcheck'

返回包含内容的数组即确认关联成功。如果步骤 1 已跳过，则返回空数组 [] 为预期结果；如果您有意关联健康检查但返回空数组，则表示健康检查未找到。

证据

确认源池存在且配置正确：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/origin_pools/xF5XC_ORIGIN_POOLx" \
  | jq '{name: .metadata.name, origin_ip: .spec.origin_servers[0].public_ip.ip, port: .spec.port, healthcheck_count: (.spec.healthcheck | length)}'

字段	预期值	状态
HTTP 状态码	200	返回则为 PASS，返回 404 则为 FAIL
name	与 F5XC_ORIGIN_POOL 一致	PASS
origin_ip	与 F5XC_ORIGIN_IP 一致	PASS
port	与 F5XC_ORIGIN_PORT 一致	PASS
healthcheck_count	1（含健康检查）或 0（不含）	两种情况均为 PASS

步骤 3：创建启用 CSD 的 HTTP 负载均衡器

创建两个启用了客户端防御的负载均衡器 — 一个 HTTP LB（主要，端口 80）和一个 HTTPS LB（辅助，端口 443，自动证书管理）。HTTP LB 是所有演示流量的默认选项。HTTPS LB 依赖 Let’s Encrypt 证书颁发，在演示环境中可能会遇到速率限制。

注意

HTTP 负载均衡器规格包含 22 个以上的 oneOf 选择组。每个组必须设置恰好一个选项，否则 API 将返回 422 错误。以下配置禁用了除 CSD 之外的所有可选安全功能 — 请根据您的环境按需修改。两个 LB 共享相同的源池、CSD 设置和域名 — 仅监听器类型不同。

提示

两个 LB 名称均由 F5XC_LB_NAME 派生：HTTP LB 为 ${F5XC_LB_NAME}-http，HTTPS LB 为 ${F5XC_LB_NAME}-https。无需额外的环境变量。

HTTP 负载均衡器（主要）

这是演示的主要负载均衡器。它在端口 80 上使用 http 监听器，并使用 F5 XC 托管 DNS。不依赖 TLS 证书颁发，因此在 DNS 解析后即可立即就绪。

curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{
    "metadata": {
      "name": "xF5XC_LB_NAMEx-http",
      "namespace": "xF5XC_NAMESPACEx",
      "labels": {},
      "annotations": {},
      "description": "HTTP LB with Client-Side Defense enabled (primary demo LB)",
      "disable": false
    },
    "spec": {
      "domains": ["xF5XC_DOMAINNAMEx"],
      "http": {
        "dns_volterra_managed": true,
        "port": 80
      },
      "advertise_on_public_default_vip": {},
      "default_route_pools": [{
        "pool": {
          "namespace": "xF5XC_NAMESPACEx",
          "name": "xF5XC_ORIGIN_POOLx",
          "kind": "origin_pool"
        },
        "weight": 1,
        "priority": 1
      }],
      "client_side_defense": {
        "policy": {
          "js_insert_all_pages": {}
        }
      },
      "disable_rate_limit": {},
      "no_service_policies": {},
      "round_robin": {},
      "disable_waf": {},
      "no_challenge": {},
      "disable_bot_defense": {},
      "disable_api_definition": {},
      "disable_api_discovery": {},
      "disable_ip_reputation": {},
      "disable_malicious_user_detection": {},
      "single_lb_app": {
        "disable_discovery": {},
        "disable_ddos_detection": {},
        "disable_malicious_user_detection": {}
      },
      "disable_trust_client_ip_headers": {},
      "user_id_client_ip": {},
      "disable_threat_mesh": {},
      "l7_ddos_action_default": {},
      "system_default_timeouts": {},
      "default_sensitive_data_policy": {},
      "disable_malware_protection": {},
      "disable_api_testing": {}
    }
  }' \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers" \
  | jq .

返回 200 响应即确认 HTTP 负载均衡器已创建并启用了 CSD。

警告

如果响应包含 "code": 8 且消息类似 "Object kind http_loadbalancer has exhausted limits"，则租户已达到负载均衡器配额上限。负载均衡器对于演示而言是必需的。请删除未使用的负载均衡器以释放容量，然后重试。

HTTPS 负载均衡器（辅助）

这是辅助负载均衡器。它在端口 443 上使用 https_auto_cert，并自动进行 Let’s Encrypt 证书颁发。在创建之前，请检查之前拆除时是否遗留了骨架 HTTPS LB — 如果存在，请通过 PUT 恢复而非 POST 创建，以保留现有的 Let’s Encrypt 证书并避免触发速率限制（每组完全相同的标识符每 7 天最多颁发 5 个重复证书）。

检查 HTTPS LB 是否已存在：

HTTPS_CHECK=$(curl -s -o /dev/null -w '%\{http_code\}' \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers/xF5XC_LB_NAMEx-https")

如果 HTTPS_CHECK 为 200，则存在骨架 HTTPS LB — 请使用路径 A（PUT）。如果为 404，则使用路径 B（POST）。

路径 A：通过 PUT 恢复骨架（HTTPS LB 已存在）

当存在来自先前拆除的骨架 HTTPS LB 时，通过 PUT 恢复完整配置。这将重新挂载源池并重新启用 CSD，而不会触发新的 Let’s Encrypt 证书请求 — 现有证书保持有效。

curl -s -X PUT \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{
    "metadata": {
      "name": "xF5XC_LB_NAMEx-https",
      "namespace": "xF5XC_NAMESPACEx",
      "labels": {},
      "annotations": {},
      "description": "HTTPS LB with Client-Side Defense enabled (secondary, cert-dependent)",
      "disable": false
    },
    "spec": {
      "domains": ["xF5XC_DOMAINNAMEx"],
      "https_auto_cert": {
        "http_redirect": false,
        "add_hsts": false,
        "port": 443,
        "default_header": {},
        "enable_path_normalize": {},
        "no_mtls": {},
        "default_loadbalancer": {}
      },
      "advertise_on_public_default_vip": {},
      "default_route_pools": [{
        "pool": {
          "namespace": "xF5XC_NAMESPACEx",
          "name": "xF5XC_ORIGIN_POOLx",
          "kind": "origin_pool"
        },
        "weight": 1,
        "priority": 1
      }],
      "client_side_defense": {
        "policy": {
          "js_insert_all_pages": {}
        }
      },
      "disable_rate_limit": {},
      "no_service_policies": {},
      "round_robin": {},
      "disable_waf": {},
      "no_challenge": {},
      "disable_bot_defense": {},
      "disable_api_definition": {},
      "disable_api_discovery": {},
      "disable_ip_reputation": {},
      "disable_malicious_user_detection": {},
      "single_lb_app": {
        "disable_discovery": {},
        "disable_ddos_detection": {},
        "disable_malicious_user_detection": {}
      },
      "disable_trust_client_ip_headers": {},
      "user_id_client_ip": {},
      "disable_threat_mesh": {},
      "l7_ddos_action_default": {},
      "system_default_timeouts": {},
      "default_sensitive_data_policy": {},
      "disable_malware_protection": {},
      "disable_api_testing": {}
    }
  }' \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers/xF5XC_LB_NAMEx-https" \
  | jq .

返回 200 响应即确认骨架已恢复完整配置。证书状态应保持 CertificateValid — 不会触发新的 Let’s Encrypt 颁发流程。

注意

骨架恢复。 PUT 会替换整个对象规格。骨架 HTTPS LB 在拆除期间保留了其域名绑定和证书。此 PUT 操作恢复源池引用并重新启用客户端防御，而不会触发新的 Let’s Encrypt 证书请求。HTTPS 立即可用。

路径 B：通过 POST 新建（HTTPS LB 不存在）

当 HTTPS LB 不存在（首次运行或完整拆除后），通过 POST 创建。这将触发 Let’s Encrypt 证书颁发，可能需要 5–10 分钟。

curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{
    "metadata": {
      "name": "xF5XC_LB_NAMEx-https",
      "namespace": "xF5XC_NAMESPACEx",
      "labels": {},
      "annotations": {},
      "description": "HTTPS LB with Client-Side Defense enabled (secondary, cert-dependent)",
      "disable": false
    },
    "spec": {
      "domains": ["xF5XC_DOMAINNAMEx"],
      "https_auto_cert": {
        "http_redirect": false,
        "add_hsts": false,
        "port": 443,
        "default_header": {},
        "enable_path_normalize": {},
        "no_mtls": {},
        "default_loadbalancer": {}
      },
      "advertise_on_public_default_vip": {},
      "default_route_pools": [{
        "pool": {
          "namespace": "xF5XC_NAMESPACEx",
          "name": "xF5XC_ORIGIN_POOLx",
          "kind": "origin_pool"
        },
        "weight": 1,
        "priority": 1
      }],
      "client_side_defense": {
        "policy": {
          "js_insert_all_pages": {}
        }
      },
      "disable_rate_limit": {},
      "no_service_policies": {},
      "round_robin": {},
      "disable_waf": {},
      "no_challenge": {},
      "disable_bot_defense": {},
      "disable_api_definition": {},
      "disable_api_discovery": {},
      "disable_ip_reputation": {},
      "disable_malicious_user_detection": {},
      "single_lb_app": {
        "disable_discovery": {},
        "disable_ddos_detection": {},
        "disable_malicious_user_detection": {}
      },
      "disable_trust_client_ip_headers": {},
      "user_id_client_ip": {},
      "disable_threat_mesh": {},
      "l7_ddos_action_default": {},
      "system_default_timeouts": {},
      "default_sensitive_data_policy": {},
      "disable_malware_protection": {},
      "disable_api_testing": {}
    }
  }' \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers" \
  | jq .

返回 200 响应即确认 HTTPS 负载均衡器已创建。证书颁发将自动开始。

警告

如果响应包含 "code": 8 且提示”exhausted limits”，则无法创建 HTTPS LB。HTTPS LB 为可选项 — 演示可继续使用 HTTP LB。请在第一阶段证据摘要中以 INFO 状态记录此配额限制。

注意

Let’s Encrypt 速率限制。 新建 HTTPS LB 将触发 Let’s Encrypt 证书请求。Let’s Encrypt 对于完全相同的标识符组每 7 天仅允许颁发 5 个重复证书。如果 cert_state 显示 AutoCertDomainRateLimited，演示将继续使用 HTTP LB。为避免触及此限制，默认拆除操作会将 HTTPS LB 保留为骨架 — 请参阅第四阶段 — 拆除。

证据

确认两个负载均衡器均已启用 CSD。证据收集务必使用 GET 请求 — POST 响应返回的是瞬态状态值，可能无法反映已稳定的配置。

HTTP LB（主要）：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers/xF5XC_LB_NAMEx-http" \
  | jq '{name: .metadata.name, domains: .spec.domains, csd_enabled: (.spec.client_side_defense != null), state: .spec.state}'

字段	预期值	状态
HTTP 状态码	200	返回则为 PASS，返回 404 则为 FAIL
name	${F5XC_LB_NAME}-http	PASS
domains	包含 F5XC_DOMAINNAME	PASS
csd_enabled	true	PASS — 此 LB 上已配置 CSD
state	VIRTUAL_HOST_READY 或 VIRTUAL_HOST_PENDING_A_RECORD	预期状态 — HTTP LB 在 DNS 解析后将转换为 READY。任何其他状态（如 VIRTUAL_HOST_FAILED）为 FAIL — 请上报给操作员并暂停操作

HTTPS LB（辅助）：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers/xF5XC_LB_NAMEx-https" \
  | jq '{name: .metadata.name, domains: .spec.domains, csd_enabled: (.spec.client_side_defense != null), state: .spec.state, cert_state: .spec.cert_state}'

字段	预期值	状态
HTTP 状态码	200	返回则为 PASS，返回 404 则为 FAIL
name	${F5XC_LB_NAME}-https	PASS
domains	包含 F5XC_DOMAINNAME	PASS
csd_enabled	true	PASS — 此 LB 上已配置 CSD
creation_method	PUT（恢复骨架）或 POST（新建）	仅供参考 — PUT 保留现有证书
state	VIRTUAL_HOST_READY（PUT）或 VIRTUAL_HOST_PENDING_A_RECORD（POST）	预期状态 — PUT 路径可能已为 READY，因为 DNS 从骨架中保留
cert_state	CertificateValid（PUT）或 PreDomainChallengePending（POST）	PUT 保留现有证书；POST 触发新颁发流程

步骤 4：配置 DNS

创建负载均衡器后，它将进入 VIRTUAL_HOST_PENDING_A_RECORD 状态，自动证书保持 PreDomainChallengePending 状态。LB 完全运行前，必须存在以下两条 DNS 记录：

1. A 记录 — xF5XC_DOMAINNAMEx 指向 VIP IP 地址（来自 LB 响应中的 dns_info）
2. ACME 验证记录 — _acme-challenge.xF5XC_DOMAINNAMEx，用于 TLS 证书验证（使用 F5 XC DNS 托管记录时自动管理；外部 DNS 需手动添加 CNAME）

具体操作取决于 F5 XC 是否为您的域名权威 DNS 提供商。

检测 DNS 权威

检查根域名的域名服务器：

dig +short NS xF5XC_ROOT_DOMAINx

如果响应包含 ns1.f5clouddns.com 和 ns2.f5clouddns.com，则 F5 XC 是权威 DNS 提供商 — 请遵循选项 A。否则，请遵循选项 B（外部 DNS）。

选项 A：F5 XC 托管 DNS

当 F5 XC 是权威 DNS 提供商时，平台可以自动创建 A 记录和 ACME 验证 CNAME — 但仅当 DNS 区域启用了 allow_http_lb_managed_records 时。

注意

DNS 区域位于 system 命名空间，而非用户命名空间。区域名称与根域名一致（例如 bankexample.com）。

1. 检查是否已启用托管记录：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/dns/namespaces/system/dns_zones/xF5XC_ROOT_DOMAINx" \
  | jq '.spec.primary.allow_http_lb_managed_records'

如果响应为 true，则平台将为负载均衡器自动创建 DNS 记录 — 直接跳至3. 验证 DNS 解析。如果为 false 或 null，请继续执行下一步。

2. 启用托管记录：

警告

PUT 载荷必须包含完整的区域规格 — 元数据及所有现有配置字段。省略字段将把它们重置为默认值。请先检索当前区域配置，然后仅修改 allow_http_lb_managed_records 字段。

检索当前区域配置，启用托管记录，然后更新：

# Get current zone config
ZONE_CONFIG=$(curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/dns/namespaces/system/dns_zones/xF5XC_ROOT_DOMAINx")

# Update with managed records enabled
echo "$ZONE_CONFIG" \
  | jq '.spec.primary.allow_http_lb_managed_records = true' \
  | curl -s -X PUT \
    -H "Authorization: APIToken xF5XC_API_TOKENx" \
    -H "Content-Type: application/json" \
    -d @- \
    "xF5XC_API_URLx/api/config/dns/namespaces/system/dns_zones/xF5XC_ROOT_DOMAINx" \
  | jq .

警告

区域规格包含一个带有 x-ves-io-managed 标记的 rr_set_group，其中含有平台管理的记录。您的 PUT 载荷必须保留此组 — 省略它将导致 HTTP 403 “reserved for internal purposes”。请始终先通过 GET 检索当前区域配置，仅修改您需要更改的字段，然后发送完整规格。

返回 200 响应（空 \{\}）即确认区域已更新。F5 XC 将在区域的自动管理记录组中创建 A 记录和 ACME 验证记录。如果托管记录在 60 秒内未出现，请重新应用负载均衡器以触发记录创建：

LB_CONFIG=$(curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers/xF5XC_LB_NAMEx-http")
echo "$LB_CONFIG" | curl -s -X PUT \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d @- \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers/xF5XC_LB_NAMEx-http" \
  | jq .

此 GET+PUT 重新应用操作不会更改 LB 配置 — 它仅触发平台重新评估 DNS 区域并创建托管记录。如果 A 记录在重新应用后 60 秒内仍未解析，请停止操作并上报给操作员 — 重新应用操作不得超过一次。

3. 验证 DNS 解析：

dig +short xF5XC_DOMAINNAMEx A

响应应返回 VIP IP 地址。对于 F5 XC 托管区域，DNS 传播通常是即时的，但请预留最多 60 秒。

提示

DNS 负缓存： 如果您在记录创建之前查询了域名，递归解析器可能已缓存了 NXDOMAIN 响应。请针对权威名称服务器或公共解析器进行验证，以排除陈旧缓存的影响：

dig +short xF5XC_DOMAINNAMEx A @ns1.f5clouddns.com
dig +short xF5XC_DOMAINNAMEx A @8.8.8.8

选项 B：外部 DNS 提供商

当您的域名使用外部 DNS 提供商时，必须手动创建记录。请从负载均衡器中提取所需值：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers/xF5XC_LB_NAMEx-http" \
  | jq '{
    vip_ip: .spec.dns_info[0].ip_address,
    acme_target: .spec.auto_cert_info.dns_records
  }'

在您的 DNS 提供商处创建以下记录：

类型	名称	值
A	xF5XC_DOMAINNAMEx	来自 dns_info[0].ip_address 的 VIP IP
CNAME	_acme-challenge.xF5XC_DOMAINNAMEx	*.autocerts.ves.volterra.io

创建记录后，验证解析：

dig +short xF5XC_DOMAINNAMEx A
dig +short _acme-challenge.xF5XC_DOMAINNAMEx CNAME

提示

A 记录是 LB 从 VIRTUAL_HOST_PENDING_A_RECORD 过渡到 VIRTUAL_HOST_READY 的必要条件。ACME CNAME 是自动 TLS 证书颁发的必要条件。缺少任一记录，LB 将保持挂起状态。

证据

测试	命令	预期值	状态
DNS-1：A 记录	dig +short $F5XC_DOMAINNAME A	返回 VIP IP 地址	返回 IP 则为 PASS，为空则为 FAIL
DNS-2：ACME CNAME	dig +short _acme-challenge.$F5XC_DOMAINNAME CNAME	*.autocerts.ves.volterra.io	返回 CNAME 则为 PASS
DNS 权威	dig +short NS $F5XC_ROOT_DOMAIN	F5 XC 或外部名称服务器	仅供参考 — 决定选项 A 还是 B

如果 DNS-1 在 60 秒后仍返回空，请参阅故障排除 — LB 卡在 VIRTUAL_HOST_PENDING_A_RECORD。

步骤 5：验证 CSD 已启用

检查客户端防御是否已为租户启用。CSD 在租户级别配置 — 如果尚未启用，请联系您的 F5 XC 管理员。

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/status" \
  | jq .

响应包含 "isConfigured": true 和 "isEnabled": true 即确认 CSD 已激活。

证据

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/status" \
  | jq '{configured: .isConfigured, enabled: .isEnabled}'

字段	预期值	状态
configured	true	PASS
enabled	true	PASS
任一为 false	—	FAIL — 请联系 F5 XC 管理员在租户级别启用 CSD

步骤 6：注册受保护域

注册 CSD 将监控的根域名。protected_domain 字段必须是 eTLD+1 根域名（例如 f5demos.com），而非完整的 FQDN。

警告

受保护域的作用范围是租户，而非命名空间。 与健康检查、源池和负载均衡器不同，受保护域在租户上全局注册 — API URL 中的命名空间是路由参数，而非所有权边界。但是，受保护域是与此部署关联的 CSD 配置对象，在完整移除部署时应在拆除阶段删除。请勿将其与 DNS 区域混淆，DNS 区域是共享基础设施，绝不应被删除。

检查是否已注册

在创建之前，检查该域名是否已在租户上注册。对 POST 请求的 409 响应表示域名已存在 — 这是成功条件，而非错误。

curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{
    "metadata": {
      "name": "xF5XC_DOMAINNAMEx",
      "namespace": "xF5XC_NAMESPACEx"
    },
    "spec": {
      "protected_domain": "xF5XC_ROOT_DOMAINx"
    }
  }' \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/protected_domains" \
  | jq .

响应	含义	操作
200	域名注册成功	继续步骤 7
409（域名已存在）	该域名之前已在此租户上注册	已完成 — 继续步骤 7
"code": 8（已达上限）	受保护域配额已满	阻塞性问题 — 受保护域对 CSD 是必需的。请删除未使用的受保护域或联系管理员。

证据

POST 响应本身即为主要证据 — 它返回已注册的域名对象，其中 spec.protected_domain 与您的根域名一致。也可列出所有受保护域以进行确认：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/protected_domains" \
  | jq '.items | length'

字段	预期值	状态
POST 返回 protected_domain	与 F5XC_ROOT_DOMAIN 一致	PASS
POST 返回 200 或 409	域名已注册或已存在	PASS
列表条目数	> 0	PASS

注意

受保护域不提供单独的 GET 端点（/protected_domains/\{name\}）。请使用 POST 响应或列表端点进行验证。

步骤 7：验证

DNS 解析

确认 A 记录已解析，且 ACME 验证 CNAME 已就位：

dig +short xF5XC_DOMAINNAMEx A
dig +short _acme-challenge.xF5XC_DOMAINNAMEx CNAME

A 记录应返回 VIP IP 地址。CNAME 应指向 *.autocerts.ves.volterra.io（或相关的 autocerts 目标）。

负载均衡器状态

检查两个负载均衡器是否已从挂起状态转换出来。HTTP LB 是主要检查项 — 它应在 DNS 解析后达到 VIRTUAL_HOST_READY 状态，无证书依赖。HTTPS LB 证书状态仅供参考。

HTTP LB（主要 — 必须为 READY 方可继续）：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers/xF5XC_LB_NAMEx-http" \
  | jq '{state: .spec.state}'

字段	预期值	中间状态
state	VIRTUAL_HOST_READY	VIRTUAL_HOST_PENDING_A_RECORD — DNS 未配置（参见步骤 4）

HTTPS LB（辅助 — 仅供参考，不阻塞流程推进）：

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/config/namespaces/xF5XC_NAMESPACEx/http_loadbalancers/xF5XC_LB_NAMEx-https" \
  | jq '{state: .spec.state, cert_state: .spec.cert_state}'

字段	预期值	中间状态
state	VIRTUAL_HOST_READY	VIRTUAL_HOST_PENDING_A_RECORD — DNS 未配置；VIRTUAL_HOST_DNS_A_RECORD_ADDED — A 记录已找到，等待证书
cert_state	CertificateValid	PreDomainChallengePending — 等待 ACME CNAME；DomainChallengeStarted — ACME 验证进行中；AutoCertDomainRateLimited — 触达 Let’s Encrypt 速率限制（在演示环境中为预期情况，不影响 HTTP LB）

注意

证书颁发在 DNS 记录创建后可能需要 5–10 分钟。如果 cert_state 显示 AutoCertDomainRateLimited，这在频繁创建和销毁基础设施的演示环境中属于预期情况。HTTP LB 不受影响 — 请继续使用 http:// URL 进行演示。

JS 配置

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/js_configuration" \
  | jq .

响应包含 scriptTag 字段，其中含有负载均衡器注入页面响应的完整 HTML <script> 标签。

已检测到的域名

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/detected_domains" \
  | jq '{summary: .domain_summary, domains: .domains_list}'

已检测到的脚本

脚本端点需要使用 epoch 时间戳（Unix 纪元以来的秒数）指定时间范围。以下示例查询最近 7 天的数据。

NOW=$(date +%s)
START=$(( NOW - 604800 ))
curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d "{\"startTime\": \"$START\", \"endTime\": \"$NOW\"}" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/scripts" \
  | jq '[.scripts[]? | {script_name: .script_name, risk_level: .risk_level}]'

表单字段

表单字段端点需要以查询参数形式传入使用 epoch 时间戳的时间范围。

NOW=$(date +%s)
START=$(( NOW - 604800 ))
curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/formFields?startTime=$START&endTime=$NOW" \
  | jq '.form_fields'

第一阶段证据摘要

完成所有验证检查后，AI 助手应呈现一个综合状态表：

测试 ID	检查项	预期值	是否必需	状态
DNS-1	A 记录解析	返回 VIP IP	是	PASS / FAIL
DNS-2	ACME CNAME 存在	*.autocerts.ves.volterra.io	否	PASS / PENDING
LB-1	HTTP LB 状态	VIRTUAL_HOST_READY	是	PASS / PENDING
LB-2	HTTPS LB 状态	VIRTUAL_HOST_READY	否	PASS / PENDING / INFO
TLS-1	证书状态	CertificateValid	否	PASS / PENDING / INFO
CSD-1	JS 配置	scriptTag 存在	是	PASS / FAIL
CSD-2	CSD 状态	isEnabled: true	是	PASS / FAIL
CSD-3	受保护域	域名已注册	是	PASS / FAIL

注意

第二阶段使用 HTTP LB。 HTTPS 为可选项 — 如果 TLS-1 显示 AutoCertDomainRateLimited 或 LB-2 保持 PENDING 状态，演示可继续使用 http:// URL 正常进行。在进入第二阶段之前，仅需 DNS-1、LB-1、CSD-1、CSD-2 和 CSD-3 通过（PASS）。

如果 LB-1 显示 PENDING，请每 30 秒轮询一次，最多轮询 4 次（共 2 分钟）。如果 4 次轮询后 LB-1 仍未达到 VIRTUAL_HOST_READY，请使用 dig 检查 DNS 解析并上报给操作员 — 在 LB-1 达到 READY 之前不得继续操作。对于 LB-2 和 TLS-1，请每 60 秒轮询一次，最多轮询 10 次（共 10 分钟）。如果在 10 次轮询后仍处于中间状态，请将当前状态记录为 INFO 并继续 — 这些状态仅供参考，不阻塞演示流程推进。

注意

LB 响应中的 dns_info 字段在干净重建后可能为空（[]），即使 DNS 已正确解析也是如此。请始终使用 dig 验证 DNS 解析，而非依赖 dns_info 获取 VIP 地址。

---

第一阶段完成。 请前往第二阶段 — 攻击运行攻击模拟。