Nonce 比特币挖矿：多矿场 Agent 部署与网络隔离指南

当比特币矿场从一个站点扩展到多个站点后，矿机管理问题很快就会从「怎么找到矿机」变成「不同矿场之间如何安全、稳定地统一管理」。尤其是不同矿场可能位于不同城市、不同国家，使用不同运营商、不同路由器、不同 VLAN，甚至由不同托管商负责网络运维。如果直接把所有矿机网络打通，不仅维护困难，也会扩大故障和安全事件的影响范围。

Nonce 的多矿场管理并不要求把所有矿机放在同一个局域网里。更合理的方式是：每个独立矿场在本地部署能够访问该矿场矿机网络的 Nonce Agent，由 Agent 负责矿机发现、状态采集和任务执行，再由 Nonce 在上层 Workspace 中统一组织多个 Farm。这样，每个矿场可以继续保持自己的局域网、子网和网络安全边界，同时总部运维人员仍然可以在统一界面中查看和管理多个矿场。这也是多矿场部署中最重要的原则：统一管理，不等于统一网络。

Nonce Agent 在多矿场架构中负责什么？

在理解多矿场部署之前，需要先明确 Nonce Agent 的位置。Nonce 中的 Workspace 用来组织一个组织下的 Farm、矿机和 Agent，而 Farm 则可以理解为具有相同地理位置、电力环境或网络环境的一组矿机。Nonce Workspace 创建与组织方式 Nonce Farm 创建指南

Agent 则运行在矿场本地的一台 Linux 主机上。这台设备需要能够通过网络访问矿机。当运维人员在 Nonce 中创建扫描任务后，Agent 获取任务，扫描配置的 IP 范围，识别其中的矿机，获取设备信息，并将结果返回 Nonce。扫描结束后，Agent 还会继续按照周期采集矿机数据，使矿机状态持续更新。Nonce Agent 扫描机制

因此，一个典型的数据路径可以理解为 **Nonce → 矿场本地 Agent → ASIC 矿机，**以及 ASIC 矿机 → 矿场本地 Agent → Nonce。

Agent 相当于云端管理层与矿场设备网络之间的本地连接节点。对于多个物理位置彼此独立的矿场，更适合让每个站点拥有自己的 Agent，而不是强行建立一个可以访问所有矿场 ASIC 的巨大二层网络。

多矿场应该如何部署 Agent？

对于拥有多个矿场的运营团队，可以按照「Workspace → Farm → Agent → 矿机网络」的层级组织整个基础设施。例如，一家公司拥有三个矿场：

逻辑层级	矿场 A	矿场 B	矿场 C
Workspace	同一个企业 Workspace	同一个企业 Workspace	同一个企业 Workspace
Farm	Texas-01	Texas-02	Paraguay-01
Agent	Agent-A	Agent-B	Agent-C
矿机网段	10.10.x.x	10.20.x.x	10.30.x.x
网络边界	独立	独立	独立
是否要求矿场互通	否	否	否

这里最值得注意的是最后一项。矿场 A 的 Agent 只需要访问矿场 A 中需要管理的矿机，矿场 B 的 Agent 只需要访问矿场 B 的矿机。为了统一管理多个矿场，没有必要让矿场 A 的矿机能够直接访问矿场 B 的矿机。

这种架构不仅更加清晰，也更符合大型基础设施常见的分区管理原则。美国国家标准与技术研究院在零信任架构中强调，不应仅仅因为某个设备位于企业内部网络，就默认给予其信任；网络位置不应该成为访问权限的唯一依据。NIST SP 800-207 零信任架构

对于矿场而言，同样可以采用类似思路：不同站点、不同设备组和不同管理资源之间，只开放实际业务所需要的通信，而不是因为「都是自己的矿机」就把所有网段完全打通。

一个矿场内部存在多个 VLAN，Agent 应该放在哪里？

大型矿场很少只有一个平面局域网。随着 ASIC 数量增加，运维团队经常会按照机房、集装箱、配电区域、矿机类型或管理用途划分多个 VLAN。例如一个站点可能同时存在：

网络区域	示例用途
管理 VLAN	路由器、交换机、服务器和运维设备
ASIC VLAN 101	A 区矿机
ASIC VLAN 102	B 区矿机
ASIC VLAN 103	C 区矿机
办公网	员工电脑和办公设备
访客网络	临时设备和访客终端

这种情况下，并不意味着 Agent 必须和所有矿机处于同一个 VLAN。真正的要求是：运行 Agent 的 Linux 主机必须能够通过路由和访问控制规则访问需要管理的 ASIC。Nonce 的扫描流程也是按照配置的 IP 范围逐个探测地址，因此 Agent 到目标矿机网段之间如果存在路由、防火墙或 VLAN 访问限制，需要提前确认这些路径能够正常通信。例如：

Management VLAN
      |
   Agent
      |
Firewall / Router
   |    |    |
VLAN101 VLAN102 VLAN103
   |      |      |
 Miners Miners  Miners

这里更推荐让 Agent 位于专门的管理网络，而不是直接把 Agent 和全部矿机放在一个巨大广播域中。通过三层路由和防火墙策略，只允许 Agent 访问需要管理的矿机网络。

美国网络安全与基础设施安全局也建议通过路由访问控制、状态防火墙以及 VLAN 等方式划分不同设备组，以降低不同网络区域之间不必要的横向访问。CISA 网络分段与基础设施安全建议

这部分属于矿场自身的网络架构设计，并不是 Nonce 强制规定的网络拓扑，但对于数千台甚至数万台 ASIC 的矿场，它通常比「所有设备放进同一个网络」更容易维护。

Nonce 多矿场 Agent 的完整部署流程

实际部署时，可以先在 Nonce 中建立组织层级，再逐个完成矿场部署，而不是先把所有网络改造完成后一次性接入。

第一步是在 Workspace 中建立不同 Farm。一个 Workspace 可以组织属于同一组织的 Farm、矿机和 Agent，因此总部团队可以保持统一的管理入口，而不同物理矿场仍然以独立 Farm 存在。

第二步是在每个矿场准备 Agent 主机。Nonce Agent 当前运行在 Linux 环境中，例如 Ubuntu、Debian 或 CentOS。安装时，系统会生成对应的 Shell 安装命令，将其复制到能够访问矿机网络的服务器或电脑中执行即可。

第三步确认 Agent 主机与矿机网络的连通性。这里不要只测试「Agent 能不能上网」，真正需要确认的是 Agent 能否访问准备纳入管理的矿机 IP。对于跨 VLAN 部署，应检查路由、防火墙访问控制、目标网段以及矿机本身的响应状态。

第四步，在 Farm 中添加需要扫描的 IP 范围，然后执行矿机发现。Nonce 支持保存扫描 IP 范围，并可对保存的自动扫描范围周期性重新扫描，以发现之后接入网络的新矿机。Nonce 扫描矿机操作指南

第五步核对设备数量、矿机型号和状态。不要因为扫描任务显示完成，就默认所有矿机都已经正确接入。应该将实际 ASIC 数量、Agent 发现数量以及 Nonce 中显示的数量进行核对，尤其关注遗漏网段、换 IP、跨 VLAN 迁移以及密码修改后的设备。

完成一个 Farm 后，再以相同方式部署下一个 Farm。最终形成：

Workspace
├── Farm A
│   └── Agent A
│       ├── ASIC VLAN 101
│       └── ASIC VLAN 102
│
├── Farm B
│   └── Agent B
│       ├── ASIC VLAN 201
│       └── ASIC VLAN 202
│
└── Farm C
    └── Agent C
        └── ASIC VLAN 301

这种方式比让一个中心服务器跨公网、VPN 或复杂专线直接扫描所有矿场更加容易划分故障范围。即使其中一个矿场的本地网络出现异常，也不会要求其他站点与它共享同一个 ASIC 网络。

网络隔离后，应该开放哪些通信？

网络隔离并不是「把所有东西全部封死」，而是把访问从默认全通改成按业务需求开放。

对于 Agent 所在网络，最重要的是两类连接：一类是 Agent 与本地矿机之间的数据采集和管理通信，另一类是 Agent 与 Nonce 服务之间保持正常连接。具体访问控制应结合矿机品牌、固件版本、实际部署方式以及当前 Agent 配置制定，而不建议在没有验证的情况下直接套用一个固定端口列表。

因此，在设计防火墙规则时，更合理的思路是：

通信方向	是否需要	建议
Agent → 本 Farm ASIC	需要	仅开放需要管理的矿机网段
Agent → Nonce 服务	需要	保证稳定的出站网络连接
ASIC → Agent	视实际通信过程	根据状态采集和管理需求配置
Farm A ASIC → Farm B ASIC	通常不需要	默认隔离
办公网 → ASIC 网络	通常不需要全面开放	通过管理网络限制访问
访客网络 → ASIC 网络	不需要	隔离
公网 → ASIC 管理界面	不建议	避免直接暴露矿机管理接口

这里需要特别区分「Nonce 产品所需要的连接」和「矿场安全建议」。Nonce 明确要求的是 Agent 主机能够稳定访问要管理的矿机；而 VLAN 划分、防火墙策略、办公网隔离等属于矿场自身的安全架构设计。Agent 所在主机与矿机之间的网络质量也会直接影响扫描速度和数据采集效果。Nonce Agent 硬件与部署要求

多矿场需要多少台 Agent？

Agent 数量不应该简单按照「一个矿场必须一台」机械计算，而应该根据网络可达性、矿机数量、故障隔离需求以及站点结构确定。

Nonce 当前的 Agent 硬件建议以约 5 分钟的数据采集周期为基准：管理约 1,000 台矿机时，可使用树莓派 5 或同等级单板计算机；约 10,000 台矿机建议使用至少 4 GB 内存的中档四核设备；约 20,000 台建议提升到 8 GB 内存和八核级设备；约 30,000 台建议使用 16 GB 内存；达到 50,000 台以上时，则建议使用更高规格服务器。随着扫描、固件处理或同一主机运行多个 Agent 实例，硬件资源也需要相应增加。Nonce Agent 硬件要求

因此，部署决策可以简单理解为：

物理站点不同，优先独立 Agent；网络安全域不同，可以考虑独立 Agent；矿机规模过大，可以根据资源和网络结构拆分 Agent；网络本身已经能够安全路由到多个矿机 VLAN，则不需要因为 VLAN 数量增加而机械增加 Agent。

对于多矿场运营而言，Agent 的数量不是越少越好。过度集中虽然能够减少服务器数量，却可能让一个 Agent、一个网络节点或一个防火墙策略影响过大的矿机范围。适当拆分反而能够缩小故障域。

Agent 扫不到矿机，为什么通常首先要检查网络？

多矿场部署中最常见的问题之一，就是 Agent 已经在线，但部分 ASIC 始终没有出现在矿机列表中。这种情况通常不应该第一时间重新安装 Agent，而应该先检查扫描范围和网络路径。

Nonce 的故障排查流程中，IP 范围就是关键检查项。常见情况包括配置了错误子网、误选管理网络而不是矿机网络、扫描范围设置过大，以及矿机迁移到了另一个 VLAN 或子网。网络路由、丢包和防火墙规则同样可能降低发现速度或造成扫描失败。Nonce Agent 扫描故障排查

一个更高效的排查顺序是：

Agent 是否在线
        ↓
扫描任务是否执行
        ↓
IP 范围是否正确
        ↓
Agent 是否能访问目标 VLAN
        ↓
防火墙 / ACL 是否阻断
        ↓
矿机密码是否正确
        ↓
矿机型号和固件是否支持

尤其是在矿场扩容、机架迁移或网络重新划分后，ASIC 很可能已经从原来的 IP 范围移动到新的子网。如果 Agent 仍然只扫描旧范围，那么设备本身即使正常挖矿，也可能无法继续被管理平台发现。

多矿场管理的核心不是把网络打通，而是把管理层统一

从一个矿场扩展到五个、十个甚至更多站点以后，真正需要统一的是矿机状态、异常发现、人员权限、操作流程和运营数据，而不是底层 ASIC 网络。

Nonce 的多矿场架构允许在同一个 Workspace 中组织多个 Farm，而每个 Farm 可以通过本地 Agent 与自己的矿机网络建立连接。这样，总部运维团队能够在统一管理体系下查看矿场，而各站点仍然保持独立网络边界。

最终，一个更适合规模化比特币矿场的结构应该是：上层统一，底层隔离；管理集中，网络分区；Agent 靠近矿机部署，而不是让矿机管理接口直接暴露到公网。

对于拥有多个国家、多个托管场地或大量 ASIC 的运营团队，这种架构还有一个重要优势：新增矿场时，不需要重新设计整个企业网络。新建 Farm、在当地准备 Linux 主机、安装 Agent、配置矿机 IP 范围并完成扫描，即可把新的站点纳入现有 Nonce 管理体系。Nonce 的标准接入流程本身就是按照「创建 Workspace → 创建 Farm → 安装 Agent → 扫描矿机 → 查看 Farm」这一结构组织。

这也是多矿场 Agent 部署最值得坚持的设计原则：不要为了实现集中管理而牺牲网络隔离。好的矿场管理架构应该让多个独立站点能够被统一观察和操作，同时尽可能缩小任何单个网络故障、安全事件或配置错误能够影响的范围。