二、上网行为管理部署模式

部署模式

AC设备支持路由、网桥、旁路部署模式

SG设备支持路由、网桥、旁路、单臂部署模式

路由部署模式

AC当路由器使用，全功能启用模式

具有路由转发，NAT，VPN，DHCP等功能模块

对网络影响最大，串联于网络中。

网桥部署模式

对客户来说就是一个透明设备，部分功能启用。

如果AC出现故障，开启硬件bypass功能相当于一对网线的转接头

不支持NAT（代理上网和端口映射）、VPN、DHCP等功能。

对网络影响其次，串联于网络中。

旁路部署模式

旁路模式主要用于实现审计，基于TCP应用控制，其他功能都没有。
通过把设备的监听口接在交换机的镜像口，实现对上网数据的监控。
宕机也不会对用户的网络造成中断

除了管理口DMZ，其他都可以做监听口

对网络影响最小，并联于网络中。

需求背景

路由模式解决方案

1）内网网段需要上网，AC上需要做SNAT，源地址转换，也叫代理上网

2）内网有服务器要发布出去，需要做端口映射

3）下面是多网段，所以需要在AC的下行口做静态路由，也叫回包路由（即去往172.16.1.0/2.0/3.0的网段的下一跳路由需要给172.16.0.2）

4）AC上有防火墙，为了保证内外网畅通需要做策略或者关闭防火墙

网桥模式解决方案

部署位置：

三层设备之上，网关设备之下

在网桥模式下，AC上行跟下行口都是二层口不能配IP

上网四要素：IP地址，子网掩码，默认网关，DNS

查看默认路由

掩码为30位时，因DMZ是三层口，连接到下面三层设备上，网关为三层设备，即可配置IP地址等

在网桥模式上AC配置去往172.16.4.0网段到172.16.0.2的静态路由的作用：

当4.10去访问外网的时候，从三层设备到AC再到网关，AC上是默认路由所有都到网关。而网关上有去往各个内网网段的静态路由，则回包时AC无此静态路由，则去4.10先到AC，AC没有去往4.10的静态路由则走默认路由到网关172.16.0.254，网关查找路由表，发现去往4.10的路由要走172.16.0.2，则再从AC到172.16.0.2。