📚 课程目录第4章网络拓扑与部署模式选择

4. 网络拓扑与部署模式选择

下一代防火墙（NGFW）的部署模式，决定了它在网络中的“站位”和“话语权”。同一台设备，放在不同位置、采用不同转发方式，能实现的防护深度、对现网的影响、以及后续策略治理的复杂度都会截然不同。选型时最容易犯的错误，是先买设备再想怎么放，结果要么因为改路由导致业务中断，要么因为旁路部署拿不到真实流量而让应用识别、入侵防御形同虚设。因此，部署模式的选择应当先于设备选型，核心判断依据是三个问题：流量是否必须经过设备、设备是否需要参与三层转发、现网改造的容忍度有多大。

四种模式的核心差异

路由模式下，防火墙作为三层网关或路由节点，接口配置IP地址，参与路由计算与转发。它的优势是控制力最强：可以做NAT、策略路由、VPN、基于源/目的地址的精细策略，也能天然地成为区域边界。代价是必须改动现网路由或网关指向，割接窗口和回退方案要提前设计。典型场景是新建网络、出口边界、数据中心分区隔离，以及需要做地址转换和VPN接入的位置。

透明模式（也称网桥模式）下，防火墙接口不配IP（或仅配管理IP），以二层网桥方式串接在链路中，对上下游设备“隐身”。它不改变现有IP规划和路由，割接风险低，适合已经稳定运行、不允许大改的现网，比如核心交换机与汇聚之间、老旧系统的边界。但透明模式对组播、非IP协议、部分动态路由协议的支持有限，且排障时因为不参与三层，抓包定位要更依赖镜像和日志。

旁路模式下，防火墙不串接在转发路径上，而是通过交换机镜像口或分流器获取流量副本，只做检测和告警，不阻断。它的最大好处是零中断风险，适合上线初期的观察期、合规审计、以及只做监测不做拦截的场景。但必须清楚：旁路只能“看”，不能“拦”，且镜像口在流量大时会丢包，检测结果不能等同于串接时的真实拦截能力。

混合模式是同一台设备上不同接口采用不同模式，例如上行口路由、下行口透明，或部分区域串接、部分区域旁路。它适合网络结构复杂、分阶段改造的场景，但配置和排障复杂度最高，策略要按接口和区域分别梳理，否则容易出现“以为拦了其实没拦”的盲区。

选型依据：从业务目标倒推部署方式

把四种模式放在一起看，选型其实是在“防护能力”和“改造代价”之间做权衡。可以按下面的顺序逐层判断：

先问“要不要拦”。如果目标只是发现威胁、做合规审计，旁路足够；如果必须阻断攻击、做访问控制，就必须串接（路由或透明）。旁路永远不能替代串接的拦截能力，这一点在方案评审时最容易被含糊过去。
再问“能不能改路由”。现网如果允许调整网关和路由，路由模式能带来最完整的控制力；如果业务连续性要求极高、不允许动IP规划，透明模式是更稳妥的串接方式。
然后问“网络是否分区复杂”。单一出口、结构清晰的网络，一种模式即可；多区域、多租户、分阶段改造的网络，才考虑混合模式，并且要明确每个接口的模式和对应策略域。
最后核对“性能与协议约束”。透明模式要确认组播、非IP协议、动态路由协议是否在现网使用；旁路要确认镜像口带宽和丢包率；路由模式要确认设备转发性能是否满足峰值流量。

一个实用的判断口诀：要拦且能改路由 → 路由模式；要拦但不能改路由 → 透明模式；只监测不拦 → 旁路模式；分区域不同要求 → 混合模式。先定“拦不拦”，再定“怎么串”，最后定“要不要混”。

实操示例：某企业出口改造的选型过程

假设某企业现网为“核心交换机 → 出口路由器 → 互联网”，出口带宽200Mbps，计划部署NGFW实现应用识别、入侵防御和URL过滤，且要求业务中断时间不超过10分钟。按上面的判断顺序：

第一步，目标包含“阻断”，排除纯旁路；第二步，现网出口路由器承担NAT和默认路由，若改为路由模式，需要把默认路由指向NGFW、并在NGFW上重建NAT，割接动作多、回退慢，10分钟窗口偏紧；第三步，网络结构单一，不需要混合模式。因此选择透明模式串接在出口路由器和核心交换机之间，NGFW不配业务IP，仅配管理IP，原有路由和NAT保持不变。

透明模式上线时，关键配置与验证动作如下（以通用命令结构示意，具体语法以设备为准）：

# 1. 创建透明模式接口对（网桥）
interface bridge0
  member ge1/0/1   # 连接出口路由器
  member ge1/0/2   # 连接核心交换机
  mode transparent

# 2. 配置管理IP，仅用于登录和日志上报
interface bridge0
  ip address 10.10.10.1 255.255.255.0

# 3. 放行管理流量与基础协议
security-policy
  rule name allow-mgmt
    source-zone trust
    destination-zone local
    service https ssh icmp
    action permit

# 4. 验证：查看网桥转发与MAC学习
show bridge0 mac-table
show interface bridge0 statistics

上线后要观察三类结果：一是业务连通性，核心侧终端能否正常访问互联网，延迟和丢包是否与改造前一致；二是流量是否真正经过NGFW，可通过会话表或接口计数确认双向流量都在增长；三是策略是否生效，用一条已知的测试URL或测试攻击特征验证阻断动作，而不是只看日志有无记录。若发现某类业务不通，优先检查透明模式是否放行了该业务依赖的非IP协议或特殊端口，而不是急于改回路由模式。

透明模式最容易踩的坑：以为“串进去就自动防护”。实际上透明模式下区域划分、策略域、应用识别仍然需要显式配置，且部分设备默认放行网桥流量。上线前务必确认默认策略是拒绝还是放行，并用测试流量验证拦截动作确实生效。

选型决策表

判断维度	路由模式	透明模式	旁路模式	混合模式
是否串接在转发路径	是	是	否	部分接口是
能否阻断流量	能	能	不能	串接部分能
是否需改IP/路由	需要	不需要	不需要	部分需要
割接中断风险	高	低	无	中
典型适用场景	出口边界、数据中心分区、VPN	稳定现网、老旧系统边界	观察期、合规审计	多区域分阶段改造

最后要强调，部署模式不是一次性的选择。很多项目会采用“先旁路观察、再透明串接、后续按需转路由”的渐进路径：旁路阶段积累流量基线和误报数据，透明阶段验证策略准确性，路由阶段再引入NAT和VPN等三层能力。这样每一步都有回退空间，也符合策略治理“先看清、再管住”的基本节奏。