如何通过旁路模式部署防火墙

路由器教程 2023-01-08

实现防护功能的同时，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险。用于把设备接在交换机的镜像口，保证外网用户访问服务器的数据经过此交换机，并且设置镜像口的时候需要同时镜像上下行的数据，从而实现对服务器的保护。

如下图，防火墙设备旁路部署，内网接三层交换机，用户网段为 192.168.2.0/24，服务器网段为 172.16.1.0/24，配置防火墙设备能够对服务器进行 IPS防护、WEB 应用防护以及防止敏感信息的泄露。

配置管理口

旁路部署时，设备通过管理口来阻断连接。通过『网络配置』→ 『接口/区域』→『物理接口』，点击 eth0，配置页面如图：

通过『网络配置』→『接口/区域』→『物理接口』，点击eth1，配置页面如图：

接口[类型]选择旁路镜像。

[区域]选择接口 eth1 所属的区域。区域需要提前设置，本例选择旁路区域，对于区域的设置请参考章节 3.2.1.4 区域设置。

[启用旁路流量统计]用于开启旁路镜像口的流量统计，在[内网 IP 组]中选择需要统计流量的内网 IP。

[高级配置]用来设置网口的工作模式，MTU，MAC 地址，如果需要修改，点击设置，接口如下：

需要配置一条到 0.0.0.0/0.0.0.0 的默认路由指向前置网关 192.168.1.1。

进入『网络配置』→『路由』→『静态路由』，配置页面如下：

通过『IPS』→『IPS』，新增 IPS 规则，配置页面如图：

旁路模式下，源区域和目的区域都要选择旁路接口所在的区域，目的 IP 组选择服务器网段所在的 IP 组即可。

基本配置完毕后，将设备接入网络中，eth1 口连接三层交换机的镜像口，eth0口接内网三层交换机的 VLAN99 范围内的接口即可。