深信服部署模式

一、人以56部署模式:1.1部署模式拓扑图：1.1.1路由部署1.1.2网桥部署：内限用户产网桥模式部署环境等网桥（举例）：蹈由图那曾交换机内冏网户木耳㈤聒■式郎内限用户产网桥模式部署环境等网桥（举例）：蹈由图那曾交换机内冏网户木耳㈤聒■式郎―1.1.3旁路部署：1.2部署指导1.2.1路由模式_部署指导首选需要了解用户的实际需求，以下几种情况必须使用路由模式部署：1、用户必须要用到AC的VPN、NAT（代理上网和端口映射）、DHCP这几个功能。2、用户在新规划建设的网络中来部署AC，想把AC当作一台网关设备部署在网络出口处。3、用户网络中已有防火墙或者路由器了，但出于某方面的原因想用AC替换掉原有的防火墙或者路由器并代理网用户上网。1.2.2网桥模式一部署指导1、网桥模式部署相比路由模式对客户的网络影响较小，当客户确定不需要使用AC的VPN、NAT、DHCP功能，且网已有相应的网关设备时，建议使用网桥模式部署。2、根据客户的网络结构决定AC采用多网桥或网桥多网口的方式。网桥多网口常见应用场景：a.两条线路分别接FW1和FW2,网接交换机，设备在交换机和防火墙之间，网桥模式部署，单进双出做网桥多网口。b.网核心交换机和路由器都做双机，加入两台设备，双进单出做网桥多网口。多网桥常见应用场景:

a.设备一进一出做单网桥b.客户网有VRRP或HSRP环境a1.2.3旁路模式一部署指导1、旁路模式是所有部署模式中最简单的一种，但也是功能实现较弱的一种部署方式。当客户的需求只是上网审计和基于TCP的应用过滤时，可以考虑此种部署方式，常见于高校、大型国有企业专门用于AC作审计；2、旁路部署时一般设备是接在核心交换机上，核心交换机通过将镜像功能将需要审计的流量镜像过来；3、旁路模式部署时采用管理口（DMZ）配置的IP地址进行管理，其它所有接口均可作为监听口，可使用一个口或者是多个口同时作为监听口，监听口无需任何配置。二、AF部署模式：部署模式拓扑图：路由模式：5ANGF0RK路由模式（Ian对端路由口）路由口部署思路：k1的口对端是路由口,直接设置lan口为路由口即可2.路由模式（Ism对端trunk口）SANGFOR蹈由模式下，对端品smk口Trunk口音摩思路二二1、设芸I9口为tenlc口，并设置又寸虚的Man号的vlan接口,这种模式类似3层虚拟接口交换机.6.路由模式（wan口路由口,内网服InLuntLInLuntL公网IP,启用ARP代理）上文提及需求是公网［P必顼配置在服务器上面的另外一种配置方法,这就是全路由模式部著。部署思路：1、援口都配置为路由口，然后■采用arp代理的方式实现服务器区域和公网网美的互相逋讯口2.1.2■■■■3.透明模式C次cces号环境）法班横式邰镯也是最岸见的部署横式E1匚匚七目石部密.思•路；1、网口设量成透明口,设置对应的■vlar.耳即可,如一果线路传输的数据不良含METl标整,选择默认的¥13111.2.可以配置亡由0可作为管理口外,也可以使用新建、1皿1对应的3层口veth1来管理设瞽r需要确保AF的灯0比1房口的IP与前后端港密接口属于同网段aS网HGFQR4.透明模式（trunks境）如杲诞蹈是承朝着冬个dan的uunk链路,可以采用透明ixuti此模式部署。与AF对接时其他网络谀年的接口一般也都是配置了trunk模式1r或者号路由子接口模式ATrunk部署思路；1、把2个网口比置成trunkR］接口r士runk所舂-vlan,入西域相对应的任何V出诙拟接口给AF设铅,以用于管理和上网更新规则库,也可以用manager口>>2.1.3■■■■虚以网线部看是最常见的部落模式,也是适用范围最广,号提倡的种部署模式.吾需•思路：L采用虚拟网在方式部署时不需要考用AF前后设第接口属审口链路属性.直接把网口配置.成了虚拟线路口后,配又寸吾吕蕾艮口可.工、需要给默认重理口「击口分配一^r可用的ip.诙ip可以用于管理设备.更新规则库，防麓改模块团斯缱存等口SANGFORSANGFOR2.1.4旁路模式：Internet2.1.5混合模式Internet2.1.5混合模式旁路模式部署AF,AF仅仅支持的功能有WAF（NEb应用防护）fIPS（入侵防护系统）.和DLP（数据库世密防护.属于WAF内，其余功能均不能实现，例如Vp口功能『网关（gnrtp；pop3..,,http）茶毒,D0m防御s网站防篡改,AV小过滤等都不能实现.部署思路：h在接旁路口113到邻接核心交换机设备工在接管理口并配置管理师3、启用管理口t■巳配1:功能混合模式吝降，主要指AP的各个网口,既有2层口，又有3层口的情况口特别是当DM2区域服务器集序需要配置公网IP地址的时候部署思路：L眼符器曰h3和公网区域接口eth2配置成2层口r放到2层区域£内网口ethl配置为路由口3、新建一个和抽2以及eth3对应zlaii的3层区域接口并配置公网ip地址“用于代理内网方向上网及内网区域与服务器区域、外网区域策略控制三、SSLVPN部署模式:部署模式拓扑图网关部署：三SANGFORSANGFORSSL部署配置（网关模式）网关单线路网关单线路网关多线路IuTEdUITT非直连公网方式的网关模式部署（应用埼景非常少，对网络改动较大.需要在前置设备上做端口映射）1*0EW6T.JMlEJmET3.1.2

1*0EW6T.JMlEJmET3.1.2三5ANGFCR单臂单线踣部署配置思路：1、单臂模式配置：给设备LAN口分配一个可以上网的IP地址r填写正确的网关IP、DNS；2、前置网关做TCP44矫口触踹口映射（如果用到工FSECVPN还需要映射TCP/UDP4009端口）IKTELfiUrT超单臂单线踣部署配置思路：1、单臂模式配置：给设备LAN口分配一个可以上网的IP地址r填写正确的网关IP、DNS；2、前置网关做TCP44矫口触踹口映射（如果用到工FSECVPN还需要映射TCP/UDP4009端口）IKTELfiUrT超h服务潴DNSVPWSANGFOR（单臂多线路模式）单臂多线喻隋配置思踣：・1、单臂模式配置：给设靠LAN口分配一个可以上褐的IP地址、埴写正确的网关】P、*2.、前詈网关分别做两条线路的TCP44三和名0端口映射C如果用到IPSECVPK还需要映射TCP/UDP40Q9端口）-3、配置SSLVPN多线路SANGFORbSL部署配置IMTEANEI部署指导网关单线路配置思路1、网关模式配置：确定设备外网口（WAN1口）是固定IP或者是ADSL拨号方式，取得相应运营商给的IP地址信息或者是拨号的密码；确定网口（LAN口）的IP地址信息；2、上网配置：代理上网（NAT），确定网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机。网关多线路配置思路1、线路确定：跟客户确认有几条公网线路接入，并申请多线路授权2、网关模式配置：确定设备外网口是固定IP或者是ADSL拨号方式，取得相应运营商给的IP地址信息或者是拨号的密码，给每条外网线路做配置；确定网口（LAN口）的IP地址信息；3、上网配置：代理上网（NAT），确定网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机。4、多线路配置：可根据客户需求设置IPSECVPN多线路，SSLVPN多线路传输，上网数据的多线路选路策略。单臂单线路部署配置思路1、单臂模式配置：给设备LAN口分配一个可以上网的IP地址，填写正确的网关IP、DNS；2、前置网关做TCP443和80端口映射（如果用到IPSECVPN还需要映射TCP/UDP4009端口）单臂多线路部署配置思路：1、单臂模式配置：给设备LAN口分配一个可以上网的IP地址、填写正确的网关IP、DNS；2、前置网关分别做两条线路的TCP443和80端口映射（如果用到IPSECVPN还需要映射TCP/UDP4009端口）3、配置SSLVPN多线路四、IPsecVPN部署模式:4.1部署模式拓扑图：4.1.1网关模式部署/SANGFOR京4.1部署模式拓扑图：4.1.1网关模式部署/SANGFOR京ANIP12,1^132.63/291M.200.2.1724GW：192,200.3.1/24vGW:l92.JOy.S.iLANIP200.1.254/Z44.1.2单臂模式部署：IM.ICOJ#'24in押Ql.iSL”GWJK.110.JICl「期WO.l.i4.2配置思路网关模式部署配置思路：.选择部署模式并配置，外网接口信息.配置代理上网同时放通防火墙规则.本案例网有三层环境，还需配置回包路由.若设备还提供SANG