深信服网络行为管理AC系列产品部署方式

　　在深信服科技（SINFOR）的数千个用户中，从没有发现过两个完全相同的网络环境。作为保护组织网络资源的核心设备，AC考虑到了各种可能的网络拓扑，并力求部署的最简化。

　　穿透式（Pass-Through）部署

　　穿透式部署将设备部署在局域网的主干部分以处理流经设备的数据流。

图1

　　网关（Gateway）模式

　　网关模式适用于希望通过AC产品来实现所有的审计、控制和拦截功能，且对网络拓扑的更改不敏感的用户。

　　网关模式将SINFOR AC作为局域网的出口网代理内网PC上网，除完成AC的管理控制功能外还可以实现NAT、路由和防火墙等网络与安全功能。

　　部署方式：AC的WAN口与广域网的接入线路相连，一般是光纤、ADSL线路或者是路由器，AC的LAN口（DMZ口）同局域网的交换机相连，内网的PC将网关指向AC的局域网口，进而通过AC代理上网。

　　网桥（Bridge）模式

　　网桥模式适用于希望对内网完全监控、控制和管理，且不希望更改局域网的任何网络地址的用户。

　　网桥模式将SINFOR AC等同于一根连接在网关和交换机之间的“智能网线”，可以对所有流经AC的数据流进行审计、管理和控制。

　　部署方式：AC的WAN口同局域网的网关相连，LAN口（DMZ口）同局域网交换机连接。局域网内的任何网络设备和PC都不需要更改IP地址。

　　旁路式（Pass-by）部署

　　旁路式部署将设备与交换机的镜像口相连，用于监听局域网中的数据流。

图2

　　旁路（Pass－by）模式

　　旁路模式适用于希望通过AC来实现内网监控和审计的用户。旁路模式的部署不需要对内网拓扑作任何改动，使实施难度最低。而由于内网数据流不需要流经AC设备，避免了网络主干中设备过多引发的网络处理性能下降，也降低了网络单点故障的发生几率。

　　部署方式：在出口交换机中配置镜像端口，将AC的广域网口同镜像端口相连，实现对内网数据包的监听。