《深信服部署模式课件》由会员分享，可在线阅读，更多相关《深信服部署模式课件（16页珍藏版）》请在金锄头文库上搜索。
1、一、ACSG部署模式:1.1 部署模式拓扑图：1.1.1 路由部署1.1.2 网桥部署:P网桥模式部若环境 多网桥（举例）：1.1.3 旁路部署:A旁缁模式郎雪环境（举例）：内网用厂1.2部署指与1.2.1 路由模式_署指导首选需要了解用户的实际需求，以下几种情况必须使用路由模式部署：1、用户必须要用到AC的VPN、NAT （代理上网和端口映射）、DHCP这几个功能。2、用户在新规划建设的网络中来部署AC,想把AC当作一台网关设备部署在网络出口处。3、用户网络中已有防火墙或者路由器了，但出于某方面的原因想用AC替换掉原有的防火墙或者路由器弁代理内网用户上网。1.2.2 网桥模式_署指导1、网桥
2、模式部署相比路由模式对客户的网络影响较小，当客户确定不需要使用AC的VPN、NAT、DHCP功能，且内网已有相应的网关设备时，建议使用网桥模式部署。2、根据客户的网络结构决定AC采用多网桥或网桥多网口的方式。网桥多网口常见应用场景：a.两条线路分别接FW1和FW2,内网接交换机，设备在交换机和防火墙之间，网桥模式部署，单进双出做网桥多网口。b.内网核心交换机和路由器都做双机，加入两台设备，双进单出做网桥多网口多网桥常见应用场景a.设备一进一出做单网桥b.客户内网有 VRRP或HSRP环境1.2.3 旁路模式_署指导1、旁路模式是所有部署模式中最简单的一种，但也是功能实现较弱的一种部署方式。当客
3、 户的需求只是上网审计和基于TCP的应用过滤时，可以考虑此种部署方式，常见于高校、 大型国有企业专门用于AC作审计；2、旁路部署时一般设备是接在核心交换机上，核心交换机通过将镜像功能将需要审计的流 量镜像过来；3、旁路模式部署时采用管理口（ DMZ）配置的IP地址进行管理，其它所有接口均可作为监 听口，可使用一个口或者是多个口同时作为监听口，监听口无需任何配置。二、AF部署模式：2.1 部署模式拓扑图：2.1.1 路由模式： SANGFOR1.路由模式（lan对端路由口）路由口部署思路：I. Ian口对疏是路山口，亘接1S置lan 口为路由口即可P R/W： thl AH 9： 第由 新亚修：
4、 HR r vSANGFORInteinet络3&上面的另外种配省方去r是全路由模式部看y这就|部署电路：1.接n都配置为路由口，然后采用arp代理的方式实现服务加区域和公网网关的互相通讯.2、路由( lanJMMtrunkn )路由45式下,又“屯有手trunk口TninkFl开骞用路 ：1、改置hm口为trunk口 ,并啦置S寸应的 、1皿号的1皿接口 .汶抑慢式类似3层 帚拟播口卡换机.6、路由模式（wan口路由口 ,内网服巍胃011 公网IP ,启用ARP代理）上立提及需求是公网IP必须配置在服2.1.2透明模式SANGFOR透明模式trunkJJ )3.透明模式（HCC史SS环境）也
5、明2代部署性导用中*q式1、Ml 1设苦成透明1 . 0者对心的 vUnHnnT ,如军建的传输的数据不m 含ubm标及. tffi捍默认ETMiml. 口 WfidS. iht H作为管 1口夕卜. te 可以,事n初建、匕nl EJ闻的4层* ihl 采筲理设番,卡要他像AF济Keth 1接口 的IP与匍后湍泡侍指【1属t司附&*SANGFORI.但上个网口HJ亶威Himk口生口 .如果铤路是承载有冬个、Un的uunk铤路 ,可以采用注明tnuiUR式部.与AF对接的典他网络设缶的控口 般也都JEHB置了tnmk槿式曲舍足蹈由于捶 口槿式.T nm k 音KS E 第：tiunk 所 3
6、x 1an2.国置相对应的任何10虚拟抵口给 AF设整,以用于值理和-L网史新规则库,也可以用maimgerLJ*2.1.3虚拟网线SANGFOR5、虚拟线路虚拟网线郃者品最常见KJ郃善慢 式,也是适用范围品厂.品捍侣的- 种部罟模式.邹署等砧：k 卡 中虚拟kiQi式部署的不3f?等 网AF前后由伟4宕口局性和41车略回件. 白挣出收口配置成了由切怎路口后， 国对部善即可*2、需要给默认管理门由吩配一个可 用的m.诙TP可I乂用于看理设备,更新 规则区：.防造收模功B新装2.1.4旁路模式:7.旁路模式2.1.5混合模式8、混合模式（wa 公网IP）n口交换口，内网服泰潸味旁路模式部署AF
7、. AF仅仅支持的 功能自WAf （ web应用防护），IPS （ 入侵防护系院），和DLP （数据库世 空防沪，属于WAF内,其余功能均不 能实现，例如*Rn功能,网关 （smtp pop? http）杀毒 , DOS防御,网站 防密十，W介过滤等都不能实现.部善3路：1、连接旁路口Uth3到邻接核心交换机 设各2、连接管理口并配置管理以3、后用管理口心功能Internet混合模式部署.主要指AF的各个网口 ,既有2层口，又有3层口的情况.特别是当DM2区域服翁第集群需要配置公网IP地址的时候部署思路：1.霰空器产由4和公网区域接口eth?配置成2层口 .放到2层区域2、内网口uthl圮置为
8、路由口3、新建一个和h2以及eth3对应v】aii的3层区域接口并配置公网甲地址.用于代理内网方向上网及内网区域与 服务器区域、外网区域策略柠制三、SSL VPN部署模式:3.1 部署模式拓扑图3.1.1 网关部署：SANGFOR SSL部署配置（网关模式）网关单线路网关多线路SANGFOR SSL部署配置（网关模式）SANGFOR非直连公同方式的网关模式部署（应用场景非掌少，对网络改动较大，需要在前苴设备上做端口映射）3.1.2单臂部署:增写正确的fSANGFORSANGFOR SSL部署配置（单臂单线路模式）单臂单线踏部署配置居哺：3.2部署指导SANGFORS NGFOR SSL部署配置
9、（单臂多线路模式）单野多线路部署配置思路：3.2.1网关单线路配置思路1、网关模式配置：确定设备外网口（WAN1 口）是固定IP或者是 ADSL拨号方式， 取得相应运营商给的IP地址2、上网配置：代理上网（NAT）,确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机。3.2.2网关多线路配置思路1、线路确定：跟客户确认有几条公网线路接入，弁中请多线路授权1.单臂模式配置：给设备LAN口分配一个可以上网的IP地址,堵与止确的阿关IP, DNS ；网关做TCP 443和8）端口映射（如果用到1PSEC VPNUDP 4009端口)1、单臂慢式配理：给爱令TCP
10、UDP 4009端口 ) 3. ftdSSSLVPN桀线斜LAN 口）的IP地址信息;LAN 口分配一个可乂上网的IP地址.J关R 2.前首取工：分别做内条线路的TCP 11;和E0话口映射（如果用到IPSEC VPN还爱映切信息或者是拨号的帐号密码；确定内网口2、网关模式配置：确定设备外网口是固定IP或者是 ADSL拨号方式，取得相应运营商给的IP地址信息或者是拨号的帐号密码，给每条外网线路做配置；确定内网口（ 地址信息；LAN 口）的 IP3、上网配置：代理上网（NAT）,确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机。4、多线路配置：可根据客户需求
11、设置 多线路选路策略。IPSEC VPN多线路，SSL VPN多线路传输，上网数据的3.2.3单臂单线路部署配置思路1、单臂模式配置：给设备2、前置网关做 TCP 443和 口）LAN 口分配一个可以上网的80端口映射（如果用到IP地址，填写正确的网关IP、DNS ;IPSEC VPN 还需要映射 TCP / UDP 4009 端3.2.4单臂多线路部署配置思路:1、单臂模式配置：给设备2、前置网关分别做两条线路的/ UDP 4009 端口）3、酉已置SSL VPN多线路LAN 口分配一个可以上网的IP地址、填写正确的网关IP、DNS ;TCP 443和80端口映射（如果用到IPSEC VPN
12、 还需要映射 TCP四、IPsec VPN部署模式:4.1 部署模式拓扑图:4.1.1 网关模式部署SANGFORWAN IP：212.15J32.68/29LAN IP :102.200,1 254.24192.20(),1 J .2 IIQ2.200.2 2 24 2(K) 2.1192.2003,2 24A4.1.2 单臂模式部署:吗 捋矗;:fI 4.2 配置思路4.2.1 网关模式部署配置思路 ：1 .选择部署模式并配置内，外网接口信息2 .配置代理上网同时放通防火墙规则3 .本案例内网有三层环境，还需配置回包路由4 .若设备还提供 SANGFORVPN服务，VPN连进来后需要访问内网所有的网 段，还需要添加本地子网（ VPN的具体配置请参考DLAN互联基础配置。 4.2.2单臂模式配置思路：1 .总部配置1） .选择部署模式并配置内网接口信息2） .在前置防火墙添加路由，目标IP为分支所在的网段（10.0.1.0/24 ）,网关指向VPN设备（ 192.200.1.252 ）,具体配置不再详细说明。3.在前置防火墙配置端口映射（具体配置不再详细说明）2.分支配置（参考网关模式部署配置）
