透明部署、旁路逻辑串联的区别

背景

需讨论防火墙到底是串联，还是旁挂。
通常串联指的就是“透明部署”，旁挂指的就是“逻辑串联”。

透明部署（串联）

也称为透明模式或桥接模式，是一种安全设备的部署方式。在这种模式下，安全设备被串联在网络链路中，但对网络配置不做任何更改，即在网络链路上完全透明。
具体来说，安全设备不配置与交换机、路由器互联的IP地址，而是通过MAC地址过滤来控制网络流量。其优点包括部署简单、网络配置不变、故障时易于恢复等。例如，如果安全设备出现故障，可以直接将其跳过或替换，而不需要重新配置网络。

旁路逻辑串联（旁挂）

旁路逻辑串联，通常指的是安全设备以旁路模式部署，但逻辑上仍然参与流量的处理和控制。在旁路模式下，安全设备不直接参与数据的转发过程，而是通过监听和分析经过网络的流量来提供安全监控和审计功能。
**根据是否配置IP，**旁路模式可以分为旁路监听模式和旁路代理模式：
**旁路监听模式：**安全设备部署于交换机旁路，通过配置交换机镜像功能，将进出口流量镜像一份给安全设备，原有流量走向不变。这种方式主要用于网络安全审计和威胁分析。
**旁路代理模式：**安全设备相当于代理网关，需要更改网络配置，将所有的网络数据及访问流量指向旁路的安全设备，经过安全设备过滤后，再返回交换机。这种方式可以实现对流量的更细致的控制。

二者对比

透明模式下无法使用像NAT、负载均衡等三层以上的功能。
旁路逻辑串联的优点在于，即使设备出现故障，也不会影响网络的正常运作。可以在不改变现有网络结构的情况下，增强网络安全监控能力。

旁路逻辑串联可以使用三层功能吗？比如NAT、负载均衡等?

在旁路逻辑串联的情况下，是否可以使用三层功能（如NAT、负载均衡等）取决于具体的部署模式：

• 旁路监听模式
  **不能使用三层功能：**在这种模式下，安全设备仅作为监听设备，通过交换机镜像功能获取流量进行分析和监控，而不直接参与流量的转发和处理。因此，它无法执行NAT、负载均衡等需要对数据包进行修改和转发的三层功能。
• 旁路代理模式
  可以使用三层功能：在这种模式下，安全设备相当于一个代理网关，流量会经过安全设备进行处理后再返回交换机。因此，设备可以配置IP地址，并执行NAT、负载均衡等三层功能。例如，设备可以对流量进行地址转换或根据负载情况将流量分配到不同的服务器。

旁路逻辑串联，需要配置IP吗？

在旁路逻辑串联的情况下，是否需要配置IP地址取决于具体的部署方式和需求：

旁路监听模式

• 不需要配置IP地址：在这种模式下，安全设备主要通过监听网络流量来进行分析和监控，而不是直接参与数据包的转发过程。因此，设备通常不需要配置IP地址。例如，通过配置交换机的镜像功能，将流量镜像到安全设备，安全设备就可以对流量进行分析。

旁路代理模式

• 需要配置IP地址：在这种模式下，安全设备作为代理设备，需要对流量进行处理和转发。因此，设备需要配置IP地址以便进行网络通信和流量管理。例如，设备可能需要配置内网和外网接口的IP地址，以便在流量经过时进行适当的处理。

透明模式

• 不需要配置IP地址：在透明模式下，安全设备工作在数据链路层，不参与IP层面的路由和转发。因此，设备不需要配置IP地址。它通过MAC地址过滤来控制流量，从而在网络中保持透明。

综上所述，是否需要配置IP地址主要取决于安全设备的具体工作模式和部署需求。