AC部署的三种模式

路由模式_简介

设备以路由模式部署时，AC的工作方式与路由器相当，具备基本的路由转发及NAT功能。一般在客户还没有相应的网关设备，需要将AC做网关使用时，建议以路由模式部署。

路由模式下支持AC所有的功能。

如果需要使用NAT、VPN、DHCP等功能时，AC必须以路由模式部署，其它工作模式不支持实现这些功能。

路由模式_部署指导

首选需要了解用户的实际需求，以下几种情况必须使用路由模式部署：

1、用户必须要用到AC的VPN、NAT（代理上网和端口映射）、DHCP这几个功能。

2、用户在新规划建设的网络中来部署AC，想把AC当作一台网关设备部署在网络出口处。

3、用户网络中已有防火墙或者路由器了，但出于某方面的原因想用AC替换掉原有的防火墙或者路由器并代理内网用户上网。

路由模式_基本配置思路

1、网口配置：确定设备外网口及地址信息，如果是固定IP，则填写运营商给的IP地址及网关；如果是ADSL

拔号上网，则填写运营商给的拔号账号和密码；确定内网口的IP地址信息；

2、确定内网是否为多网段网络环境，如果是的话需要添加相应的回包路由，将到内网各网段的数据回指给设备下接的三层设备。

3、用户是否需要通过AC设备上网，如果是的话，需要设置代理上网规则，填写需要代理上网的内网网段。

网桥模式_简介

设备以网桥模式部署时对客户原有的网络基本没有改动。网桥模式部署AC时，对客户来说AC就是个透明的设备，如果因为AC自身的原因而导致网络中断时可以开启硬件bypass功能，即可恢复网络通信。

网桥模式部署时AC不支持NAT（代理上网和端口映射）、VPN、DHCP功能，除此之外AC的其它功能如URL 过滤、流控等均可实现。

网桥模式部署时AC支持硬件bypass功能（其它模式部署均没有硬件bypass)。

网桥模式_2种类型

1、网桥多网口：网桥多网口是指设备只做一个网桥，

但内外网口不是一一对应的，可能内网口需要接多个网口，也可能外网口需要接多个网口，各个网口之间的数据都可以设置转发，设备的ARP表只维持一份。

2、多网桥：多网桥是指一台设备可以做多个网桥，相当于多个交换机，和网桥多网口的区别是：内外网口是一一对应的；网口属于同一个网桥才能进行数据转发，不同网桥接口之间的数据不能转发。

网桥模式_部署指导

1、网桥模式部署相比路由模式对客户的网络影响较小，当客户确定不需要使用AC的VPN、NAT、DHCP功能，且内网已有相应的网关设备时，建议使用网桥模式部署。

2、根据客户的网络结构决定AC采用多网桥或网桥多网口的方式。

网桥多网口常见应用场景：

a.两条线路分别接FW1和FW2，内网接交换机，设备在交换机和防火墙之间，网桥模式部署，单进双出做网桥多网口。

b.内网核心交换机和路由器都做双机，加入两台设备，双进单出做网桥多网口。

多网桥常见应用场景:

a.设备一进一出做单网桥

b.客户内网有VRRP或HSRP环境

注意事项：

网桥模式部署时，需要考虑AC所串接的防火墙和交换机之间的网段是否存在空闲的主机IP地址，如果有则分配一个该网段的IP地址给AC作为网桥的IP地址，如果没有，则使用管理口管理设备：

1、AC的网桥IP可配置一个不属于内网任意网段的IP 地址，默认网关设置成255.255.255.255；

2、同时将管理口（DMZ口）接到交换机上并配置管理口地址；

3、最后设置缺省路由，下一跳指向交换机的接口地址。配置完毕后，设备上网或者管理员管理设备均通过管理口实现。

旁路模式_简介

旁路模式主要用于实现监控功能，完全不需要改变用户的网络环境，通过把设备的监听口接在交换机的镜像口或者接在HUB上，实现对上网数据的监控。这种模式对用户的网络环境完全没有影响，即使宕机也不会对用户的网络造成中断。

旁路模式是AC三种工作模式中最简单但也是功能最弱的一种部署方式，该模式下AC只用于上网行为的审计和基于TCP应用的控制，对基于UDP协议的应用无法控制。不支持流量管理、准入系统、NAT、 VPN、 DHCP 等功能。(AC4.0版本开始旁路模式下支持准入，需要将内网到1.2.3.4的流量镜像给设备）

旁路模式_部署指导

1、旁路模式是所有部署模式中最简单的一种，但也是功能实现较弱的一种部署方式。当客户的需求只是上网审计和基于TCP的应用过滤时，可以考虑此种部署方式，常见于高校、大型国有企业专门用于AC作审计；

2、旁路部署时一般设备是接在核心交换机上，核心交换机通过将镜像功能将需要审计的流量镜像过来；

3、旁路模式部署时采用管理口（DMZ）配置的IP地址进行管理，其它所有接口均可作为监听口，可使用一个口或者是多个口同时作为监听口，监听口无需任何配置。

旁路模式部署配置思路

1、旁路模式部署时将AC的监听口接在交换机的镜像

口上，交换机需要将上下行流量镜像到AC。

2、旁路模式部署时必须配置管理口IP地址进行管理，监听口可以接除管理口外的任意网口，可以同时接多个监听口。

3、需要确认所有要进行审计的内网网段（即监控网段）；需要确认内网是否有服务器提供访问时也要进行记录。

4、管理口不仅用于管理，还可用于与外置数据中心同步、作TCP控制时发reset包使用，所以管理口的地址最好不要随意配置。