'ACG部署的三種模式'

部署模式是指AC設備以什麼樣的工作模式部署到客戶網絡中去，不同的部署模式對客戶原有網絡的影響各有不同；設備在不同模式下支持的功能也各不一樣，設備以何種方式部署需要綜合用戶具體的網絡環境和功能需求而定。

根據工作方式的不同，AC設備支持路由、網橋、旁路三種部署模式。

一、路由模式

• 設備以路由模式部署時，AC的工作方式與路由器相當，具備基本的路由轉發及NAT功能。一般在客戶還沒有相應的網關設備，需要將AC做網關使用時，建議以路由模式部署。
• 路由模式下支持AC所有的功能。
• 如果需要使用NAT、VPN、DHCP等功能時，AC必須以路由模式部署，其它工作模式不支持實現這些功能。

以下幾種情況必須使用路由模式部署：

1、用戶必須要用到AC的VPN、NAT（代理上網和端口映射）、DHCP這幾個功能。

2、用戶在新規劃建設的網絡中來部署AC，想把AC當作一臺網關設備部署在網絡出口處。

3、用戶網絡中已有防火牆或者路由器了，但出於某方面的原因想用AC替換掉原有的防火牆或者路由器並代理內網用戶上網。

二、網橋模式

• 設備以網橋模式部署時對客戶原有的網絡基本沒有改動。網橋模式部署AC時，對客戶來說AC就是個透明的設備，如果因為AC自身的原因而導致網絡中斷時可以開啟硬件bypass功能，即可恢復網絡通信。
• 網橋模式部署時AC不支持NAT（代理上網和端口映射）、VPN、DHCP功能，除此之外AC的其它功能如URL過濾、流控等均可實現。
• 網橋模式部署時AC支持硬件bypass功能（其它模式部署均沒有硬件bypass)。

網橋模式部署相比路由模式對客戶的網絡影響較小，當客戶確定不需要使用AC的VPN、NAT、DHCP功能，且內網已有相應的網關設備時，建議使用網橋模式部署。

網橋模式的兩種類型，可根據客戶的網絡結構決定AC採用多網橋或網橋多網口的方式。

1、網橋多網口：

網橋多網口是指設備只做一個網橋，但內外網口不是一一對應的，可能內網口需要接多個網口，也可能外網口需要接多個網口，各個網口之間的數據都可以設置轉發，設備的ARP表只維持一份。

網橋多網口應用場景：

• 兩條線路分別接FW1和FW2，內網接交換機，設備在交換機和防火牆之間，網橋模式部署，單進雙出做網橋多網口。
• 內網核心交換機和路由器都做雙機，加入兩臺設備，雙進單出做網橋多網口。

2、多網橋：

多網橋是指一臺設備可以做多個網橋，相當於多個交換機，和網橋多網口的區別是：設備的ARP表維持多份；內外網口是一一對應的；網口屬於同一個網橋才能進行數據轉發，不同網橋接口之間的數據不能轉發。

多網橋應用場景:

• 設備一進一出做單網橋
• 客戶內網有VRRP或HSRP環境

三、旁路模式

• 旁路模式主要用於實現監控功能，完全不需要改變用戶的網絡環境，通過把設備的監聽口接在交換機的鏡像口或者接在HUB上，實現對上網數據的監控。這種模式對用戶的網絡環境完全沒有影響，即使宕機也不會對用戶的網絡造成中斷。
• 旁路模式是AC三種工作模式中最簡單但也是功能最弱的一種部署方式，該模式下AC只用於上網行為的審計和基於TCP應用的控制，對基於UDP協議的應用無法控制。不支持流量管理、准入系統、NAT、VPN、DHCP等功能。

旁路模式是所有部署模式中最簡單的一種，但也是功能實現較弱的一種部署方式。當客戶的需求只是上網審計和基於TCP的應用過濾時，可以考慮此種部署方式，常見於高校、大型國有企業專門用於AC作審計；

旁路部署時一般設備是接在核心交換機上，核心交換機通過將鏡像功能將需要審計的流量鏡像過來；

旁路模式部署時採用管理口（DMZ）配置的IP地址進行管理，其它所有接口均可作為監聽口，可使用一個口或者是多個口同時作為監聽口，監聽口無需任何配置。