深信服部署模式.docx

一、AC\SG部署模式：
1.1 部署模式拓扑图：
1.1.1 路由部署

1.1.2 网桥部署：

1.1.3 旁路部署：

1.2 部署指导
Ø 1.2.1 路由模式_部署指导
首选需要了解用户的实际需求，以下几种情况 必须使用路由模式部署：
1、用户必须要用到AC的VPN、NAT（代理上网和端口映射）、DHCP这几个功能。
2、用户在新规划建设的网络中来部署AC，想把AC当作一台网关设备部署在网络出口处。
3、用户网络中已有防火墙或者路由器了，但出于某方面的原因想用AC替换掉原有的防火墙或者路由器并代理内网用户上网。
Ø 1.2.2 网桥模式_部署指导
1、网桥模式部署相比路由模式对客户的网络影响较小，当客户确定不需要使用AC的VPN、NAT、DHCP功能，且内网已有相应的网关设备时，建议使用网桥模式部署。
2、根据客户的网络结构决定AC采用多网桥或网桥多网口的方式。

网桥多网口常见应用场景：
a.两条线路分别接FW1和FW2，内网接交换机，设备在交换机和防火墙 之间， 网桥模式部署，单进双出做网桥多网口。
b.内网核心交换机和路由器都做双机，加入两台设备，双进单出做网桥多网口。
多网桥常见应用场景:
a.设备一进一出做单网桥
b.客户内网有VRRP或HSRP环境
Ø 1.2.3 旁路模式_部署指导
1、旁路模式是所有部署模式中最简单的一种，但也是功能实现较弱的一种部署方式。当客户的需求只是上网审计和基于TCP的应用过滤时，可以考虑此种部署方式，常见于高校、大型国有企业专门用于AC作审计；
2、旁路部署时一般设备是接在核心交换机上，核心交换机通过将镜像功能将需要审计的流量镜像过来；
3、旁路模式部署时采用管理口（DMZ）配置的IP地址进行管理，其它所有接口均可作为监听口，可使用一个口或者是多个口同时作为监听口，监听口无需任何配置。
二、AF部署模式：
2.1 部署模式拓扑图：
2.1.1 路由模式：

2.1.2 透明模式

2.1.3 虚拟网线

2.1.4 旁路模式：

2.1.5 混合模式

三、SSL VPN部署模式：
3.1 部署模式拓扑图
3.1.1 网关部署：

3.1.2 单臂部署：

3.2 部署指导

3.2.1 网关单线路配置思路
1、网关模式配置：
确定设备外网口（WAN1口）是固定IP或者是ADSL拨号方式，取得相应运营商给的IP地址信息或者是拨号的帐号密码；确定内网口（LAN口）的IP地址信息；
2、上网配置：
代理上网（NAT），确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机。

3.2.2 网关多线路配置思路
1、线路确定：跟客户确认有几条公网线路接入，并申请多线路授权
2、网关模式配置：确定设备外网口是固定IP或者是ADSL拨号方式，取得相应运营商给的IP地址信息或者是拨号的帐号密码，给每条外网线路做配置；确定内网口（LAN口）的IP地址信息；
3、上网配置：代理上网（NAT），确定内网是否多网段网络环境，如果是的话需要添加相应的回包路由回指给设备下接的核心交换机。
4、多线路配置：可根据客户需求设置IPSEC VPN多线路，SSL VPN多线路传输，上网数据的多线路选路策略。
3.2.3 单臂单线路部署配置思路
1、单臂模式配置：给设备LAN口分配一个可以上网的IP地址，填写正确的网关IP、DNS；
2、前置网关做TCP 443和80端口映射（如果用到IPSEC VPN 还需要映射TCP / UDP 4009端口）
3.2.4单臂多线路部署配置思路：
1、单臂模式配置：给设备LAN口分配一个可以上网的IP地址、填写正确的网关IP、DNS；
2、前置网关分别做两条线路的TCP 443和80端口映射（如果用到IPSEC VPN 还需要映射TCP / UDP 4009端口）
3、配置SSL VPN多线路

四、IPsec VPN部署模式：
4.1 部署模式拓扑图：
4.1.1 网关模式部署

4.1.2 单臂模式部署：

4.2 配置思路
4.2.1 网关模式部署配置思路：
1.选择部署模式并配置内，外网接口信息
2.配置代理上网同时放通防火墙规则
3.本案例内网有三层环境，还需配置回包路由
4.若设备还提供SANGFOR VPN服务，VPN连进来后需要访问内网所有的网段，还需要添加本地子网（VPN的具体配置请参考《DLAN互联基础配置》。
4.2.2 单臂模式配置思路：
1.总部配置
1）.选择部署模式并配置内网接口信息
2）.在前置防火墙添加路由，目标IP为分支所在的网段 （10.0.1.0/24），网关指向VPN设备（192.200.1.252），具体配置不再详细说明。
3.在前置防火墙配置端口映射（具体配置不再详细说明）
2.分支配置（参考网关模式部署配置）