12、网络安全威胁防御部署模式全解析

网络安全威胁防御部署模式全解析

1. 内联模式与透明模式对比

内联模式和透明模式在网络中都像“线路中的凸起”，对连接的设备来说是不可见的，但它们是两种不同的技术。
- 内联模式 ：接口对中的接口与网络无关，只要策略允许，它们可以发送和接收任何流量。而且，内联对中的成员接口无需配置 IP 地址。
- 透明模式 ：威胁防御将内部和外部网络置于一个虚拟桥接组中，创建一个二层桥接网络。源自威胁防御的流量使用桥接虚拟接口（BVI）作为其源接口。BVI、内部网络和外部网络必须都配置来自同一子网的 IP 地址。此外，透明模式可以启用网络地址转换（NAT），而内联模式不支持。

2. 内联模式最佳实践

创建内联集时，可参考以下建议：
- 异步路由情况 ：若网络使用异步路由，入站和出站流量通过两个不同的接口对，应将这两个接口对包含在同一接口集中。这样能确保威胁防御看到完整的流量，识别双向的流并将其视为单个连接的一部分。
- STP 交换机连接 ：如果内联对的接口连接到运行生成树协议（STP）的交换机，应在关联的交换机端口上启用 portfast。这可使这些交换机端口立即过渡到转发状态，减少硬件旁路时间。
- 启用故障开放功能 ：为内联接口集启用故障开放功能。在检查失败的情况下，此功能允许威胁防御继续无中断地传输流量。
- 允许链路状态传播 ：允许内联集传播其链路状态。这样，当内联集中的一个接口出现故障时，可以减少