AF 上架前 现场已经有内网---汇聚---核心---路由器 想把af 单 10

新手216821 3262

{{ttag.title}}
AF  上架前 现场已经有内网---汇聚---核心---路由器  想把af 单臂旁挂在核心 进行一次防护有详细的配置案例吗

解决该疑问,预计可以帮助到 18743 人!

回帖即可获得
2S豆
,被楼主采纳即奖励20S豆+悬赏奖励10S豆+10分钟内回帖奖励10S豆 [已过期] ,了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

熊猫上树 发表于 2026-4-15 19:05
  
基本配置步骤:(以标准版本AF7.4及以上版本为例)

在【网络】-【接口/区域】中选择网口,配置IP地址和区域。
在【网络配置】-【路由】-【静态路由】中配置详细或缺省路由,下一跳指向直连的交换机接口地址。
在【策略】-【访问控制策略】-【应用控制策略】中放通区域到区域的数据。
如果是AF7.3版本,步骤类似,只是部分菜单路径不完全相同:

在【网络配置】-【接口/区域】中选择网口配置IP和区域。
在【网络】-【路由】-【静态路由】中配置详细或缺省路由。
在【内容安全】-【应用控制策略】中放通区域间的数据。
注意事项:

单臂模式下,策略配置与正常路由模式类似,单臂接口区域既是源区域也是目的区域,策略配置上根据源目的IP来区分。
AF单臂模式部署时接在交换机上,单臂口为路由口,支持路由功能。需要交换机配置策略路由引流,确保数据流量双向经过AF。
单臂口可同时作为管理口和业务传输口,一般只需接一根线即可。
zjwshenxian 发表于 2026-4-15 19:44
  
基本配置步骤:(以标准版本AF7.4及以上版本为例)

在【网络】-【接口/区域】中选择网口,配置IP地址和区域。
在【网络配置】-【路由】-【静态路由】中配置详细或缺省路由,下一跳指向直连的交换机接口地址。
在【策略】-【访问控制策略】-【应用控制策略】中放通区域到区域的数据。
如果是AF7.3版本,步骤类似,只是部分菜单路径不完全相同:

在【网络配置】-【接口/区域】中选择网口配置IP和区域。
在【网络】-【路由】-【静态路由】中配置详细或缺省路由。
在【内容安全】-【应用控制策略】中放通区域间的数据。
注意事项:

单臂模式下,策略配置与正常路由模式类似,单臂接口区域既是源区域也是目的区域,策略配置上根据源目的IP来区分。
AF单臂模式部署时接在交换机上,单臂口为路由口,支持路由功能。需要交换机配置策略路由引流,确保数据流量双向经过AF。
单臂口可同时作为管理口和业务传输口,一般只需接一根线即可。
罗晓宇 发表于 2026-4-15 21:01
  
为什么要旁挂呢,是性能不够么,旁挂需要镜像消耗核心的性能,性能够串接进去,或者直接把路由器替换掉也行呀
玉出昆山 发表于 2026-4-16 06:46
  
精确匹配:通过ACL精确匹配需要防护的流量,避免将所有流量都引流到AF,以免造成性能瓶颈。
路由环路:配置AF的回注路由时,务必确保目的地是核心交换机。不要在AF上配置指向核心交换机下联网段(如VLAN 10)的明细路由,否则可能形成环路。一条指向核心交换机互联地址的默认路由通常就足够了。
冗余设计:若需高可用,建议部署两台AF做双机热备,并结合NQA(网络质量分析)与Track功能,确保主AF故障时能自动切换到备用设备,保障网络不中断。
王老师 发表于 2026-4-16 08:23
  
网络拓扑概述
现有网络结构:内网 → 汇聚交换机 → 核心交换机 → 路由器。
AF部署位置:单臂旁挂在核心交换机上。
部署目的:对内网流量进行安全防护,如IPS、WEB应用防护等。
王老师 发表于 2026-4-16 08:29
  
配置步骤
1. 核心交换机配置
创建VLAN并分配端口:
根据实际需求,在核心交换机上创建用于AF连接的VLAN(例如VLAN 100)。
将连接AF的端口(例如GigabitEthernet0/0/24)加入该VLAN。
bash
system-view
vlan batch 100
interface GigabitEthernet0/0/24
port link-type trunk
port trunk allow-pass vlan 100
配置Trunk端口:
确保连接AF的端口配置为Trunk模式,以允许多个VLAN的流量通过(如果AF需要访问多个VLAN)。
在本案例中,由于AF是单臂旁挂,且主要目的是对内网流量进行防护,因此可以仅允许AF所在VLAN(VLAN 100)的流量通过。但如果AF需要与其他VLAN通信,则需相应调整配置。
2. AF设备配置
配置接口模式:
将AF连接核心交换机的接口配置为路由模式(或三层模式),以便进行IP地址配置和路由转发。
配置IP地址:
为AF的接口配置一个IP地址,该IP地址将作为内网流量经过AF时的网关。
确保该IP地址与核心交换机上AF所在VLAN的接口IP地址在同一网段。
bash
# 假设AF接口为GigabitEthernet0/0/1
interface GigabitEthernet0/0/1
ip address 192.168.100.2 255.255.255.0  # 示例IP地址,需根据实际情况调整
配置安全策略:
根据实际需求,在AF上配置相应的安全策略,如IPS、WEB应用防护、僵尸网络防护等。
配置访问控制策略,以控制内网流量经过AF时的访问权限。
配置路由:
如果AF需要与其他网络(如外网)通信,则需在AF上配置相应的路由。
在本案例中,主要关注内网流量的防护,因此可以简化路由配置,仅确保AF能够与内网和核心交换机通信即可。
3. 核心交换机上配置策略路由(可选)
目的:将需要防护的内网流量引流至AF设备。
配置方法:
在核心交换机上创建ACL(访问控制列表),以匹配需要防护的内网流量。
创建策略路由,将匹配ACL的流量转发至AF设备所在VLAN的网关(即AF的接口IP地址)。
bash
# 示例ACL配置
acl number 3000
rule 5 permit ip source 192.168.1.0 0.0.0.255 destination any  # 示例内网网段,需根据实际情况调整

# 示例策略路由配置
policy-based-route af-policy permit node 10
if-match acl 3000
apply ip-address next-hop 192.168.100.2  # AF的接口IP地址

# 将策略路由应用到内网流量经过的接口上
interface GigabitEthernet0/0/1  # 假设内网流量经过该接口
ip policy-based-route af-policy
三、验证与测试
连通性测试:
在内网主机上ping AF的接口IP地址,验证连通性。
在内网主机上ping外网主机(如果允许),验证流量是否经过AF设备。
安全策略测试:
尝试触发AF上配置的安全策略(如发起恶意攻击、访问被禁止的网站等),验证AF是否能够正确拦截并报警。
四、注意事项
性能考虑:单臂旁挂部署方式下,AF设备可能成为网络瓶颈。需确保AF设备的性能能够满足实际需求。
高可用性:考虑AF设备的高可用性配置,如双机热备等,以提高网络的可靠性。
维护与管理:定期对AF设备进行维护和管理,如更新安全策略、查看日志等,以确保其正常运行。
火狐狸 发表于 2026-4-16 08:47
  
单臂模式下,策略配置与正常路由模式类似,单臂接口区域既是源区域也是目的区域,策略配置上根据源目的IP来区分。
AF单臂模式部署时接在交换机上,单臂口为路由口,支持路由功能。需要交换机配置策略路由引流,确保数据流量双向经过AF。
单臂口可同时作为管理口和业务传输口,一般只需接一根线即可。
0010 发表于 2026-4-16 09:00
  
可以联系400远程协助。
实习19857 发表于 2026-4-16 09:23
  
旁挂需要策略路由引流 或者写路由过去 最终和串接没啥区别

等我来答:

换一批

发表新帖
热门标签
全部标签>
新版本体验
功能体验
有一说一
GIF动图学习
信服课堂视频
标准化排查
每日一问
纪元平台
技术盲盒
每周精选
高手请过招
社区新周刊
安全效果
2025年技术争霸赛
产品连连看
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
安装部署配置
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
技术晨报
平台使用
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
西北区每日一问
升级&主动服务
高频问题集锦
【 社区to talk】
POC测试案例
全能先锋系列
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案
声音值千金
工具体验官
产品知识周周练
产品体验官
VMware替换

本版版主

41
57
47

发帖

粉丝

关注

0
4
1

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人