企业网络改造不求人：手把手教你深信服防火墙旁挂部署（含NQA配置避坑指南）

企业级防火墙旁挂部署实战：深信服设备零基础配置指南

当企业网络规模逐步扩大，业务系统日益复杂，网络安全防护往往成为IT运维团队最头疼的问题之一。传统防火墙部署通常需要对现有网络架构进行大规模调整，不仅实施周期长，还可能影响业务连续性。而旁挂部署方案恰好为中小企业提供了一种"手术刀式"的解决方案——在不改变现有网络拓扑的前提下，精准引流需要防护的流量，实现安全防护的快速落地。

1. 旁挂部署的核心价值与适用场景

在金融行业服务客户的过程中，我发现许多中小企业的网络架构都存在相似的痛点：核心交换机直连业务服务器，互联网边界仅靠基础ACL进行防护，缺乏专业的安全检测手段。这种架构就像没有安装防盗门的小区，安全隐患显而易见。而深信服防火墙的旁挂部署模式，恰好能解决这类企业的燃眉之急。

旁挂部署的三大核心优势：

• 零网络改造：无需调整现有VLAN划分和路由架构，物理连接仅需增加两条链路
• 流量精准管控：通过策略路由选择性引流，避免所有流量经过防火墙造成的性能瓶颈
• 故障自动旁路：当防火墙异常时，NQA检测机制可自动切换至备用路径，保障业务连续性

提示：旁挂部署特别适合以下场景：原有网络缺乏安全防护、业务系统对网络变更敏感、预算有限无法采购高端防火墙设备。

实际案例中，某电商企业在618大促前两周发现订单系统存在异常访问，采用旁挂方式部署深信服AF防火墙后，仅用4小时就完成了恶意流量的识别和阻断，期间业务系统零中断。这种"微创手术"式的安全升级，正是旁挂部署的最大价值所在。

2. 网络架构设计与物理连接

典型的旁挂部署拓扑如下图所示（文字描述）：

核心交换机 防火墙 |--------[Gi0/0/1]--------[WAN] 深信服 [LAN]--------[Gi0/0/2] | | |--------[上联端口]-------------------------|

物理连接四步法：

1. 使用光纤或网线连接核心交换机的Gi0/0/1接口到防火墙WAN口
2. 连接防火墙LAN口到核心交换机的Gi0/0/2接口
3. 确保核心交换机上联端口（通常为VLAN接口）保持原有连接
4. 为所有接口配置合适的IP地址，建议采用/24位掩码的私网地址段

接口IP分配参考表：

在实施过程中，我强烈建议先在不影响生产的时段进行物理连线测试，使用ping命令验证各段链路的连通性。曾经遇到一个案例，工程师没有检查光纤模块兼容性，导致部署后出现间歇性丢包，这种低级错误完全可以通过前期测试避免。

3. 策略路由配置详解

策略路由是旁挂部署的核心技术，它像交通警察一样引导特定流量走向防火墙。与常规路由不同，策略路由可以根据源/目的IP等条件进行更精细的流量控制。

3.1 出向流量引导配置

以下是在华为交换机上的典型配置步骤：

# 创建匹配内网地址段的ACL acl number 3010 rule 5 permit ip source 192.168.0.0 0.0.255.255 # 定义流分类规则 traffic classifier outbound operator or precedence 10 if-match acl 3010 # 配置重定向到防火墙的行为 traffic behavior to_fw_lan permit redirect ip-nexthop 10.1.1.2 # 绑定策略并应用到内网接口 traffic policy outbound_policy match-order config classifier outbound behavior to_fw_lan interface Eth-Trunk1 port link-type trunk port trunk allow-pass vlan 2 to 4094 traffic-policy outbound_policy inbound

关键参数解析：

• acl number 3010：创建编号为3010的访问控制列表
• source 192.168.0.0 0.0.255.255：匹配所有192.168.x.x的内网地址
• redirect ip-nexthop 10.1.1.2：将匹配流量重定向到防火墙WAN口

3.2 入向流量引导配置

对于外部访问内部服务的流量，需要配置反向引导：

acl number 3011 rule 5 permit ip destination 192.168.0.0 0.0.255.255 traffic classifier inbound operator or precedence 15 if-match acl 3011 traffic behavior to_fw_wan permit redirect ip-nexthop 10.1.2.2 traffic policy inbound_policy match-order config classifier inbound behavior to_fw_wan interface Vlanif1000 ip address 192.168.200.1 255.255.255.0 traffic-policy inbound_policy inbound

常见配置误区：

1. ACL规则范围过大或过小，建议先用display acl 3010命令验证规则匹配情况
2. 未正确应用策略到接口的inbound方向，导致策略不生效
3. 下一跳地址填写错误，特别是WAN/LAN接口容易混淆

4. NQA高可用配置实战

NQA（Network Quality Analysis）就像给网络安装了一个心电图仪，实时监测防火墙的健康状态。当检测到故障时，它能自动触发流量切换，避免业务中断。

4.1 基础NQA配置

# 创建ICMP类型的检测实例 nqa test-instance admin firewall_monitor test-type icmp frequency 10 probe-count 2 destination-address ipv4 10.1.1.2 start now

参数优化建议：

• frequency：生产环境建议设置为5-10秒，太短会增加设备负载
• probe-count：通常2-3次即可，避免因单次丢包误判
• 可增加timeout参数（默认3秒），网络延迟大时可适当延长

4.2 策略路由与NQA联动

将NQA检测与策略路由绑定，实现自动故障切换：

traffic behavior to_fw_lan permit redirect ip-nexthop 10.1.1.2 track nqa admin firewall_monitor # 配置默认路由作为备份路径 ip route-static 0.0.0.0 0.0.0.0 192.168.200.2 preference 70

故障切换机制说明：

1. NQA持续检测防火墙WAN口可达性
2. 当连续检测失败时（默认3次），触发策略路由失效
3. 流量自动回落到默认路由，直连互联网出口
4. 当NQA检测恢复时，流量自动切回防火墙路径

注意：切换过程会有短暂丢包（通常<3秒），关键业务系统建议配置会话保持功能。

5. 防火墙基础策略配置

完成网络侧配置后，需要在深信服防火墙上进行相应设置，以下为关键步骤：

安全策略配置要点：

1. 新建地址对象，定义内网网段（如192.168.0.0/16）
2. 创建服务对象，开放必要的业务端口
3. 配置LAN到WAN的安全策略，允许内网访问互联网
4. 设置WAN到LAN的安全策略，严格控制入向访问

实用调试技巧：

• 开启日志功能，实时监控被拦截的流量
• 先配置宽松策略确保连通性，再逐步收紧规则
• 利用深信服的APP识别功能，精细化控制应用访问

我曾处理过一个案例，客户配置完策略路由后发现流量不通，最终排查是防火墙默认阻止了跨安全域的ping检测。这个经历说明，网络设备和安全设备的配置需要协同考虑，不能各自为战。

6. 验证与排错指南

部署完成后，建议按照以下步骤验证配置效果：

连通性测试步骤：

1. 从内网PC执行tracert外网地址，确认路径经过防火墙
2. 从外网尝试访问内部服务，验证反向路径
3. 模拟防火墙宕机，观察NQA切换效果

常见问题排查表：

当遇到复杂问题时，可以分段排查：先在交换机上display traffic-policy statistics查看策略匹配计数，再在防火墙上检查会话表，最后通过抓包分析具体流量走向。这种分层排查法能快速定位问题环节。