在防火墻、上網行為管理如何實現雙機熱備一文中，我們介紹了如何用兩條外線來實現網絡雙機熱備。在有些情況下，一些用戶還需要對同一條線路做雙機熱備。準確的說，外線只有一條，但是要確保防火墻/上網行為管理設備是可以實現熱備的。這種情況下，和防火墻、上網行為管理如何實現雙機熱備一文不同的(de)是，我們需要同時在“內(nei)(nei)網口(kou)”和“外(wai)網口(kou)”上都(dou)開(kai)啟(qi)虛擬(ni)IP。這樣的(de)效(xiao)果就是：內(nei)(nei)網口(kou)和外(wai)網口(kou)都(dou)工作虛擬(ni)IP上，一旦主設備(bei)故障，可以迅速切換到(dao)備(bei)份設備(bei)上去(qu)。

鏈(lian)路聚(ju)(ju)合(he)和(he)端口(kou)聚(ju)(ju)合(he)是兩個概念：

1). 鏈路聚合是指多(duo)條外線(xian)的情況下把多(duo)條外線(xian)聚合使用(yong)。該功能可(ke)以通過WSG的“多(duo)線(xian)均衡”模塊來(lai)實現。

2). 端(duan)口聚合是指在WSG上接多個內(nei)(nei)網(wang)交換機(ji)端(duan)口，從而提升內(nei)(nei)網(wang)的上聯帶寬。

一(yi)些企事業單位出于安全考慮，需(xu)要做(zuo)內外網分離。舉例(li)來說(shuo)，需(xu)要達到如下的(de)技術要求：

1.  生產網(wang)、辦公網(wang)、外網(wang)三網(wang)隔離。

2. 啟用網絡準入，對非規定允許接入的設備禁止其接入網絡。
   

3. 上(shang)網數(shu)據留存。

在本文(wen)中，我將結合WSG上網行(xing)為管理(li)來(lai)闡述如何實現(xian)內外網分離(li)。

企(qi)業內(nei)網(wang)一般(ban)都會劃(hua)分多個VLAN。劃(hua)分VLAN可以提高內(nei)網(wang)安全性(xing)，而且(qie)更加(jia)便于管理。比(bi)如(ru)：有線(xian)和無線(xian)處(chu)于不同的網(wang)段，不允許無線(xian)設備訪問企(qi)業內(nei)網(wang)，這樣可以保護內(nei)部信息(xi)安全；而且(qie)可以對不同網(wang)段配(pei)置不同的上網(wang)策(ce)略和流控策(ce)略。而且(qie)劃(hua)分VLAN可以分割廣播域，避(bi)免廣播風暴。VLAN的劃(hua)分一般(ban)有如(ru)下三種方法：

1. 通過三層交換機來劃分VLAN

無(wu)線網(wang)絡(luo)由(you)于安全性比較低，企(qi)事業(ye)單位的(de)無(wu)線組網(wang)需要考慮(lv)如下因素：

1. 有線網段和無線網段互相隔離。
   

2. 辦公(gong)無(wu)線和(he)訪客無(wu)線也需要互(hu)相隔離(li)。

3. 每個網段的無線終端建議控制在150以內，避免廣播風暴。
   

4. 員工內網(wang)要(yao)做接入認證或者設(she)備綁定。

5. 對訪客進行實名認(ren)證（可選）

一般(ban)采用這樣(yang)的網(wang)絡結構(gou)圖：

WSG上網(wang)行為管理做透明網(wang)橋部(bu)署有很(hen)多(duo)優勢：

1. 即插即用，不影響現有網絡。
   

2. 不需要修改原(yuan)有設備的配置(zhi)（交(jiao)換機、路由器(qi)都不需要做任何修改）

3. 可以利(li)用到硬(ying)件(jian)bypass的(de)功能，即使機器斷電死機也不(bu)會斷網。

WFilter NGF（WSG上(shang)網(wang)行為管理網(wang)關）支持網(wang)關和網(wang)橋兩種部署模式：

1. 網關模式(shi)：WSG作為整(zheng)個(ge)局域網的(de)網關，提供NAT服務。

2. 網(wang)橋(qiao)模式：WSG作為透明網(wang)橋(qiao)串接在局域網(wang)中。

在有些(xie)情況下(xia)，我們需要采(cai)用純路由(you)模式(shi)（WSG只做路由(you)轉接，不進行NAT轉換）。本例中，我將介紹如何用WSG來搭建路由(you)模式(shi)的上網行為管(guan)理。

網絡結構如下圖：

具體配置步驟如下：

由于公(gong)網IP資源越來越緊張，現(xian)在很多運營商給撥號(hao)上網的用戶只分配內網IP地址(zhi)，如下圖所(suo)示：

這樣的運營商內網(wang)(wang)IP是外網(wang)(wang)不可(ke)達(da)的（即使用動態域(yu)名也不起作用）。而企業由于業務需(xu)要，比如虛擬局(ju)域(yu)網(wang)(wang)組網(wang)(wang)、辦公OA系統、ERP系統等，都(dou)需(xu)要有(you)公網(wang)(wang)IP才可(ke)以實(shi)現。公網(wang)(wang)IP的解決，目前主要有(you)三種方案：

1. 申請固定IP專線。穩定且速度有保障，缺點是費用高。
   

2. 云方案。把業務主機(ji)(ji)都搬到云上(shang)，直接通過云主機(ji)(ji)來訪(fang)問。費用比較(jiao)低(di)，缺(que)點(dian)是云主機(ji)(ji)不能本地維護，且搬遷(qian)工作量(liang)都不小。

3. 云主機(ji)+內網(wang)穿透方案(an)。通過云主機(ji)做跳(tiao)板來實現(xian)內網(wang)穿透，既(ji)可以復(fu)用現(xian)有的業務系統，又解決了公網(wang)IP的問題。第三種方案(an)的成本(ben)是最低的，但是配置比較(jiao)復(fu)雜。本(ben)文將對第三種方案(an)做詳細介紹。

由于(yu)無(wu)線的(de)便(bian)利性，越(yue)來越(yue)多的(de)企業局(ju)域網(wang)(wang)采(cai)用無(wu)線辦公的(de)方式。而因為無(wu)線網(wang)(wang)絡(luo)的(de)特殊性，如果缺(que)乏上網(wang)(wang)行(xing)為管(guan)理和流控手段(duan)，會導致無(wu)線緩慢、網(wang)(wang)絡(luo)不可用等(deng)情況。而且無(wu)線網(wang)(wang)絡(luo)更(geng)加容易產(chan)生廣(guang)播風暴。所以，在(zai)WiFi無(wu)線局(ju)域網(wang)(wang)中部署上網(wang)(wang)行(xing)為管(guan)理和流控是非常必(bi)要的(de)。

本文中(zhong)，我(wo)就將來介紹WiFi局域網的上網行(xing)為管理方案(an)。

1. 常用的網絡拓撲

1. 首先，由于無線路由器的穩定性不高，所以主路由不推薦用無線設備。可以用一臺有線路由器做網關，后面串接上網行為管理設備。或者直接用上網行為管理做網關。
   

2. 推薦采用瘦AP的組(zu)網方(fang)式。通(tong)過(guo)AC控制器統一管理(li)。

對于企業局域網來說，一個合理的IP地址分配是網絡安全和網絡管理的基礎，IP地址管理的好壞直接影響著企業員工的工作效率及企業的信息安全。
局域網(wang)的IP地址分配，需要考慮到如下方面：

1. 服務器的(de)IP地址(zhi)段和辦(ban)公電(dian)腦的(de)IP地址(zhi)段要(yao)區分(fen)開。

2. 手機、pad等移(yi)動設備需要自動獲取(qu)IP。

3. 無線由于安全性比較低，一般需要用VLAN進行(xing)隔離。

4. 每個網段的客戶機數量不宜過多，有線250以內，無線150以內比較合理。否則會引起網絡風暴。
   

下面是我總結的企業局域網IP地址分配方案，希望能對大家有幫助。

現在無(wu)線組網越來(lai)越普(pu)遍，但是不合理(li)的(de)(de)組網方案，往往會(hui)導致無(wu)線接入緩(huan)慢、網絡(luo)卡的(de)(de)情況。根據我們的(de)(de)經(jing)驗和抓包(bao)(bao)分析(xi)，由(you)于無(wu)線設備(bei)（包(bao)(bao)括AP、AC等）在通(tong)訊過程會(hui)更多的(de)(de)依賴廣(guang)播(bo)包(bao)(bao)，非常(chang)容(rong)易出現廣(guang)播(bo)風(feng)暴。無(wu)線網絡(luo)的(de)(de)穩定運(yun)行，請(qing)注意如下幾點：

1. 首先(xian)要合理的進行AP布局，保證(zheng)無線(xian)信號(hao)強度、并且避免無線(xian)信號(hao)的互相干擾。

2. 合(he)理的VLAN劃分。無線設備(bei)(bei)的廣(guang)播包比較多(duo)，非常(chang)容易產(chan)生(sheng)廣(guang)播風暴。一個VLAN容納的無線設備(bei)(bei)要控(kong)制在(zai)200以內。

3. 主路由網關的性能要強勁，并且設置上網行為管理策略和流控策略。
   

4. 定期檢測廣播風(feng)暴等網絡問題

某(mou)企業由于網絡架設比較(jiao)早，網絡設備和網絡結構已(yi)經不再適合當前的網絡需要(yao)。為(wei)了(le)更好的實現網絡管理(li)和信息安全的需要(yao)，提出(chu)了(le)如下升級改(gai)造(zao)需求：

1. 帶寬擴容，采用兩條寬帶接入。
   

2. 內網(wang)需(xu)要劃分不同的VLAN，分為辦公(gong)、監控、生產幾大(da)網(wang)段(duan)。

3. 內網客戶(hu)機需要(yao)進行嚴格的IP-MAC綁定(ding)，只有綁定(ding)后的設備才可以接入。

4. 全網(wang)上網(wang)行(xing)為審計記錄。

5. 部署上(shang)網行(xing)為管理策略，建立上(shang)網秩(zhi)序。

很多(duo)企業為了解決(jue)網速(su)不(bu)夠用(yong)的問題(ti)，都升(sheng)級(ji)了帶(dai)(dai)寬資源。比如50M升(sheng)級(ji)到100M，或者(zhe)干脆多(duo)拉幾(ji)根外線(xian)。但是(shi)，很多(duo)用(yong)戶發現，帶(dai)(dai)寬升(sheng)級(ji)了但是(shi)網絡還是(shi)慢。

本(ben)文中，我整理(li)了(le)企(qi)業帶寬(kuan)優(you)化(hua)的(de)三(san)(san)點要(yao)求(qiu)。帶寬(kuan)升(sheng)級(ji)(ji)后，一定要(yao)注意(yi)這三(san)(san)點，才能真正的(de)享受(shou)帶寬(kuan)升(sheng)級(ji)(ji)帶來的(de)更好寬(kuan)帶體驗。

我們在選擇(ze)網(wang)關設備的(de)(de)時候，經(jing)常會面臨選擇(ze)路由(you)器還(huan)是專業網(wang)關（x86架(jia)構工控機）的(de)(de)問題。本文(wen)將(jiang)從硬件角度(du)來解釋這兩者的(de)(de)差(cha)別。

兩者的硬件架構都(dou)由(you)CPU、存(cun)(cun)儲(chu)、內(nei)存(cun)(cun)（RAM）組成(cheng)，但是配件的差別非常大。

劃分VLAN一般(ban)出于如下幾個(ge)目的：

1. 把內(nei)(nei)網(wang)(wang)劃分為不(bu)(bu)同(tong)(tong)的(de)(de)網(wang)(wang)段，可(ke)以提高內(nei)(nei)網(wang)(wang)安全(quan)(quan)性，而(er)且(qie)更加便于管(guan)理。比如：有線(xian)(xian)和(he)無(wu)線(xian)(xian)處(chu)于不(bu)(bu)同(tong)(tong)的(de)(de)網(wang)(wang)段，不(bu)(bu)允許無(wu)線(xian)(xian)設(she)備訪問(wen)企(qi)業內(nei)(nei)網(wang)(wang)，這樣(yang)可(ke)以保護內(nei)(nei)部信息(xi)安全(quan)(quan)；而(er)且(qie)可(ke)以對不(bu)(bu)同(tong)(tong)網(wang)(wang)段配置不(bu)(bu)同(tong)(tong)的(de)(de)上(shang)網(wang)(wang)策(ce)略和(he)流(liu)控策(ce)略。

2. 分割廣(guang)(guang)播(bo)域，避免廣(guang)(guang)播(bo)風暴。廣(guang)(guang)播(bo)風暴這個(ge)現(xian)象，在無線時(shi)代更加突出，AP設備的(de)發(fa)現(xian)、管理等操作都會產生廣(guang)(guang)播(bo)包。

那(nei)么(me)(me)，什么(me)(me)情(qing)況下需(xu)要劃分VLAN呢？主要考慮以下幾點：

為了管理和安全需要(yao)，很多局(ju)域(yu)網都(dou)要(yao)求固定(ding)IP，每個(ge)設(she)備(bei)的IP地(di)址(zhi)和mac地(di)址(zhi)都(dou)登記(ji)在案，結合IP-mac綁定(ding)，從而使上網記(ji)錄、病毒攻擊(ji)都(dou)有據可查，并且(qie)可以迅(xun)速定(ding)位到個(ge)人(ren)。但是和自動(dong)獲取IP地(di)址(zhi)比較，固定(ding)IP也(ye)有一(yi)些弊端：

1. 配置較復雜，一些非技術人員不懂也不會配置IP地址。需要網管人員全局維護。
   

2. 固定IP地(di)址(zhi)列表需要維護。人(ren)員離職、電腦報(bao)廢后，IP地(di)址(zhi)如(ru)果沒有(you)及(ji)時回收，會導致IP地(di)址(zhi)不夠用(yong)。

本文我將結合WFilter（WSG網關）的IP-mac綁(bang)定功能，介(jie)紹如何分(fen)配、管(guan)理和(he)回收IP地址。

現在大部分局(ju)域網都(dou)提供了(le)無線上網的功能。無線主要用于滿足以下幾(ji)種需(xu)求：

1. 無線辦公的需要，比如無線pos機等辦公設備。
   

2. 員工無線(xian)上網的(de)需要。

3. 來賓、客(ke)人的(de)無(wu)線上(shang)網。

這樣就帶(dai)來(lai)了相關(guan)的安全性(xing)問(wen)題：

1. 來(lai)賓有可能通過無線接入(ru)到企業內網，導致安全(quan)隱患。

2. 員(yuan)工有(you)可能通(tong)過(guo)來(lai)賓的無線網(wang)絡上網(wang)，從(cong)而繞(rao)開公司的行(xing)為管理策略，影響工作效率。

目前(qian)大部分解決方案都(dou)是來(lai)賓網(wang)絡(luo)和內(nei)部無線網(wang)絡(luo)使用不同(tong)的無線SSID和密碼。但是實際上這個方案存在很大的漏洞：密碼泄漏。來(lai)賓可(ke)以直接(jie)詢問(wen)到內(nei)網(wang)的無線密碼，甚至很多無線密碼都(dou)是公開張貼的。而企業(ye)員(yuan)工更是可(ke)以直接(jie)通(tong)過來(lai)賓網(wang)絡(luo)上網(wang)。

本(ben)文將結合WFilter NGF的相關功能，來介紹更進階(jie)的解決方(fang)案。

VLAN可以把網絡劃分成多個廣播域，可以有效的控制廣播風暴，還可以控制網絡中不同部門和網段之間的互相訪問。如果您已經有了三層交換機，可以直接在三層交換機上劃分VLAN，請參閱：多VLAN三層交換機如何連接WFilter上網行為管理系統？

在沒(mei)有三層交換機的環境下，您可以直接用WFilter NGF（WSG網(wang)關）來劃(hua)分(fen)VLAN。支持兩種VLAN的劃(hua)分(fen)方式：

1. 基于端口的VLAN劃分。每個端口一個VLAN接二層交換機。
   

2. 802.1Q VLAN（單臂(bei)路由）。和(he)交換機的(de)(de)trunk口連接，通(tong)過一個端(duan)口實現多個VLAN的(de)(de)封裝。

本(ben)文將介紹這(zhe)兩種方(fang)式如何配置。

WSG-200E上網(wang)行為管(guan)理(li)(li)網(wang)關，不是(shi)用的(de)(de)最(zui)頂尖高端的(de)(de)硬(ying)件設備，但是(shi)對于(yu)150-300人局域網(wang)范(fan)圍，真的(de)(de)是(shi)性(xing)價比最(zui)高的(de)(de)一(yi)款(kuan)。系統采(cai)用了WFilter NGF企業級(ji)上網(wang)行為管(guan)理(li)(li)系統，在硬(ying)件方面，采(cai)用了Intel B75的(de)(de)主板架構，I3-32200的(de)(de)酷(ku)睿(rui)4核CPU，主頻(pin)高達3.3GHz.實(shi)實(shi)在在的(de)(de)優質選型(xing)。

WSG-500E上(shang)網(wang)行為管(guan)理(li)設備是WFilter系(xi)列上(shang)網(wang)行為管(guan)理(li)中性(xing)(xing)能非常強悍的一款(kuan)設備，系(xi)統采(cai)用了(le)(le)WFilter NGF企業級上(shang)網(wang)行為管(guan)理(li)系(xi)統，在硬(ying)件方(fang)面，采(cai)用了(le)(le)Intel B75的主板架構，I5-3450的酷睿4核CPU，主頻高(gao)達3.1GHz。很多(duo)用戶對這個性(xing)(xing)能缺少形象(xiang)的概念(nian)，讓我來簡單比較下：

1. 普通的(de)路由器芯(xin)片(pian)，比如典型(xing)的(de)MTK7620芯(xin)片(pian)，主頻是580MHz。

2. D525工(gong)控機(ji)，CPU是(shi)4核1.8GHz。性能至少是(shi)MTK的3-4倍(bei)。

3. WSG-500E的I5-3450，采用了新的設計，性能差不多又是D525的3-4倍。
   

配合4G的DDR3內存，6個千(qian)兆端口，構建了(le)性(xing)能強悍(han)的WSG-500E。這款(kuan)設備，雖然官方(fang)推(tui)薦是500Mbps的帶(dai)寬，實測可以達到900-920M，而且網絡訪問很(hen)順暢，一點(dian)也(ye)不卡頓(dun)。

這(zhe)里(li)(li)說的大(da)型局(ju)域網(wang)(wang)是500-1000臺局(ju)域網(wang)(wang)環境，一(yi)般(ban)是一(yi)棟樓，廠房或(huo)者學(xue)校。大(da)型局(ju)域網(wang)(wang)的組網(wang)(wang)方案已經非常成熟了(le)(le)。大(da)網(wang)(wang)絡，多了(le)(le)防火墻，核心(xin)交換機，不同需求的服務(wu)器。這(zhe)里(li)(li)就不一(yi)一(yi)贅述(shu)，這(zhe)里(li)(li)重(zhong)點(dian)介(jie)紹(shao)大(da)局(ju)域網(wang)(wang)的上網(wang)(wang)行為管(guan)理方案。大(da)網(wang)(wang)環境數據(ju)量大(da)，各種協議走的很復雜。很多網(wang)(wang)安廠家把(ba)第二代防火墻的概念

（Next Generation Firewall）包(bao)括了上(shang)(shang)(shang)(shang)網(wang)(wang)(wang)行(xing)(xing)為管(guan)理(li)概念，專(zhuan)業的(de)(de)上(shang)(shang)(shang)(shang)網(wang)(wang)(wang)行(xing)(xing)為管(guan)理(li)是無法(fa)被(bei)代替(ti)的(de)(de)。協(xie)議(yi)分析，應用(yong)層解(jie)析，上(shang)(shang)(shang)(shang)網(wang)(wang)(wang)日(ri)志記錄，審計等模塊需(xu)要大量的(de)(de)運(yun)算，后期需(xu)要專(zhuan)業的(de)(de)研發團隊維護升級(ji)。所以(yi)(yi)不(bu)應該被(bei)防火墻，殺毒(du)(du)的(de)(de)概念混亂(luan)。上(shang)(shang)(shang)(shang)網(wang)(wang)(wang)方(fang)(fang)式(shi)這(zhe)三十年(nian)發生了天翻(fan)地覆的(de)(de)變化，網(wang)(wang)(wang)絡(luo)協(xie)議(yi)一年(nian)又一年(nian)的(de)(de)更新，應用(yong)協(xie)議(yi)天天有(you)新出，移動上(shang)(shang)(shang)(shang)網(wang)(wang)(wang)方(fang)(fang)式(shi)的(de)(de)應用(yong)都已經變成(cheng)日(ri)常(chang)行(xing)(xing)為了。各種病(bing)毒(du)(du)方(fang)(fang)式(shi)已經不(bu)像原始方(fang)(fang)式(shi)文件打開，有(you)的(de)(de)時候(hou)甚至點開一個不(bu)安全的(de)(de)網(wang)(wang)(wang)站會(hui)導致病(bing)毒(du)(du)入(ru)侵，所以(yi)(yi)內網(wang)(wang)(wang)管(guan)控(kong)不(bu)僅僅是上(shang)(shang)(shang)(shang)網(wang)(wang)(wang)效(xiao)率提(ti)高，還(huan)有(you)上(shang)(shang)(shang)(shang)網(wang)(wang)(wang)行(xing)(xing)為管(guan)控(kong)，網(wang)(wang)(wang)址庫(ku)，協(xie)議(yi)庫(ku)過濾，才會(hui)讓局域網(wang)(wang)(wang)上(shang)(shang)(shang)(shang)網(wang)(wang)(wang)內網(wang)(wang)(wang)安全兼得(de)。

提到上網(wang)(wang)行為管理(li)，最(zui)初(chu)想到的(de)內(nei)(nei)(nei)容(rong)記錄、聊(liao)(liao)天內(nei)(nei)(nei)容(rong)、郵件內(nei)(nei)(nei)容(rong)、文件傳輸內(nei)(nei)(nei)容(rong)、網(wang)(wang)頁瀏覽(lan)記錄等等。但是再往深里研究(jiu)，對于有一定規模的(de)局(ju)域網(wang)(wang)，內(nei)(nei)(nei)容(rong)審(shen)計(ji)的(de)意(yi)義(yi)(yi)并不(bu)是很大(da)，聊(liao)(liao)天幾句話、瀏覽(lan)的(de)幾個網(wang)(wang)站都(dou)是瞬(shun)間的(de)意(yi)識。所(suo)以(yi)(yi)，企(qi)業(ye)的(de)對員工聊(liao)(liao)天內(nei)(nei)(nei)容(rong)的(de)審(shen)計(ji)實在沒有太大(da)的(de)意(yi)義(yi)(yi)。況且國內(nei)(nei)(nei)主(zhu)流(liu)的(de)QQ和微(wei)信的(de)通(tong)訊，騰訊公司早就進(jin)行了協議改(gai)進(jin)和安(an)全強化，加上微(wei)信QQ都(dou)可(ke)以(yi)(yi)綁定銀行卡。所(suo)以(yi)(yi)，網(wang)(wang)絡(luo)監控解析(xi)(xi)QQ和微(wei)信的(de)內(nei)(nei)(nei)容(rong)，理(li)論(lun)上已經(jing)不(bu)現實。對于企(qi)業(ye)網(wang)(wang)絡(luo)管理(li)來(lai)說，規整的(de)上網(wang)(wang)秩序、上網(wang)(wang)內(nei)(nei)(nei)容(rong)的(de)報表分析(xi)(xi)以(yi)(yi)及信息安(an)全才是王道。

WSG-200P上網行為管理路由是一款性價比非常高的上網行為管理設備。和WSG的企業版（E系列）相比，雖然沒有上網記錄、域賬號等功能，但是就上網行為管理和流控來說，與E系列基本是一樣的，可以提供專業的上網行為管理和流控。下面讓我(wo)們一起來看看WSG-200P這款企(qi)業(ye)級上網行為管理路由有(you)哪些亮點(dian)功能吧(ba)。

這里(li)說(shuo)的(de)網(wang)(wang)橋(qiao)部(bu)(bu)署(shu)(shu)，是透明網(wang)(wang)橋(qiao)部(bu)(bu)署(shu)(shu)。有的(de)局(ju)域網(wang)(wang)環境(jing)里(li)面，路(lu)由暫時不想被(bei)代替，那么WSG上網(wang)(wang)行為管理網(wang)(wang)關可以用(yong)網(wang)(wang)橋(qiao)部(bu)(bu)署(shu)(shu)的(de)方式(shi)接(jie)在局(ju)域網(wang)(wang)里(li)面。

• 網橋模(mo)式(shi)下(xia)，只用到LAN和WAN1這兩(liang)個(ge)端口(kou)。其他端口(kou)都不起(qi)作用。

• WSG接在路由器（防火墻）和交(jiao)換機之(zhi)間。

• 內網(wang)交換(huan)機(ji)接在LAN口。

• 上層設備(bei)（路(lu)由(you)器或者防火墻）接在WAN1口。

上(shang)網行(xing)(xing)為管(guan)理網關不管(guan)是在(zai)功能(neng)還(huan)(huan)是在(zai)性能(neng)上(shang)，都(dou)是完爆路由器的(de)(de)。隨(sui)著(zhu)生產(chan)力的(de)(de)提高，硬件(jian)(jian)設備的(de)(de)成本(ben)也(ye)(ye)逐步降(jiang)低(di)，普(pu)及也(ye)(ye)越(yue)來越(yue)廣(guang)（例如電器的(de)(de)價格(ge)越(yue)來越(yue)低(di)）。上(shang)網行(xing)(xing)為管(guan)理網關部署也(ye)(ye)將成為一個趨(qu)勢(shi)，因為網關除了(le)擁有(you)專(zhuan)業(ye)路由的(de)(de)功能(neng)以外，還(huan)(huan)有(you)專(zhuan)業(ye)的(de)(de)網絡管(guan)理功能(neng)，和專(zhuan)業(ye)防(fang)火墻功能(neng)，這個都(dou)是路由硬件(jian)(jian)芯片做不到的(de)(de)。

那么(me)上(shang)網行(xing)(xing)為管(guan)理(li)設備應該如何(he)部署呢(ni)？其實很簡單(dan)，就是和路(lu)(lu)由(you)(you)器(qi)一樣，直接(jie)把(ba)路(lu)(lu)由(you)(you)器(qi)的(de)相關配置移植到行(xing)(xing)為管(guan)理(li)設備上(shang)，把(ba)之前的(de)路(lu)(lu)由(you)(you)器(qi)替換掉即(ji)可。