波仔
📡 第五章 防火墙功能与防范威胁的对策
📄 一句话概括

接口模式回答的是「防火墙以什么身份插进网络」：三层设备、二层设备，还是混合。 选错的代价不是性能，是「割接当晚改不完」。

📝 本节和前面几节的关系

上一节讲技术，这一节讲「怎么插进去」——一个非常工程化的问题。 三种模式的分界线是「这个口带不带 IP 地址」。

一、路由模式：每个口一个网段

每个接口配 IP、划一个网段，防火墙像路由器一样工作。 它的好处是「所有三层功能都能用」：NAT、VPN、动态路由、策略路由，一样不缺。

代价是「要改现网」：上下游的网关要指向它，路由表要加它，地址规划要给它留段。 一个 500 台主机的园区网，就要改 500 条网关配置。

而且它是「三层的一跳」：Traceroute 会多显示一跳，出问题时它是第一个被怀疑的对象。

二、透明模式：桥接，不碰 IP

两个口桥接在一起，不配 IP，包原样过去。 从外面看，它像一根会过滤的网线。

它最大的好处是「插上就行」：不用改网关、不用改路由、不用改地址规划。 所以割接、临时加固、给老网络补安全，都用它。

代价有三条： 一、只能做二层以内的判断，跨网段的策略它管不了。 二、环路与生成树的问题它会继承，二层的老毛病一个不少。 三、「看不见的那一跳」最容易背锅，因为 traceroute 根本不显示它。

还有一个隐含限制：透明模式下 NAT 与 VPN 通常做不了， 因为它没有「自己的 IP」可以当终点。

三、混合模式与怎么选

混合模式就是「一部分口路由、一部分口桥接」，典型场景是「透明串在内网、路由接在出口」。

场景 选什么 理由

新网建设 路由模式 地址规划一次做对 老网加固 透明模式 零改动上线 要 NAT/VPN 路由模式 需要三层终点 只做内网隔离 透明模式 不需要改地址

一条实践经验： 新建网络直接用路由模式，别为了「省事」选透明——因为透明模式省的是「割接这一次的事」，而路由模式省的是「以后每一次加功能的事」。

而老网改造反过来：先透明上线把安全补上，等下一次网络改造再顺路改成路由。 这两句话合起来就是「短期看割接，长期看架构」。

四、动手 Demo：三种接口模式，改不改 IP

这段把三种模式摆出来，再按 500 台主机的园区网算「路由模式要改多少条配置、透明模式要改多少条」。

n = 500
P(u"  路由模式：%d 台主机的默认网关要改，%d 条 DHCP 作用域要改。" % (n, n))
P(u"  透明模式：0 台。防火墙两口同网段，位置在逻辑上「不存在」。")

实跑输出：

--------------------------------------------------------------------
三种接口模式，改不改 IP
--------------------------------------------------------------------
**防火墙插进现网，第一个问题是「要不要动地址」。**

  模式         三层行为             要改什么
  ----------------------------------------------------
  路由模式     每个口一个网段       改网关、改路由
  透明模式     桥接，口不带 IP      什么都不用改
  混合模式     部分路由部分桥接     改一部分

**算「透明模式省掉多少改动」**（按 500 台主机的园区网）：

  路由模式：500 台主机的默认网关要改，500 条 DHCP 作用域要改。
  透明模式：0 台。防火墙两口同网段，位置在逻辑上「不存在」。

**但透明模式有代价**：**它只能做二层以内的判断，管不了跨网段的路由策略**，
**而且排障时「看不见的那一跳」最容易背锅。**
**所以割接用透明、长期用路由，是常见组合。**

「500 与 0」这组数字是这一节最有用的一句话：它把「选哪个模式」从技术问题变成了工作量问题。 而工作量问题在割接窗口只有一个晚上的时候，往往就是决定因素。

透明模式的三个代价里，「traceroute 看不见」最阴：因为排障时的默认思路是「沿着路径查」， 而它不在路径上显示，就永远排查不到。 所以透明模式上线时，一定要在拓扑图上标出来。

最后那句「短期看割接，长期看架构」可以当结论记： 两种模式都能用，选错的代价不在当下，在三年后的每一次加功能。

30 秒实验

  1. 看你所在网络的防火墙是哪种模式（看接口有没有 IP）。
  2. 如果是透明模式，试着 traceroute 一下出口，看它出不出现。
  3. 想一想：为什么透明模式下做不了 NAT？

常见误区

  1. 以为透明模式「功能少所以性能差」。它反而更快，因为不查路由。
  2. 以为透明模式等于「不用配置」。策略、区域、日志一样要配。
  3. 以为可以随时从透明改路由。改模式等于改地址规划，是一次割接。
自测三问（点开对答案） 1. 三种接口模式的分界线是什么？ —— 接口带不带 IP 地址：路由模式带、透明模式不带、混合模式部分带。 2. 透明模式最大的好处与最大的代价分别是什么？ —— 好处是零改动上线；代价是做不了 NAT/VPN 这类需要三层终点的功能。 3. 为什么新建网络建议直接用路由模式？ —— 透明模式省的是割接一次的事，路由模式省的是以后每次加功能的事。

下一节：这台设备到底能挡住哪些威胁，挡不住哪些。

相关笔记