深信服全网行为管理系统部署排错实录

           近期成功恢复了深信服全网行为管理系统的管理员密码后，我着手将其部署到客户网络环境中，简单的把全网行为管理进行了网络配置，主要是定义它的接入模式为桥接模式，定义了WAN口，定义了LAN口，定义了管理口，并设置了管理口的IP地址及网关。基于2015年取得的H3C高级网络工程师，我对此次部署充满信心。

初始部署方案：

1. 将原有网络拓扑中的路由器WAN口与LAN口线拔掉

2. 将深信服设备以”桥接模式”部署：

   • 设备WAN口连接运营商光猫

   • 设备LAN口连接原路由器WAN口线路

测试现象：

• 办公电脑网络访问正常

• 但管理系统仅显示一个在线用户，且IP为移动公网地址

• 通过锐捷路由器后台仍可观察到所有内网终端IP

初步排查：

1. 怀疑接口接反，交换全网行为管理的WAN/LAN线路后：

   • 所有客户端均显示为公网IP

   • 内网IP完全不可见

   • 网络连通性仍保持正常

线路交换后，发现网络流量路径还是不对。

问题分析：
经过仔细思考，意识到部署模式存在根本性错误。全网行为管理系统应作在”透明模式”，部署位置应为：
[正确拓扑]

运营商光猫LAN口→ 路由器(WAN)→ 路由器(LAN) → 行为管理(WAN) → 行为管理(LAN) → 二层交换机

调整部署架构后，系统成功识别所有内网终端，流量监控恢复正常。

附图说明：