IPS 串联位置是什么概念
IPS 需要流量穿过它才能检测，因此必须串在链路中；串在 NAT 内侧还是外侧，决定了它看到的地址形态和检测覆盖面。串在内侧看到私网地址，能覆盖内网互访流量；串在外侧看到公网地址，专注出口流量。位置定下来之后，告警里的地址口径、溯源路径、性能叠加方式都会随之确定，部署前必须先明确。
基本信息
| 工作方式 | 串联在线检测，通常支持旁路或直通以应对设备故障 |
|---|---|
| 地址口径 | 内侧看私网地址，外侧看公网地址 |
| 与 NAT 关系 | 设备前后顺序决定检测到的是转换前还是转换后流量 |
| 容量影响 | 与防火墙串行时吞吐按链路峰值叠加评估 |
| 可用性 | 直通机制、掉电旁路、双机部署属于必备设计 |
典型使用场景
- 出口新增 IPS：判断该串在防火墙内网侧还是外网侧，避免与已有检测设备重复
- 内网互访检测：数据中心东西向流量需要检测时，IPS 必须部署在内侧
- 改造既有组网：从旁路镜像改成串联时，先评估链路中断风险与直通方案
- 告警溯源：确认告警地址是私网还是公网，决定后续查 NAT 日志还是直接定位终端
- 性能容量规划：串联设备叠加后，按全功能开启的规格重新核算带宽余量
- 双机改造：确认 IPS 是否随防火墙一起做双机，避免单点故障
部署核对
部署核对
# 1. 画清流量路径：接入 → 防火墙 → IPS → 出口，标注顺序
# 2. 明确 IPS 检测的是转换前流量还是转换后流量
# 3. 核对告警中的地址口径与资产台账、NAT 日志保持一致
# 4. 确认直通、旁路与掉电策略，写清故障时的流量走向
# 5. 按链路峰值与全功能开启规格评估吞吐余量
# 6. 上线后抽查一次真实攻击告警，验证地址与路径符合预期位置对比
| 部署位置 | 看到的地址 | 覆盖面 | 注意事项 |
|---|---|---|---|
| NAT 内侧 | 私网地址 | 内网互访与出网流量 | 可直接定位终端，但看不到转换后公网形态 |
| NAT 外侧 | 公网地址 | 出口进出流量 | 溯源需经 NAT 日志映射回内网主机 |
| 旁路镜像 | 取决于镜像点 | 仅告警不阻断 | 无中断风险，但无法阻断攻击 |
地址口径不一致会大幅增加溯源难度：告警里是公网地址、资产台账里是私网地址时，每次定位都要人工做一次 NAT 映射，部署前统一口径能省下大量时间。
串联设备故障等于链路中断，必须落实直通机制并做一次拔电或旁路演练，仅停留在文档上的直通方案在故障时不起作用。