IPS 串联部署是什么
串联部署是把 IPS 设备直接接入流量路径，使经过它的流量都能被检测与阻断。位置选择决定检测覆盖范围：放在互联网出口内侧可以覆盖全部出访流量，放在区域之间只能覆盖该区域对的流量。串联意味着设备自身的可用性与性能变成业务的一部分，因此上线前必须准备好绕过方式和回退方案。
基本信息
| 位置选择 | 出口内侧覆盖全内网出访；区域之间覆盖重点业务区 |
|---|---|
| 性能要求 | 按链路峰值流量留出余量，通常不低于三成 |
| 可用性 | 需要双机热备或硬件绕过（bypass）保障链路不中断 |
| 上线方式 | 先以观察模式运行，确认误报可控后再开启阻断 |
| 回退方案 | 预留旁路通道并演练切换，维护前先切旁路 |
典型使用场景
- 互联网出口防护：覆盖全部出访流量，阻断漏洞利用与恶意软件通信
- 服务器区防护：部署在核心区与服务器区之间，重点保护业务系统
- 数据中心东西向防护：在虚拟化平台或核心交换之间覆盖横向流量
- 合规要求：需要具备入侵防御能力并留存检测日志
- 过渡阶段：新设备先串接观察，积累误报数据后再启用拦截
上线检查
上线检查
1. 链路拓扑与串接点已确认并记录到文档
2. 维护绕过方式（bypass 或直通）已实际演练
3. 监控已接入：流量、时延、丢包、设备负载
4. 先以观察模式运行一个业务周期，确认无误报再开拦截
5. 准备回退步骤：拔除串接、恢复原链路的时间目标部署位置对比
| 位置 | 覆盖范围 | 主要代价 |
|---|---|---|
| 出口内侧 | 全部进出互联网流量 | 单点风险高，需双机或旁路 |
| 区域之间 | 该区域对的流量 | 覆盖有限，可能漏掉其他方向 |
| 核心旁路镜像 | 可见范围广但只能告警 | 无阻断能力，需人工研判 |
| 虚拟化平台内 | 东西向流量 | 性能与虚拟化兼容性需验证 |
串联设备上线属于高风险变更：安排在窗口期执行，提前把回退步骤与责任人写清，上线期间安排人在现场或能快速到达现场。