AF 上的 IPS 配置模型
深信服 AF 把 IPS 作为安全防护模块之一，在控制台选择防护模板、指定保护对象与动作，再由策略决定流量是否进入检测。它的配置逻辑是「模板决定查什么，保护对象决定对谁生效，动作决定告警还是阻断，策略决定流量走不走检测」，四个环节缺一个都可能让防护空转。菜单名称与模板项随软件版本调整，操作以当前版本的产品手册为准。
基本信息
| 配置入口 | 控制台安全防护类模块下的 IPS 相关页面（名称随版本变化） |
|---|---|
| 核心要素 | 防护模板、保护对象（服务器/网段）、动作、日志与告警 |
| 生效前提 | 流量经过设备且被策略放行进入检测模块 |
| 版本差异 | 模板项与菜单名称随软件版本调整，以当前版本文档为准 |
典型使用场景
- 新设备上线，按业务类别套用防护模板
- 重点服务器区提高检测强度（更严的模板 + 阻断动作）
- 出现误报时按保护对象做例外收敛
- 与访问控制策略配合，确定哪些流量进入检测
- 变更前导出配置，便于快速回退
配置顺序示例
配置顺序示例
# 1. 选择或新建 IPS 防护模板，先以告警模式上线
# 2. 设定动作：观察期用告警，稳定后对关键业务开阻断
# 3. 关联保护对象：按服务器/网段精确指定，避免写全内网
# 4. 在访问控制策略中让目标流量进入检测
# 5. 验证日志：命中记录能在日志中心检索到
# 6. 观察一到两周误报情况，再决定是否扩大范围配置要素与常见问题
| 要素 | 作用 | 常见问题 |
|---|---|---|
| 防护模板 | 决定启用哪些规则类别与灵敏度 | 以为勾了模板就已开启，实际未关联对象 |
| 保护对象 | 决定检测作用于哪些 IP 或网段 | 写成全部内网，性能与误报双升 |
| 动作 | 告警或阻断 | 关键业务直接阻断，一次误报即业务中断 |
| 策略关联 | 决定流量是否进入检测 | 策略未覆盖该流量，检测形同虚设 |
| 日志 | 命中记录用于研判与调优 | 未开日志则无法回溯与优化 |
模板化配置便于跨业务复用，但强模板用在关键业务前先跑一段观察期，用实际误报数据决定是否开启阻断。
变更前先导出当前配置并记录版本号，回退时才有确定的目标状态，而不是凭记忆重建。