旁路模式：实现防护功能的同时，可以完全不需改变用户的网络环境，并且可以避免设 备对用户网络造成中断的风险。用于把设备接在交换机的镜像口或者接在 HUB 上，保证外网用户访问服务器的数据经过此交换机或者 HUB，并且设置镜像口的时候需要同时镜像上下行的数据，从而实现对服务器的保护。

需求背景

配置案例：用户的网络拓扑如下所示，NGAF 设备旁路部署，内网接三层交换机，用户网段为 192.168.2.0/24，服务器网段为 172.16.1.0/24，客户希望 NGAF 能够对服务器进行 IPS 防护、WEB 应用防护以及防止敏感信息的泄露。

配置步骤

第一步：通过管理口(ETH0)的默认IP 登录设备。管理口的默认 IP 是 10.251.251.251/24， 在计算机上配置一个同网段的 IP 地址，通过 https://10.251.251.251 登录设备。

第二步：配置管理口，旁路部署时，设备通过管理口来阻断连接。通过『网络配置』→『接口/区域』→『物理接口』，点击 eth0，配置页面如图：

第三步：配置旁路镜像口，通过『网络配置』→『接口/区域』→『物理接口』，点击eth1，配置页面如图：

接口[类型]选择旁路镜像。

[区域]选择接口 eth1 所属的区域。区域需要提前设置，本例选择旁路区域，对于区域的设置请参考章节 3.2.1.4 区域设置。

[启用旁路流量统计]用于开启旁路镜像口的流量统计，在[内网 IP 组]中选择需要统计流量的内网 IP。

[高级配置]用来设置网口的工作模式，MTU，MAC 地址，如果需要修改，点击设置，接口如下：

第四步：配置路由，需要配置一条到 0.0.0.0/0.0.0.0 的默认路由指向前置网关 192.168.1.1。进入『网络配置』→『路由』→『静态路由』，配置页面如下：

第五步：配置防护规则。以配置 IPS 规则为例，讲解旁路模式下，如何设置 IPS 规则。通过『IPS』→『IPS』，新增 IPS 规则，配置页面如图：

旁路模式下，源区域和目的区域都要选择旁路接口所在的区域，目的 IP 组选择服务器网段所在的 IP 组即可。

第六步：基本配置完毕后，将设备接入网络中，eth1 口连接三层交换机的镜像口，eth0 口接内网三层交换机的 VLAN99 范围内的接口即可。