CATALOG ENTRY
企业级路由器与防火墙协同部署：构建中小企业安全网络架构指南
中小企业的网络出口通常只有一台设备在"扛事"——宽带接入、拨号、路由、NAT全压在一台设备上。但当员工规模超过30人、出现多部门VLAN划分需求、或者需要对外发布服务时，单台设备很快就会暴露出性能瓶颈和管理盲区。把企业级路由器与防火墙分离开来、各司其职，是当前性价比较高的架构升级路径。
为什么要拆开？一体机的三个隐性代价
很多企业初期用一台"路由+防火墙"一体机应付，短期没问题，长期会撞上三堵墙：
- 吞吐量衰减：开启IPS/AV等安全功能后，一体机的转发性能往往下降60%-80%，百兆出口可能只剩20-30Mbps可用；
- 策略耦合：路由策略和安全策略混在同一配置里，改一条ACL可能影响路由收敛，排查故障时很难定位；
- 扩展受限：想加行为管理器做应用识别、加VPN设备做分支互联时，接口和会话数都不够用。
分离部署后，路由器专注做转发、NAT、策略路由和VPN隧道终结，防火墙专注做状态检测、入侵防御和应用层过滤，各自跑在自己擅长的层上。
协同部署的关键配置节点
路由与安全策略的分界
典型拓扑是：光猫→企业级路由器→防火墙→核心交换机。路由器上只保留默认路由和必要的策略路由（比如双WAN负载均衡），防火墙做透明模式或路由模式接入。透明模式下防火墙不参与路由计算，部署时不需要改动现有IP规划，适合已有网络的企业平滑升级。
流量控制与行为管理的落点
流量控制设备和行为管理器建议旁挂在核心交换机上，通过镜像口获取流量。串接在出口链路中虽然控制更直接，但会引入单点故障。旁挂方案配合路由器的QoS策略，可以实现"识别在旁路、限速在出口"的分工。需要注意的是，旁挂设备的镜像口带宽要匹配出口带宽的1.5倍以上，否则高峰期会丢包。
VPN设备的对接方式
如果分支机构较多，建议在路由器上启用IPsec VPN做站点互联，防火墙侧只放行IKE和ESP协议。SSL VPN则更适合移动办公场景，可以部署在防火墙的VPN模块上，与AD域集成做身份认证。两种隧道并存时，注意路由器上VPN隧道的MTU要设为1400以下，避免分片导致性能下降。
部署时容易忽略的三个细节
- 会话表同步：防火墙和路由器之间的会话老化时间要匹配，路由器NAT会话默认300秒，防火墙TCP会话默认3600秒，不一致会导致长连接间歇性中断；
- Bypass方案：防火墙串接时务必配置硬件Bypass或双机热备，单台防火墙断电会让整个网络断掉；
- 日志归集：路由器、防火墙、行为管理器的日志建议统一发送到Syslog服务器，排查安全事件时能还原完整链路。
常见问题
Q：预算有限，能不能先上防火墙，路由器用现有的？
可以，但要确认现有路由器的LAN口吞吐和并发会话数是否够用。如果路由器NAT会话数低于5万，加防火墙后并发连接会更快耗尽，反而更卡。
Q：行为管理器和防火墙的应用识别功能重叠吗？
有重叠但不完全替代。防火墙侧重安全维度的应用识别（如阻断P2P），行为管理器侧重管理维度的审计和带宽分配。两者配合使用效果更好。
北京亿博莱科技有限公司在企业网络设备选型与架构设计方面积累了多年实践经验，可根据企业实际规模和业务类型提供路由、安全、流量管理的整体方案建议。