先分清两种部署形态串联在线inline和旁路旁挂。交通枢纽场景串联部署 所有进出枢纽的车流必须穿过这个检查站检查站坏了整条路直接断车辆全部卡住。旁路部署 主通行主干道保持原样单独修一条侧支路把一部分车流复制一份引到旁边的检查站。主干道的车辆不需要经过这个侧站检查站就算停机、故障主道路照常通车。什么是旁路部署旁路旁挂设备不串在业务流量的必经路径上通过端口镜像镜像流量副本、分流器把网络里数据包复制一份发给旁路设备做分析。原始真实流量依旧走原来的交换机、LB、路由器不会经过旁路设备。旁路设备只看拷贝过来的数据包不拦截、不修改、不转发真实业务包。防火墙旁路部署串联防火墙所有流量必须经过防火墙防火墙做包过滤、阻断。一旦防火墙死机全网断网。旁路防火墙交换机镜像一份流量副本送到旁路防火墙。防火墙只能做检测、告警不能直接切断原始数据包。优点不影响主链路可用性防火墙宕机PHP网站业务不受影响适合安全审计、入侵检测IDS只发现攻击不阻断。局限旁路只能“看”没法直接拦截攻击包。如果要主动阻断旁路防火墙需要联动交换机下发阻断规则。比喻主干道正常通车在路边安排观察员。观察员看到可疑车辆只能上报指挥部让主干道交警拦车观察员本身不能拦停路上的车。负载均衡为什么也会采用旁路注意真正接管流量分发的七层/四层LB大多是串联部署旁路LB不是用来转发业务流量多用于两类场景流量观测、压测、日志审计镜像流量副本送到旁路负载均衡分析器统计后端PHP服务器的QPS、响应耗时、错误率做流量可视化不接管真实请求分发。备用、灾备旁路主负载均衡是串联跑业务另一台LB旁路待命。主LB故障时通过切换网络配置把流量切到备用LB。平时旁路待机不承载流量。很多人容易踩坑旁路LB不能直接分发用户请求。它没有处在流量必经之路用户请求不会自动跑到旁路LB。串联 vs 旁路核心对比串联部署流量必经能直接转发、拦截、改写数据包风险单点故障业务直接中断适用生产主负载均衡、在线防火墙IPS旁路部署只接收流量副本不介入原始数据转发故障不影响主业务链路高可用更强适用IDS旁路防火墙、流量审计、监控、离线分析结合PHP机房场景总结如果我们要拦截攻击、直接转发用户请求到PHP服务器必须串联。如果只需要监控、记录、检测攻击行为不想因为安全设备宕机导致网站打不开旁路部署。一句话记串联拦在路上流量必须过它能控流量但坏了就断路旁路路边观察员只看拷贝的流量不能直接拦车坏了主干道不受影响。