防火墙透明部部署

防火墙做出口，跟路由器有个互联地址，路由器做NAT server 、VPN等内容，这类有没有什么成功案例吗？

//这么理解，防火墙做透明就相当于一个交换机了，要是有互联的地址，我猜想应该是VLAN-if类型的接口，那就看你的路由器的下一跳怎么设置的了，但是不管怎么设置，NAT的转换和VPN的加解封装都不在防火墙上，墙就做一个转发，无非是二层转发和三层转发。

然后透明模式的话，安全策略这方面会有什么问题吗？能不能对指定IP做限制？如果后续要用到vpn之类的功能，是必须要做路由模式吗？

//二层的话，受限要在设备上创建所有要通过的VLAN，然后在将跑业务的口加入到安全域，也要加vlan，然后安全策略放通相应的安全域和接口之类的，看个人收紧的情况。接上面得说，墙做的是转发，是可以通过安全策略控制IP的呀，VPN的加解封装肯定是要用三层的，因为VPN的设计就是属于本地报文，处理以后然后网内网转发。