问题：SecPath AFC2000‑M 内置 Bypass 配置案例

AFC2000‑M 自带内置硬件 Bypass 继电器组，截图 Web 页面显示 3 组 Bypass 对：GE1/2‑GE1/3、GE1/4‑GE1/5、GE1/6‑GE1/7，Bypass 只在【串联 inline 模式】生效；旁路 BGP 牵引模式 Bypass 不工作H3C。 硬件 Bypass 触发条件：整机断电、硬件死机、系统重启，继电器物理直连通路，流量绕过设备直接透传，保障业务不中断。

组网（串联透明网桥 + 内置 Bypass）

互联网‑核心交换机‑GE1/2(AFC入)｜GE1/3(AFC出)‑内网汇聚交换机

GE1/2‑GE1/3 为一组 Bypass 对；设备正常运行：流量经过 AFC 清洗；设备断电 / 死机：硬件继电器直接把 GE1/2 与 GE1/3 物理短接，流量绕过 AFC 直接通行。

⚠️注意：Bypass 组端口配对不能随意调换，必须严格使用页面显示的端口对，不能自己随便拿两个接口组成 Bypass。AFC2000‑M 固定三组硬件 Bypass 对：

1. Bypass 组 1：GE1/2 ↔ GE1/3
2. Bypass 组 2：GE1/4 ↔ GE1/5
3. Bypass 组 3：GE1/6 ↔ GE1/7

Web 配置步骤（对应截图界面）

1、切换整机工作模式为串联 Inline（Bypass 才可用）

菜单：系统管理 → 系统配置 → 运行模式

• 修改运行模式：串联(Inline)，提交保存，设备自动重启生效。

如果当前是旁路模式（BGP 牵引），内置 Bypass 继电器不会动作，串联模式才会启用硬件 Bypass 能力。 CLI 切换命令：

2、Web 内置 Bypass 配置页面（截图页面）

菜单：系统管理 → Bypass 配置 → 内置 Bypass 配置 页面看到三组 Bypass 组，状态红色代表 Bypass 继电器未导通（业务正常工作状态，流量过设备）；操作列播放按钮为手动强制 Bypass 导通测试按钮。

1. 不需要新建、创建 Bypass 组；硬件 Bypass 端口对是硬件固化，页面只读，不能修改端口成员。
2. 正常业务运行：Bypass 状态红灯（继电器断开，流量经过 AFC 做 DDoS 清洗）。
3. 点击操作列播放▶图标：手动强制 Bypass 导通，继电器物理短接该组端口，流量直接绕过设备，用于现场测试；测试完成后点击停止，恢复业务检测。

❗重要：手动强制 Bypass，DDoS 清洗功能失效，流量直接透传，业务窗口测试用，业务运行期间不要开启。

3、配置透明网桥接口（串联业务）

菜单：网络→接口，把 Bypass 组内两个接口加入网桥组，透明模式，不需要配置 IP 地址；管理口单独用 M‑GE0 管理。

• GE1/2、GE1/3 加入网桥 1，做串联清洗业务接口。
• 管理 M‑GE0 配置管理 IP，用于 Web/SSH 登录。

4、Bypass 时间参数（可选）

设备重启过程中，Bypass 会自动导通；系统启动完成后自动关闭 Bypass，业务回到清洗转发状态。

CLI 关键查询命令

业务验证测试（现场操作）

1. 业务正常：状态红灯，流量经过 AFC，DDoS 防护策略生效。
2. 测试硬件 Bypass：业务窗口，点击操作▶按钮强制 Bypass，该组端口流量直通，此时 AFC 不再处理流量；业务恢复点击停止。
3. 断电测试：设备直接下电，Bypass 继电器自动闭合，上下游网络保持连通；上电启动，启动过程 Bypass 保持导通，系统完全启动后自动退出 Bypass，流量进入清洗引擎。

高频踩坑点

1. ❌旁路 BGP 牵引模式下，Bypass 不生效！Bypass 只针对串联 Inline 透明部署；旁路牵引模式流量是路由转发，硬件继电器 Bypass 没有意义，不会动作H3C。
2. ❌端口不能乱配对，只能使用系统固化的三组 Bypass 端口对，不能自由选口组合。
3. ❌手动开启强制 Bypass 后 DDoS 清洗失效，业务流量直接透传，只能用于故障应急和测试。
4. ❌Bypass 为硬件继电器，只保护本 Bypass 组内一对端口；如果使用多组 Bypass，每组分别对应一条链路。
5. 升级版本不要带电插拔业务线缆，重启阶段 Bypass 会自动导通，尽量避开业务高峰。

两种部署模式区分

表格

如果需要，我可以把以上内容整理成知了社区可直接粘贴发布的问答文本。

补充：官方文档参考：AFC2000‑A/M/S FAQ 文档，搜索 “串联清洗设备 Bypass 生效条件”H3C。

补充：如果用户是旁路 BGP 牵引组网，不能使用内置 Bypass；故障逃生需要在上下游交换机做路由预案，而不是依赖 AFC 硬件 Bypass。

提供一些具体的配置案例

配置案例中提到的Web配置步骤的截图界面是怎样的？

除了串联透明网桥+内置Bypass，SecPath AFC2000-M还有哪些组网方式？