防火墙部署位置组网。

具体需求具体分析，可以把网关放到防火墙上，也可以把网关放到交换机上；

1、透明模式（二层透明模式）：多用于服务器区前置、不想改动原有服务器网段 / 网关，网关仍然放在核心交换机上  

2、路由模式（防火墙做网关）：多用于服务器单独划独立安全域，服务器网段网关直接配置在防火墙下行接口  

总结：

如果只是给现有服务器串一台防火墙做防护，不想动网络，选透明； 

如果要把服务器单独划一个安全域，需要 NAT、三层隔离，新建区域，就用路由模式，防火墙当网关。

两种部署模式的核心对比

虽然没有统一标准，但根据不同的网络现状和需求，企业通常会这样选择：

• 追求稳定与快速上线，选透明部署：这是很多企业的首选，尤其是在核心网络架构已经稳定、不希望因安全加固而大动干戈的情况下。有数据显示，超过76%的中型企业会首选透明桥接模式。它将防火墙无缝串联在核心交换机和服务器网关之间，像“一根带过滤功能的网线”，对现有网络几乎无感。

• 需要精细化管控与整合设备，选网关部署：如果企业希望对服务器区进行更严格的逻辑隔离，或者防火墙需要承担 NAT、VPN 等网关功能，网关模式是更合适的选择。它能让防火墙成为服务器区的网关，实现更丰富的策略控制。有时，企业也会用防火墙取代原有的出口路由器，以节省设备成本。

透明模式

场景：防火墙上连核心交换机，下接服务器接入交换机 / 服务器，保护服务器业务区，企业两种方案都大量使用，看需求选型。

方案 1：路由模式（网关部署在防火墙上，推荐新建服务器区优先选）

• 组网：防火墙下行接口配置服务器网段网关 IP；服务器网关指向防火墙下行接口；防火墙上行对接核心。
• 优点
  1. 完整使用防火墙全部能力：安全策略、NAT、IPS/AV、负载、会话、VPN 全部功能不受限；
  2. 服务器区和核心三层隔离，服务器网段路由全部由防火墙发布给核心，边界清晰；
  3. 后期做服务器发布（目的 NAT）、多业务网段扩展更方便。
• 缺点
  1. 服务器要修改网关 IP，存量旧服务器割接会有改动，存在业务割接风险；
  2. 防火墙成为服务器区三层网关，故障会影响整个服务器网段。

适合：新建设服务器区；允许修改服务器网关；需要 IPS、NAT、多网段隔离。

方案 2：透明（桥接）模式，网关仍然在核心交换机上（存量业务改造常用）

• 组网：防火墙做二层桥，服务器网段网关保留在核心交换机，防火墙只透传二层流量，不充当网关。
• 优点
  1. 服务器 IP、网关完全不用改动，上线割接影响最小；
  2. 不改变原有三层组网架构。
• 缺点
  1. 部分特性受限：部分 VPN、部分 NPTv6、一些高级三层特性在透明模式不可用；
  2. 所有服务器网段路由依旧在核心，边界逻辑不清晰；
  3. 多 VLAN 需要配置多实例桥组。

适合：存量在运服务器区，不想修改服务器网关 IP，只增加安全防护。

企业常规实践总结

1. 新建服务器机房 / 服务器区：优先路由模式，网关放在防火墙，安全边界清晰，功能完整。
2. 原有老业务服务器区割接上线防火墙：优先透明模式，减少服务器配置改动，降低割接风险。
3. 补充：还有旁挂模式，一般不用于服务器区主业务防护，多用于审计，不做阻断防护。

关键注意点

1. 路由模式：核心交换机需要学习服务器网段路由；防火墙配置去往其他网段的默认 / 明细路由指向核心。
2. 透明模式：注意桥组内允许 VLAN，BPDU 处理，不要把网关 ARP 报文拦截；
3. 无论哪种模式，都要放通安全策略；透明模式下域间仍然需要配置策略。

快速选型记忆

能改服务器网关 → 路由模式（网关在防火墙，首选新建） 不能动服务器网关 → 透明模式（桥接，存量割接首选）