1.旁挂VPN的典型场景

在VPN（虚拟专用网络）部署中，"旁挂"（Bypass或Off-path Deployment）通常指将VPN设备或服务部署在网络流量的非主路径上，而非直接串接在流量必经之路（如网关或防火墙），这种设计常用于高可用性、灵活性或特定流量管理需求,以下是关键点解析：

• 高可用性：VPN设备故障时，流量仍可通过主路径转发,避免单点故障。
• 选择性加密：仅对特定流量（如敏感业务）进行VPN加密,其他流量直接转发。
• 透明部署：无需改动现有网络拓扑,通过策略路由或VLAN将流量引导至VPN设备。

---

实现方式

策略路由（PBR）

• 在核心交换机或路由器上配置策略路由,将目标为VPN的流量重定向到旁挂VPN设备。
• 示例命令（Cisco）：

  access-list 100 permit ip host 192.168.1.100 any
  route-map VPN-PBR permit 10
    match ip address 100
    set ip next-hop 10.0.0.2 (VPN设备IP)
  interface GigabitEthernet0/1
    ip policy route-map VPN-PBR

VLAN/VRF隔离

• 通过VLAN或VRF将需要VPN加密的流量隔离,并引导至旁挂VPN设备。

透明代理（如SD-WAN）

• 使用SD-WAN控制器或负载均衡器动态分流流量，部分经VPN,其余直连。

---

优缺点

• 优点：
  • 灵活性：按需选择流量加密,不影响整体网络性能。
  • 可扩展性：易于添加多个VPN设备或服务。
  • 故障隔离：VPN设备故障不影响主网络连通性。
• 缺点：
  • 配置复杂：需精细控制路由或策略。
  • 延迟可能增加：流量需额外跳转到旁挂设备。

---

典型拓扑

[内网主机] → [核心交换机] → [防火墙/网关] → 互联网
                    ↓
              [旁挂VPN设备]

• 核心交换机通过策略路由将部分流量导向VPN设备,加密后再返回交换机转发至出口。

---

注意事项

• 会话一致性：确保往返流量均经过VPN设备（如启用ip redirect或ip unreachables）。
• 安全策略：防火墙需放行VPN设备与内网/外网的通信。
• 监控：旁挂模式下需额外监控VPN设备的吞吐量和会话状态。