很多企业准备上线上网行为管理时，最先卡住的往往不是功能，而是部署方式：改网络怕影响业务，不改又担心管不住。WFilter NGF 支持网关、网桥、旁路三种部署模式，不同模式适合的场景并不一样。先选对部署方式，网络安全和上网行为管理才能少走弯路。
1. 网关部署：让上网行为管理成为网络出口
网关模式下，WFilter 系统作为整个子网的网关提供路由功能。常见做法是用它替换现有路由器，或者在现有路由器后面再建一个子网。外网配置支持 PPPoE、动态 IP（DHCP）和固定 IP，也可以做 MAC 地址克隆、在 WAN 口启用 802.1q VLAN。对于需要划分 VLAN、端口映射等能力的企业，网关模式能用到的功能更完整。
内网配置上，每个内网接口可以单独配置网段，也可以多个接口共享同一网段；每个内网接口都能单独启用 DHCP。若在 IP-MAC 绑定中绑定了地址，客户机通过 DHCP 会获取到绑定的 IP。遇到需要改默认网关或 DNS 的情况，还可以用 DHCP 扩展选项，按“DHCP代码,内容”逐行配置，例如 3,192.168.1.1 指定默认网关，6,114.114.114.114 指定 DNS。
2. 网桥部署：不改现有网络，也能做上网行为管理
如果业务系统对网络改动非常敏感，网桥模式更友好。它最大的优点是透明部署，不需要修改现有网络配置，也能实现上网行为管理、流控等绝大部分功能。不过原文也明确提醒：网桥模式下端口映射、划分网段等功能不可用。所以，是否选择网桥，要看企业当前更需要“快速透明接入”，还是需要完整的网关能力。
网桥配置时，每个网桥由“内网口”和“外网口”组成，可以创建多个网桥；第一组网桥还可以设置单独的管理口。管理口用于打开 Web 界面、Web 认证等，需要配置 IP 地址、子网掩码和网关，WFilter 通过该网关上网获取更新。内网 IP 段用于指定要管理的内网客户机范围，格式如 192.168.1.0/24，每行一个，支持多个；要排除的网段前加“-”号，如 -192.168.1.20/32。“未分类”中的网卡可以创建新网桥，新网桥只需选择内外网网卡即可。
3. 旁路部署：通过端口镜像获取上网数据
旁路模式通过交换机的端口镜像功能实现管控：监听网卡接在镜像端口上接收网络数据包，管理口用于设备自身联网，同时发送拦截包阻断客户机的 TCP 连接。由于设备并不串联在网络中，旁路模式不具备流控、SSL 监控等功能。它更适合先观察网络流量、再逐步推进上网行为管理的场景。
三种方式没有绝对优劣：想获得完整网关能力，选网关；不想改网络结构，选网桥；不想串联进链路，则考虑旁路。先明确企业网络安全和上网行为管理的目标，再选部署方式，后续配置会轻松很多。
