什么是“旁路部署”？防火墙和负载均衡为什么常采用旁路？

先分清两种部署形态：串联（在线，inline）和旁路（旁挂）。
交通枢纽场景：
串联部署 = 所有进出枢纽的车流必须穿过这个检查站，检查站坏了，整条路直接断，车辆全部卡住。
旁路部署 = 主通行主干道保持原样，单独修一条侧支路，把一部分车流复制一份引到旁边的检查站。主干道的车辆不需要经过这个侧站，检查站就算停机、故障，主道路照常通车。

什么是旁路部署

旁路（旁挂）：设备不串在业务流量的必经路径上，通过端口镜像（镜像流量副本）、分流器，把网络里数据包复制一份发给旁路设备做分析。
原始真实流量，依旧走原来的交换机、LB、路由器，不会经过旁路设备。
旁路设备只看拷贝过来的数据包，不拦截、不修改、不转发真实业务包。

防火墙旁路部署

串联防火墙：所有流量必须经过防火墙，防火墙做包过滤、阻断。一旦防火墙死机，全网断网。
旁路防火墙：
交换机镜像一份流量副本送到旁路防火墙。防火墙只能做检测、告警，不能直接切断原始数据包。

• 优点：不影响主链路可用性，防火墙宕机，PHP网站业务不受影响；适合安全审计、入侵检测IDS（只发现攻击，不阻断）。
• 局限：旁路只能“看”，没法直接拦截攻击包。如果要主动阻断，旁路防火墙需要联动交换机下发阻断规则。

比喻：主干道正常通车，在路边安排观察员。观察员看到可疑车辆，只能上报指挥部，让主干道交警拦车；观察员本身不能拦停路上的车。

负载均衡为什么也会采用旁路？

注意：真正接管流量分发的七层/四层LB，大多是串联部署；旁路LB不是用来转发业务流量，多用于两类场景：

1. 流量观测、压测、日志审计
   镜像流量副本送到旁路负载均衡分析器，统计后端PHP服务器的QPS、响应耗时、错误率，做流量可视化，不接管真实请求分发。
2. 备用、灾备旁路
   主负载均衡是串联跑业务；另一台LB旁路待命。主LB故障时，通过切换网络配置，把流量切到备用LB。平时旁路待机，不承载流量。

很多人容易踩坑：旁路LB不能直接分发用户请求。它没有处在流量必经之路，用户请求不会自动跑到旁路LB。

串联 vs 旁路核心对比

串联部署

• 流量必经，能直接转发、拦截、改写数据包
• 风险：单点故障，业务直接中断
• 适用：生产主负载均衡、在线防火墙IPS

旁路部署

• 只接收流量副本，不介入原始数据转发
• 故障不影响主业务链路，高可用更强
• 适用：IDS旁路防火墙、流量审计、监控、离线分析

结合PHP机房场景总结

1. 如果我们要拦截攻击、直接转发用户请求到PHP服务器：必须串联。
2. 如果只需要监控、记录、检测攻击行为，不想因为安全设备宕机导致网站打不开：旁路部署。

一句话记：
串联=拦在路上，流量必须过它，能控流量，但坏了就断路；
旁路=路边观察员，只看拷贝的流量，不能直接拦车，坏了主干道不受影响。