上网行为管理产品在网络管理中已经是一个不可或缺的部分，并且已经得到了广泛的使用。
大家在选购上网行为管理产品的时候，一般都关注功能和价格。实际上，产品的部署方案才是首先要考虑的因素。
本文将讨论上网行为管理产品的几种典型部署方案，及各自的优缺点分析。
旁路部署方案
旁路部署的网络结构图如下（以WFilter为例）：
旁路部署方案的优点
旁路部署方案是对当前网络影响最小的监控模式。
充分利用已有硬件的功能，部署方便，不会影响现有的网络结构。
不会对网速造成任何影响。旁路模式分析的是镜像端口拷贝过来的数据，对原始数据包不会造成延时。
旁路监控设备一旦故障或者停止运行，不会影响现有网络。
旁路部署方案一样可以对上网行为进行控制。
旁路部署方案的缺点
需要交换机或者路由支持“端口镜像”功能才可以实现监控。
旁路模式采用发送RST包的方式来断开TCP连接，不能禁止UDP通讯。对于UDP应用，一般还需要在路由器上面禁止UDP端口进行配合。
旁路部署方案总结
如果现有的网络设备运行稳定，且对网络的稳定性要求高。在不考虑升级硬件的情况下，首先应当考虑旁路部署的软件方案，这样可以以最小的代价来部署上网行为管理，而且不会影响现有网络的稳定性。
串联部署方案
串联部署方案有两种：网关模式，网桥模式。如下图：
网关模式：用上网行为管理产品替换现有的网关（路由器、防火墙）。
网桥模式：用上网行为管理产品串联在网关和核心交换机之间。
串联部署方案的优点
解决了旁路部署方案的缺点，可以进行流控，可以禁止UDP通讯。
硬件维护比较单一，避免了软件的兼容性问题。
串联部署方案的缺点
需要购买新的硬件产品，并替换掉现有的网关。造成硬件资源的浪费。
网络中增加了新的硬件，稳定性需要时间的磨合。
增加了单点故障的可能性。串联设备一旦死机或者掉电，会导致网络中断。
串联部署方案总结
公司决定升级现有设备时，可以考虑购买一台行为管理硬件产品，并且进行串联部署。但是串联部署的设备一定要进行一段时间的稳定性测试，确保不影响网络稳定性。
总体来说，根据公司的预算，现有网络状况来判断是进行旁路部署还是串联部署。旁路部署优选软件方案（推荐WFilter上网行为管理软件），串联部署优选硬件方案。
