适用场景
IPS 的价值取决于准确率：规则太松等于没有，太紧业务先被打断。上线要经过观察期、调优期、阻断期三个阶段。
配置步骤（串接部署与旁路部署）
# 串接（推荐，可阻断）
# 1) 两对接口作为进/出（或透明桥）
# 2) 管理口接入运维网并配默认路由，保证特征库可更新
# 3) 开启硬件 Bypass，掉电直通
# 旁路（仅告警）
# 1) 交换机做端口镜像（SPAN）送 IPS 检测口
# 2) 管理口接入运维网关键参数与建议
- 优先串接部署（才能阻断），旁路部署只能检测告警
- 上线先观察模式跑 1~2 周，收集误报与业务特征后再开阻断
- 特征库定期更新并记录版本，大版本更新前先在测试环境验证
- 例外粒度尽量精确到 源+目的+端口+规则ID，不要按网段整体放行
- 串接设备必须有断电 Bypass，否则设备故障等于断网
容易踩的坑
- 串接未开 Bypass，设备重启或掉电直接断网
- 旁路部署却期望能阻断，被打穿后怪设备没用
- 管理口走业务口，特征库更新失败导致规则过期
验证与巡检
# 查看：接口进出流量、丢包、会话数、bypass 状态- 巡检：Bypass 就绪、管理可达、特征库版本在最近 7 天内
小结
IPS 是精度换阻断能力的设备。先把误报压到可接受水平，再逐条打开阻断，永远不要在业务高峰期第一次开阻断。
> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。