编者按：

在选择内网安全产品时，有客户纠结于是选择客户端型产品还是网关型产品，也有厂商利用各自的优点攻击对方的缺点，那么，对于用户而言，什么样的产品是适合自身的呢？本文从两种大类产品的各自优缺点方面进行剖析，希望用户阅读之后能够根据自己的实际需求做出选择。

本文的作者，是溢信科技资深产品工程师。

一、概述

网关型产品的定位是在于网络管控和上网行为管理，分为硬件产品和软件产品。硬件产品的主要代表是深信服的AC、网康等，软件的包括anyview、网络岗等。使用的技术分为旁路方式和网桥方式。

客户端型的产品定位会更全面，除了可以管理上网行为，还包括计算机的所有应用。可以用于安全管理和行为管理。

总结：客户端型的产品定位更为全面，能管理的范围更广泛。

二、部署位置

1.网关型产品

网关型产品一般部署在网络的出口处。其中硬件一般是网桥方式，串接在网络出口的交换机和公网之间。如果是低端的网关型产品可能会没有bypass功能，一旦硬件出现故障，可能导致所有机器都不能上网。

而软件一般是旁路方式，会安装在一个单独PC上，PC与出口交换机通过一个Hub连接在一起。这种方式无法封堵UDP包，而且Hub可能会降低网络的质量。

2.客户端型产品

客户端型产品一般部署在每一个计算机上。能提供多种安装方式，包括域推送安装等。

总结：相对来说，网关型产品的安装部署会计较简单，只需要在一处地方安装即可；而客户端的安装需要安装在每个计算机上，安装的工作量相对较大。

三、功能对比

1.网关型产品

i.优势

1).与客户端无关，不用担心因为客户端被卸载而导致管控失效。

2).不需要安装客户端，对客户端用户使用计算机性能不造成影响，不会出现兼容性问题。

3).可以拥有庞大的网址库。网关型产品可以拥有一个庞大的网址库，在网关上对网址进行匹配，而客户端产品如果要做得同样效果需要在每个客户端上都有网址库，数据量相对较大，所以一般客户端产品不提供网址库。

4).流量可以按部门总量协调控制。在网关上可以在根据总量协调控制，如A、B两个PC可设置总流速不超过100K，那么当A不使用网络的时候，B可以达到100K。而客户端类型的产品只能按每个PC的流速或总量控制，如设置每个PC的流速都是50K。

5).硬件产品。硬件产品比较容易受政府行业青睐。

ii.劣势

1).非指定网关的上网行为无法审计。网关型产品只能管理通过该网关的信息，如果计算机是通过3G上网卡等设备上网，网关型产品不能做到任何的管控。但客户端类型的产品则都能做管控。

2).网页统计价值不高。网关型产品只能统计打开网页的次数，不能统计在某个网页上停留的时间，按次数的统计价值不高。客户端型产品可以根据浏览器窗口获取网页停留时间做统计，能做出更有价值的统计。

3).网页审计困难。网关型产品是根据协议做记录，当一次网页浏览时可能有多次请求，那么会记录下很多用户不关心的信息，结果会导致有用的信息被淹没，很难审计有用信息。客户端型产品可以根据浏览器的地址栏获取网页地址，审计信息更明确。

4).不能记录聊天内容。网关型产品一般不能记录像QQ和skype等传输加密的聊天工具的聊天内容。像深信服等要记录聊天内容也必须在客户端上安装插件。

2.客户端型产品

i.优势

1).行为管理范围更广。从需要上网行为管理的客户他们的需求来说，客户关心的应该不是上网行为管理，客户关心的是员工的工作效率。在计算机上安装了客户端软件，可以实现强大的功能，除了上网行为管理，还包括员工的桌面行为，比如桌面的游戏、视听、外设的使用、计算机应用分析等等。而这些是网关型的产品无法满足的。

2).具有安全管理的功能。客户端产品能管理计算机的各种接口，其中包括USB设备在内的各种外设。还能对计算机的文档进行管理，甚至还能做加解密。能对计算机对文档的使用和传播做很好的审计和控制。

3).具有资产管理的功能。客户端产品能对计算机的软硬件资产做管理。

4).具有软件分发、远程控制等功能。客户端产品的扩展性非常强，部署客户端后能方便的进行软件分发和远程控制等，大大降低了管理员的工作量。

四、总结

网关型产品一般做得比较专注，所有在上网行为的分析方面可以做得更细致，但如果客户端产品也专注于对上网行为的分析，那么也能做得类似的效果。但客户端型产品所拥有的功能是网关型产品不能具备的。如果用户不是通过网关型产品管理的网关连接到外网，那么网关型产品就不能做到任何管理。特别是现在3G上网卡的普及，以及电信运营商逐步开放wifi的功能，网关型产品的缺陷将表现得越来越明显。