企业网络安全接入的常见做法

企业网络安全接入的常见做法

先明确业务目标与约束

接入方案要先服务于业务，而不是先选设备。业务类型写清楚：日常办公与 SaaS 访问以网页和 API 为主，出海电商关注多地后台与支付页面响应，社媒与直播看重上行带宽和抖动，AI 研发关注大文件与镜像拉取的吞吐。用户规模按并发数估算，通常取账号数的 40%-60%，不必按账号总数买带宽。预算边界拆成四块：CPE 或客户端一次性投入、月订阅、实施服务、运维人力，只看月费容易漏掉后两项。约束条件要写死：哪些系统必须固定出口地址、是否有审计与日志留存要求、机房和弱电条件能否放 CPE、是否需要双电源与双上行。现场确认时还要把机架 U 位、单相/三相取电、上行光口数量和散热空间写进勘察表，避免实施时临时发现现场条件不足。

关键指标怎么看

带宽看三件事：独享还是共享、上行是否够用、每用户保障值是多少。办公场景按每用户 2-4Mbps 估算，视频会议每路 1.5-2Mbps，直播上行按 5-10Mbps 预留，再乘 1.3 的余量。延迟按目标区域设阈值：同城 10-20ms、跨省 30-60ms、跨洲 150-250ms，超过阈值先分清是接入段还是目标侧的问题。丢包比延迟更影响体验：低于 0.1% 基本无感，0.1%-1% 会议能感知，高于 3% 视频和远程桌面会明显卡顿。测法要统一：连续 7-14 天做 ICMP 与 TCP 探测，取 P95 而非平均值，同时记录抖动和链路切换次数。SLA 要写清可用性口径与统计周期。抖动建议按业务设上限：办公与 SaaS 小于 20ms，视频会议小于 30ms，直播小于 50ms；链路切换恢复时间目标可暂按 3-5 秒计。

方案对比

四条路线没有绝对优劣，差别在成本结构和运维投入。选型时把一次性投入与月费分开算，再按 3 年周期折算。

3 年总成本可按“一次性投入 + 月订阅×36 + 实施服务 + 运维人力”核算；50 人以内、分支不超过 3 个的轻量场景，互联网 + VPN 的一次性成本低，但需承担公网抖动；超过 5 个分支或视频会议、业务系统较多时，SD-WAN 的链路复用和切换收益更容易覆盖订阅成本；核心站点如果已有传统专线，不必全部替换，可继续作为低抖动底座。

分场景建议

• 小型（10-50 人，1-3 个点）：优先客户端 + SASE 安全接入，出口用普通宽带双线，先解决账号统一、访问控制和日志留存；有固定办公点后再加一台 CPE 网关。
• 中型（50-300 人，3-10 个点）：分支用 SD-WAN CPE 双线接入，总部做集中策略，会议与业务系统走优先队列，按月复核带宽利用率和丢包。
• 大型（300 人以上，10 个点以上）：核心站点保留传统专线做底座，边缘站点用 SD-WAN 补齐，CPE 与电源做冗余，建立分级告警、配置备份和变更窗口。

所有场景都应保留带宽利用率基线，建议每 2 周复核一次，P95 峰值连续超过 70% 再扩容。

落地步骤与常见问题

评估用 1-2 周：出应用清单和流量基线，标注峰值时段与关键系统，确认固定出口地址需求。试点用 2-4 周：选 1-2 个代表性站点跑 7-14 天，对比延迟、丢包、切换次数和故障恢复时间，事先定好验收阈值，不达标就调策略而不是加带宽。推广用 4-8 周：分批上线，先非核心后核心，保留回退链路和旧配置。常见问题按顺序排查：先查物理链路与光衰，再看 DNS 与 MTU，接着看策略路由与双线切换逻辑，再看客户端版本与 CPE 负载。变更前留配置备份，故障时先保业务连通再定位根因。设备上架位置、散热和取电往往是最容易被忽略的现场问题。上线前准备配置基线，审计日志留存周期建议不低于 6 个月，故障记录包含时间、链路、切换次数和恢复耗时。