先确认业务问题，
再确定安全边界
防火墙选型从业务访问关系开始。把需要放行的连接、需要阻断的风险和允许的恢复时间写清楚，才能形成可执行、可验收的组网方案。
| 企业遇到的问题 | 方案建设重点 | 调研时必须确认 |
|---|---|---|
| 公网业务暴露，异常外联难发现 | 梳理公网发布与出站连接，组合访问控制、入侵防御、恶意文件及异常外联检测。 | 公网映射、业务端口、其他出口与 IPv6 路径是否被纳入保护。 |
| 办公、服务器与访客网络互相可达 | 按业务划分安全区域，建立跨区访问矩阵，限制无关通信与管理入口。 | 跨区流量是否经过防火墙；同 VLAN 互访由哪些控制保护。 |
| 分支访问 ERP 慢，链路故障要手动处理 | 评估多线路、VPN／SD-WAN 与应用选路，分别设计总部业务和互联网访问路径。 | 时延、丢包、重叠网段、路由回程与 VPN 对端兼容性。 |
| 远程员工和供应商权限范围过大 | 结合身份认证、终端状态与应用授权，按需部署零信任远程接入。 | 身份系统、多因素认证、终端覆盖、访问期限与账号回收。 |
| 一换设备或策略，关键业务就中断 | 规划双机、链路冗余与变更窗口，验证业务后切换，准备可执行的回退路径。 | 现网 NAT、DNS、证书、路由依赖及业务允许的中断时间。 |
| 告警很多，真正的事件没人跟进 | 用网络与终端证据联合研判，建立通知、授权处置、恢复和复盘机制。 | 责任人、服务时段、工单流程、日志存储与处置授权。 |
合法业务访问正常；未授权连接与风险行为可被发现或阻断；发生故障和安全事件后，能够按约定恢复并完成处置。
按访问路径设计组网，
让每个边界都有职责
以总部／园区为主场景，按实际需求扩展分支和人员接入。下面的拓扑用于说明流量与控制关系，具体接线、冗余和地址由现网设计确定。
左右滑动，可查看全部场景与完整组网图。
总部／园区：出口防护与业务分区分别规划
出口 AF 保护经过它的南北向通信；办公、服务器、DMZ 和设备网络之间的访问，要根据真实转发路径设置控制边界。
规划重点
- 梳理互联网出口、公网发布、分支接入及 IPv6 等路径。
- 对办公、业务服务器、DMZ、设备与访客建立最小必要访问矩阵。
- 双机与双线路同时检查上联、下联、同步及路由，避免新的单点。
必须确认的边界
部署在出口的 AF 不会自动检测所有东西向流量。若跨 VLAN 通信在核心交换机直接完成，要通过路由调整、分区边界或其他控制补齐；同 VLAN 流量需结合终端、交换与准入手段。
区域之间，按业务需要建立通行关系
以下为权限设计示例，需与业务所有者确认后转换为具体策略。
| 访问来源 | 建议允许 | 重点限制 | 落地条件 |
|---|---|---|---|
| 办公区 | 经授权的业务应用与互联网访问 | 无关服务器端口与管理服务 | 结合角色、应用和实际检测路径 |
| DMZ 发布区 | 对外应用入口与必要后端依赖 | 向内网任意连接和共享管理权限 | 公网映射、回程与证书逐项测试 |
| 设备 / 生产协作区 | 约定的采集、协作及运维通信 | 任意上网和办公区横向访问 | 先核对协议，授权窗口内验证 |
| 访客区 | 受控的互联网访问 | 企业内部业务与设备管理 | 无线、交换与网关策略共同落实 |
| 管理区 | 授权管理终端到设备管理入口 | 公网直接管理与共享管理员账号 | 独立权限、强认证和操作记录 |
本地、云端、终端协作，
把防护推进到处置
AI＋SASE 的价值，是按需求扩展检测与接入能力。不同组件负责不同环节，功能范围、接入路径和服务授权一起确认，才能形成可运行的保护体系。
- 本地 AF 建立边界
- 控制经过边界的通信，保护业务访问
按需求组合访问控制、入侵防御、恶意文件与异常外联检测，以及适配的路由、NAT、VPN 和组网能力。
前提：真实流量经过设备，型号、版本与本地功能许可适配。 - SASE 按需扩展
- 补充云威胁情报、办公安全与远程接入
按场景评估云威胁情报、邮件钓鱼检测、上网安全、零信任接入和组网服务，结合云端接入及订阅形成方案。
前提：对应订阅、服务区域、云端可达与数据处理范围已确认。 - 终端与运营完成闭环
- 联合研判，执行遏制、查杀与恢复
网络侧阻断与终端处置协作；集中管理、企业团队或选购的托管服务负责告警跟进、策略维护和事件复盘。
前提：终端覆盖、联动许可、处置授权和运维责任明确。
本地 AF、云端订阅、终端软件和托管服务需分别核对。各型号与版本的功能范围以项目配置清单为准。
邮件钓鱼防护，
看清送检与响应的每一步
企业邮箱常采用加密访问，邮件还可能在园区外被阅读。方案需要将邮件副本送检、告警通知、链接访问阻断和终端附件处理分别落实。
- 1
获取邮件副本
核对邮件平台的副本／密送规则、专用邮箱权限，以及 AF 获取副本所需的协议和容量。
- 2
送检与风险告警
通过适配的订阅分析邮件风险，向人员和管理员发送告警与解读；确认云送检内容及处理范围。
- 3
阻断恶意访问
对经过受保护路径的恶意链接访问采取阻断。人员使用其他出口时，需要相应的接入保护覆盖。
- 4
联动终端处理
按终端软件与授权处理恶意附件、隔离及查杀，复核主机和账号状态，完成恢复与复盘。
需要入站邮件隔离或投递前拦截时，单独核对邮件控制能力
邮件副本检测和风险通知可能发生在原邮件已经到达之后。入站拦截、隔离、撤回和反垃圾需求，应与邮件平台或邮件网关的能力一起设计；检测、告警、网络阻断与终端处置都有各自的生效条件。
安全事件由谁处理，也要写进方案
发现告警 → 结合网络与终端证据研判 → 按授权遏制风险 → 查杀与账号处理 → 验证业务恢复 → 复盘策略。企业内部团队与托管服务应明确通知渠道、响应时段、责任人和升级机制，避免告警长期无人跟进。
保护业务连续性，
从部署方式与故障行为开始
替换出口、串联增补和旁路观察的影响不同。先确认现网依赖，再决定如何接入；主备、链路切换和云服务失联分别验证。
| 部署路径 | 适用情况 | 变更前核对 |
|---|---|---|
| 路由部署 | 新建或替换出口，按需求承担路由、NAT 与互联。 | 地址、路由、NAT、公网映射、DNS、VPN 及双向回程。 |
| 透明 / 虚拟网线串联 | 尽量保留原网关与地址，在流量路径中增加检测与控制。 | VLAN、链路聚合、MTU、对称路径、双机接线及模式下的功能限制。 |
| 镜像旁路观察 | 试点阶段先建立业务与告警基线，评估覆盖和影响。 | 镜像范围、丢包与识别完整性；处置需另行规划联动或串联路径。 |
| 内部区域边界 | 控制办公与业务区、DMZ、设备网络之间的特定连接。 | 东西向峰值、真实路由、域内旁路，以及生产应用的兼容性。 |
设备与线路冗余
关键出口评估 AF 主备和多线路，并检查上联、下联、交换机、供电及同步链路。故障后单台容量也要满足核心业务，切换与回切都需要测试。
云服务失联与恢复
确认云端不可达时，本地功能、访问超时、送检和告警的实际行为。按业务和风险约定处理方式，记录云能力的生效范围和恢复过程。
HTTPS 检测与应用兼容
明确需要检测的内容与用户范围，核对证书信任、授权和应用兼容。证书固定、双向 TLS、专用客户端等场景，先测试再决定检测和例外策略。
以真实交易验证恢复
ERP 登录与提交、文件传输和音视频体验应参与故障测试。线路探测、应用选路与双机切换的时间含义不同；记录业务实际恢复、会话重连与交易一致性，按项目约定验收。
按开启防护后的容量选型，
把授权和续费一起算清
网口速率和网络层转发性能，只能说明部分能力。企业应按真实流量、开启的安全功能、连接规模、日志和业务增长评估设备。
| 选型维度 | 需要提供的数据 | 验证重点 |
|---|---|---|
| 业务吞吐 | 上下行高峰、应用类型、TLS 流量比例 | 开启实际 IPS、文件检查、Web 防护与 TLS 等组合后测试 |
| 连接与会话 | 并发连接、每秒新建连接、小包与突发 | 持续高峰下时延、资源余量和正常业务成功率 |
| 接口与冗余 | 电口／光口速率、模块、聚合与接线 | 型号适配，以及故障后单台与单链路的承载能力 |
| 分支与人员 | 站点数、VPN 吞吐、远程用户与并发 | 对端兼容、许可规模、应用选路和人员访问体验 |
| 日志与增长 | 日志事件量、留存要求、未来业务增量 | 存储、检索、导出、容量告警和扩展空间 |
FH 机架式、SK 桌面式及信创产品面向不同部署需求。接口、无线模块、性能与功能许可按明确型号确认。
设备、订阅和服务分项确认
根据企业已有能力选择组合。功能是否包含、许可数量、期限和续费方式，应出现在同一份配置清单中。
| 配置项 | 与业务的关系 | 采购前核对 |
|---|---|---|
| AF 设备与本地能力 | 边界控制、检测、互联及必要的高可用 | 型号、软件版本、功能许可、模块和升级维护 |
| 云端安全订阅 | 按需扩展情报、邮件检测与上网安全等能力 | 订阅组合、数量、服务区域、期限与数据处理范围 |
| 远程与分支接入 | 人员身份、业务权限与分支访问路径 | 用户／站点许可、客户端／连接器与第三方兼容 |
| 管理与日志 | 集中配置、策略、审计及安全排查 | 平台版本、部署方式、管理规模、存储与导出 |
| 终端与托管服务 | 主机处置、告警研判及持续运营 | 终端覆盖、联动、服务时段、响应承诺与处置授权 |
用同一服务范围比较总费用
设备与模块＋安全许可与订阅＋实施迁移＋管理与日志＋运维服务＋后续续费。比较三年费用时，先对齐功能、数量、期限与服务责任。
已有 AF，先核对再决定是否替换
检查型号、软件生命周期、容量、现有许可与云订阅支持。根据结果选择保留、升级、增补或替换，避免设备能力与新业务需求脱节。
小范围验证，分阶段切换，
交付可持续运营的网络
从现网调研到运维交接，每一阶段都留存成果。策略先观察、再收敛，关键变更在批准窗口内实施，并保留明确的回退条件。
- 1交付：现网与需求清单
现网调研
整理拓扑、线路、区域、访问关系、公网发布与关键业务；记录高峰和常见故障。
- 2交付：拓扑与配置清单
方案与边界确认
确定检测路径、部署模式、HA、容量、授权、数据处理范围和运维职责。
- 3交付：试点与策略记录
授权试点与调优
选一个区域或分支，验证业务可用、防护覆盖、误报、故障切换与云服务依赖。
- 4交付：变更与验收记录
窗口迁移与验收
备份旧配置，标记接线；按批准步骤切换，检查关键业务，达到回退阈值即恢复。
- 5交付：运维手册与责任表
交接与持续运营
交接权限、配置、日志和故障预案；定期复核策略、订阅、事件及恢复演练。
验收要证明业务正常，也要证明边界有效
下列为建议验收项目。目标值、测试范围与责任人应在试点前由双方确认。
| 验收项目 | 怎么验证 | 需要留存的证据 |
|---|---|---|
| 核心业务可用 | 登录、提交、查询、文件与音视频实测，对照约定基线。 | 业务结果、时延、失败与例外处理记录 |
| 访问隔离 | 分别测试允许与拒绝的跨区连接，核对真实路径。 | 访问矩阵、策略命中和日志 |
| 检测与误报 | 使用无害、授权的样本验证目标功能，同时复核正常业务。 | 样本范围、规则、告警与人工判定 |
| 双机与线路恢复 | 分别测试设备、线路、上联故障与回切，检查实际交易。 | 恢复时间、会话重连和业务一致性 |
| 云端与联动范围 | 验证订阅生效、云失联行为、邮件与终端联动。 | 实际保护边界、告警和处置结果 |
| 运维可交接 | 检查管理权限、日志查询导出、工单与事件响应演练。 | 权限表、配置备份、手册与责任记录 |
回退条件在切换前明确
关键交易失败、恢复超过约定时间、持续误阻断或无法解释的丢包等，可作为项目回退条件。预先准备旧配置、原接线与恢复步骤，指定决定回退和确认业务恢复的人员。
带着这些资料，
开始一次有效的方案沟通
先准备现网与业务事实，再讨论设备和订阅组合。勾选已具备的资料，即可导出包含“已准备”和“待补充”项目的调研清单。
清单在本机生成；这里填写的内容不会自动提交。
企业常见问题
把会影响采购、迁移和日常使用的条件先讲清楚，减少上线后的反复调整。
买了 AF，是否自动包含所有 AI 与 SASE 能力？
要按设备、软件版本、本地许可和云订阅逐项核对。云威胁情报、邮件检测、远程接入、终端联动及托管服务可能涉及不同的产品、数量和期限，应写入项目配置清单。
已有出口防火墙，还需要做内部隔离吗？
需要先检查跨区流量路径。出口设备主要保护经过它的流量，核心交换机直接转发的跨 VLAN 通信和同 VLAN 互访，应结合分区边界、交换策略、准入与终端控制处理。
云端不可达时，企业会不会断网？
实际行为取决于使用的服务、设备版本、路径和策略。项目要测试超时、访问、告警、本地保护与恢复过程，并据此确认可用性和防护边界，不能仅凭“接入云端”推断故障结果。
镜像旁路观察可以直接实现完整阻断吗？
旁路先提供可见性，效果受镜像覆盖和丢包影响。要实现控制，需要相应的联动、网络路径或串联部署；应按实际动作核对，避免把看到了告警理解为已经阻断了通信。
所有 HTTPS 应用都要开启解密吗？
检测范围应兼顾业务、授权与数据处理要求。证书信任、证书固定、双向 TLS 和专用客户端可能影响兼容性，应小范围验证，制定例外并评估开启检测后的容量。
能否替代终端安全、专用 WAF 或 DDoS 清洗？
需按保护对象评估组合。AF 可以参与网络与 Web 边界防护；主机查杀和隔离、应用修复、备份恢复及上游大流量清洗分别有不同职责，相关需求应独立验证。
生产网能直接套用办公网安全策略吗？
应先核对生产协议、厂商要求和业务依赖。设备通信可能对时延、连接与扫描敏感，应通过观察和授权窗口内测试形成策略；自动阻断、隔离和主动扫描需经过业务确认。
项目报价为什么需要包含持续服务费用？
检测特征更新、云订阅、管理存储、终端覆盖和安全运营可能是持续支出。以相同的功能、规模、期限与责任比较设备、实施、续费和服务总费用，才能准确评估投入。
从现网拓扑和关键业务开始
梳理边界、核对容量、验证部署，再形成适合企业的安全组网方案。