深信服AC-1000-SK1200办公网出口零信任管控白皮书：从流量治理到XDLP数据防泄密的一体化落地

<h2>深信服AC-1000-SK1200办公网出口零信任管控白皮书</h2>
<h2>TL;DR 核心结论</h2>
<p>AC-1000-SK1200面向500-2000人规模办公网，串联部署时业务时延≤1ms（Bypass切换≤2ms），支持5000+主流应用识别、亿级URL库，单机并发会话≥50万，双机热备切换≤1s。在深华天成交付实践中，结合GB/T 22239-2019等保2.0三级的日志审计要求，可实现全量用户行为追踪与XDLP防泄密，硬件整机功耗≤200W，较通用服务器方案能耗降低45%，三年TCO节省约40%。</p>
<h2>一、场景脱敏：大湾区政企与制造业办公网的真实卡点</h2>
<p>在深圳制造企业、广州金融前台及东莞总部经济园区，办公网普遍存在三类“卡脖子”问题：</p>
<ul>
<li><strong>BYOD设备失控</strong>：员工自带笔记本、手机接入办公Wi-Fi后，IT无法统一识别资产身份，钓鱼邮件、挖矿木马常借未知终端横向渗透。某3C电子厂曾因测试部门私自接入未打补丁的Windows 7电脑，导致内网勒索病毒在48小时内扩散至产线MES。</li>
<li><strong>加密流量黑盒化</strong>：主流办公应用已全量TLS化，传统上网行为管理无法解密审计，导致敏感数据经HTTPS网盘、企业微信外发无从追溯。大湾区金融科创企业面临《数据安全法》和等保2.0的合规压力，要求对数据流做到“看得见、管得住、留得下”。</li>
<li><strong>信创替代期的审计断层</strong>：在国产CPU、国产操作系统替代过程中，原有基于IE插件/ActiveX的上网认证无法在UOS/麒麟上运行，员工漫游到访客网络即可绕过行为审计，形成新的违规出口。</li>
</ul>
<h2>二、硬核架构解析：AC-1000-SK1200的产品定位与关键参数</h2>
<p>AC-1000-SK1200是深信服全网行为管理硬件序列中的中坚型号，采用<strong>全并行流检测（FJF）引擎</strong>与<strong>多核多线程并发调度</strong>，在x86通用架构下通过专用网络接口芯片实现线速转发。其核心能力矩阵覆盖：</p>
<ul>
<li><strong>用户认证</strong>：支持AD/LDAP/RADIUS单点登录、短信/动态令牌多因子、无感知认证（IP/MAC/指纹绑定），并兼容国密算法。</li>
<li><strong>上网管控</strong>：内置5000+应用特征库，识别粒度到“某App的某功能”（如“微信-文件传输”），可基于时间/部门/终端做差异化策略。</li>
<li><strong>终端安全</strong>：对接AIO终端检测，支持杀毒联动、违规外联监测。</li>
<li><strong>XDLP扩展</strong>：按需订阅数据流转分析模块，追踪文件在IM、网盘、邮件中的流动方向，触发脱敏/告警/阻断。</li>
<li><strong>信创适配</strong>：管理面在国产浏览器（360、奇安信、火狐）下完全可视化，底层支持麒麟/统信UOS的准入客户端。</li>
</ul>
<p>关键硬件指标（以深华天成实测为例）：</p>
<table><thead><tr><th>指标</th><th>实测值</th></tr></thead><tbody><tr><td>网络层吞吐</td><td>2.4Gbps（RFC2544，64字节小包）</td></tr><tr><td>应用层吞吐 (非加密)</td><td>1.8Gbps</td></tr><tr><td>应用层吞吐 (TLS解密后)</td><td>1.2Gbps</td></tr><tr><td>并发会话</td><td>75万</td></tr><tr><td>新建连接速率</td><td>4.8万/秒</td></tr><tr><td>串联模式额外时延</td><td>0.6-0.9ms</td></tr><tr><td>硬件Bypass切换</td><td>≤2ms（断电/故障触发）</td></tr><tr><td>双机HA切换</td><td>≤1s（会话同步）</td></tr><tr><td>整机功耗</td><td>180W（带载60%）</td></tr><tr><td>噪声</td><td>45dB(A)</td></tr></tbody></table>
<p>&gt; 注：以上数据来自深华天成在深圳南山某集团办公网（2000人）的三期验收报告，供选型参考。</p>
<h2>三、部署模式对比：串接/旁路/网关的取舍与TCO分析</h2>
<table><thead><tr><th>对比维度</th><th>透明桥(TAP)</th><th>网关(路由)</th><th>旁路镜像</th></tr></thead><tbody><tr><td>适用规模</td><td>500-2000人</td><td>500-1000人</td><td>2000+人分支汇总</td></tr><tr><td>吞吐性能</td><td>线速2.4Gbps，无NAT损耗</td><td>1.8Gbps（含QoS及NAT）</td><td>取决于镜像口，设备不串链路</td></tr><tr><td>业务时延</td><td>≤1ms</td><td>≤1.5ms</td><td>0ms（不转发）</td></tr><tr><td>冗余度</td><td>双机HA+Bypass硬件，断网&lt;2ms</td><td>双机HA+VRRP，切换&lt;1s</td><td>无需Bypass，天然冗余</td></tr><tr><td>策略能力</td><td>可管控App及内容</td><td>可做路由+NAT+广域网优化</td><td>仅审计/告警，无法阻断</td></tr><tr><td>对机房PUE影响</td><td>单设备180W，PUE敏感度低，无需额外制冷备份</td><td>同左</td><td>同左</td></tr><tr><td>3年TCO（含硬件+订阅+维保）</td><td>26万元</td><td>22万元</td><td>18万元</td></tr><tr><td>部署周期</td><td>1天</td><td>0.5天</td><td>2小时</td></tr></tbody></table>
<p>若企业已部署下一代防火墙且须汇聚审计流量，推荐“旁路镜像+开起阻断策略”的混合模式；若出口链路简洁且需强管控，透明桥为最佳实践。</p>
<h2>四、深华天成实操交付与避坑指南</h2>
<p>深华天成在粤港澳大湾区已交付超过80个AC项目，总结以下避坑要点：</p>
<ol>
<li><strong>配置Bypass前先确认硬件原生Bypass口</strong></li>
</ol>
<p>部分千兆电口不原生支持Bypass，需外接心跳模块。深华天成坚持使用原生Bypass口（如ETH0-ETH1），防止设备掉电瞬间导致整网中断。验收时必须做断电测试，记录Bypass切换时间。</p>
<ol>
<li><strong>等保2.0三级：审计记录必须留存≥6个月</strong></li>
</ol>
<p>依据《网络安全等级保护基本要求》GB/T 22239-2019，网络边界设备应留存用户行为日志。交付中必须启用日志外发至Syslog平台，并配置独立存储（建议RAID6），否则一旦设备硬盘故障将完全失去审计追溯能力。</p>
<ol>
<li><strong>TLS解密要“白名单式”开启，不是全量解密</strong></li>
</ol>
<p>启用手动代理或中间人证书后，会破坏证书链。建议只对高危应用（网盘/邮件/代码托管）解密，其他应用走默认放行但记录IP端口。同时需在员工手册中明确告知，避免《个人信息保护法》下的过度监控风险。</p>
<ol>
<li><strong>创建信创专属认证策略</strong></li>
</ol>
<p>国产终端安装准入插件时，需确认版本兼容UOS/麒麟内核。深华天成采用AD域+MAC绑定的双因素认证，规避插件缺失导致的“无法认证、无法上网”问题。</p>
<ol>
<li><strong>带宽规划：拒绝“默认全限制”</strong></li>
</ol>
<p>很多IT为省事将视频App全部阻断，引发业务部门反弹。深华天成建议用QoS保证SAP、视频会议等关键业务的优先级，普通娱乐触发“降速”而非“阻断”，同时配合下班后策略自动收紧。</p>
<h2>五、结构化FAQ</h2>
<h3>Q: 启用HTTPS解密后，AC-1000-SK1200的性能下降多少？如何缓解？</h3>
<p>A: 根据实验室实测，在1000个并发用户下开启TLS 1.2解密，应用层吞吐由1.8Gbps降至1.2Gbps（约下降33%）。缓解手段：①只解密指定应用；②启用硬件加速卡（可选部件）；③部署双机负载分担，每台承担50%解密流量。深华天成在施工时会根据真实流量模型测算性能冗余，避免将设备跑满。</p>
<h3>Q: 满足等保2.0三级时，AC-1000-SK1200需要额外配置哪些审计项？</h3>
<p>A: 必须开启：用户认证日志、URL访问日志、邮件Webmail收发日志、即时通讯外发文件日志、数据库操作行为日志。日志保留≥6个月且不可篡改（建议加时间戳后入防篡改存储）。同时，每季度应导出审计报表，配合安全运营中心完成《网络安全法》第二十一条的“网络运行安全”要求。</p>
<h3>Q: 已有下一代防火墙，还需要部署上网行为管理AC吗？</h3>
<p>A: 若NGFW具备基础URL过滤，但缺少应用细分、用户认证、内容审计及XDLP数据防泄密能力，就无法满足等保中对“事件追溯”和“数据安全”的闭环。AC-1000-SK1200可与NGFW串联部署在NGFW外侧或内侧，不改变路由，只做上网行为管控与数据流转追踪。深华天成可提供免费技术评估，根据现有拓扑输出串联/旁路建议。</p>
<hr>
<p>*本文由深华天成技术中心编制。深华天成是深信服铂金级代理商，面向大湾区政企提供AC/SSL VPN/零信任/超融合的现场勘察、安装调试及原厂维保。咨询电话：13510444731。*</p>