行业知识
SD-WAN如何兼容现有的网络安全设备和防火墙？
Nov.29.2025
SD-WAN兼容现有网络安全设备和防火墙，通常通过以下几种方式实现：
1. 旁路部署（Out-of-path）
SD-WAN设备部署在网络边缘，流量经过SD-WAN后复制或镜像一份到现有安全设备（如入侵检测系统IDS/IPS），实现安全检测而不干扰现有防火墙的流量转发。这样可以做到无缝集成，确保安全设备继续发挥作用。
2. 基于策略的流量引导
SD-WAN能根据应用类型、源目的地或用户身份动态选择路径，并可将需要深度安全检查的流量强制引入现有防火墙进行处理，其它流量则绕开防火墙直接走互联网出口, 兼顾安全和性能。
3. 集成安全功能（Next-generation firewall, NGFW）
许多SD-WAN解决方案内置集成了下一代防火墙功能，用户可选择将部分安全功能迁移到SD-WAN设备上，同时保留现有防火墙处理关键流量，逐步过渡，保证兼容。
4. 基于VPN/IPSec隧道的互联
SD-WAN通过与现有防火墙建立加密隧道，实现安全隧道内的流量透明传递，同时让现有防火墙继续进行安全策略的执行。
5. 开放API和管理集成
现代SD-WAN方案通常支持通过API与第三方安全设备和管理系统集成，实现集中策略同步和监控数据共享，提高整体安全防护协同能力。
总结：SD-WAN通过灵活的架构设计和策略控制，能够兼容并协同现有的网络安全设备和防火墙，做到安全能力的平滑过渡和增强，帮助企业逐步迈向更智能的网络安全架构。
简体
EN
