跨国 IPSec VPN 很慢，
总部不让换防火墙时怎么改善？

为什么建好了跨国 IPSec，用起来还是慢

IPSec VPN 的作用，是在中国分支与海外总部的两台防火墙之间建立一条加密隧道，保护企业内部数据不外泄。但加密隧道本身只解决了安全问题，并没有改变数据包在两地之间走哪条路。

如果现有 IPSec 隧道经过公共互联网传输，跨国链路在运行过程中可能遇到拥堵、丢包和时延波动。这些丢包和时延波动会拖慢隧道内的数据传输，严重时还会造成隧道或业务连接中断；反映在员工电脑上，就是总部系统页面刷不出来、保存单据突然定格，或者传到一半的文件直接中断。

平时在电脑上看到的 ping 延迟升高或丢包，可以作为跨国链路不稳的辅助参考，不过 ping 探测包体积很小，单靠它还不足以代表真实软件的卡顿程度，也不能单独证明全部故障原因。实际环境中，如果两端防火墙自身的加密处理负荷过满、办公室本地宽带出现故障、隧道参数设置不当，或是海外总部的业务服务器本身响应缓慢，员工同样会觉得「系统很卡」。您在咨询前不需要先自行排除所有可能，沟通时我们结合现网基本情况，即可协助确认问题主要出在跨国传输路径还是其他环节。

不换防火墙的改法：保留原有隧道，只换跨国传输通道

当卡顿确实源于跨国公共互联网拥堵与丢包时，企业不需要更换两端的防火墙，也不必推翻重建全球网络架构。在适合的现网条件下，我们可以将原本经过公共互联网的 IPSec 加密流量，改由我们提供的跨国传输通道承载至海外总部所在区域，再交付给总部防火墙。

这种「保留原有隧道、只替换中间跨国传输段」的做法，在安全与运行上有三项直接特点：

• 两端仍是原有的防火墙加密连接：IPSec 隧道依然由企业中国站点与海外总部原有的两台防火墙建立和维护，原有的网络架构与连接关系保持不变。
• 中途不解密企业数据：进入隧道的流量已经由企业防火墙完成加密，我们的传输网络只负责承载和转发加密后的数据包，不在中途解密原有 IPSec 隧道内的企业数据，也不在链路上新增针对该隧道的解密节点。
• 按整条加密隧道整体承载：正因为中间网络不解开外层 IPSec 加密，我们承载的是一整条加密隧道，不会去识别或拆分隧道内部具体运行的是哪一个软件，因此在保留原加密隧道不动的同时，不对隧道内部的单个应用做分别调度。

这种方案对企业有哪些实际好处

对于国内分支缺少专职网络团队、同时又要严格遵守海外总部规定的企业而言，采用保留原有 IPSec 隧道的加速方式主要有以下几方面用处：

• 继续利用现有防火墙与宽带投入：从企业现有的 FortiGate、Palo Alto 等防火墙和已有网络出发规划接入，无需为了中国业务单独重建一套与总部脱节的网络，减少重复购置设备与大幅改造局域网的负担。
• 沿用现有宽带，开通更快：沿用企业现有互联网宽带接入我们的跨境通道，无需额外施工开通新的物理线路，开通时间比传统网络专线更短。
• 业务增长时可随时扩容：需要增加带宽时可以随时扩容，无需等待传统网络专线漫长的施工周期。
• 贴合总部的安全管理要求：原有防火墙之间的加密关系和总部安全规则得以延续，中国团队与海外 IT 团队可以用共同熟悉的技术方式对接。在跨国企业内部，底层传输路径的调整是否需要走变更审批仍由全球总部安全团队按内部流程确认；沟通时我们可以配合整理出保持不变的防火墙配置、需要配合的局部改动以及回退步骤，方便总部对照核实。
• 接入配合与效果验证更清晰：接入前我们会根据站点实际情况与双方明确设备、路由与配合安排，提前确认切换窗口与回退预案，降低对日常办公的影响；接入后无需依赖晦涩的理论指标，可以直接用打开总部系统、保存订单、收发文件与跨国会议等真实日常操作来检验改善效果。