跨國 IPSec VPN 很慢，
總部不讓換防火牆時怎麼改善？

為什麼建好了跨國 IPSec，用起來還是慢

IPSec VPN 的作用，是在中國分支與海外總部的兩台防火牆之間建立一條加密隧道，保護企業內部數據不外洩。但加密隧道本身只解決了安全問題，並沒有改變數據包在兩地之間走哪條路。

如果現有 IPSec 隧道經過公共互聯網傳輸，跨國鏈路在運行過程中可能遇到擁堵、丟包和時延波動。這些丟包和時延波動會拖慢隧道內的數據傳輸，嚴重時還會造成隧道或業務連接中斷；反映在員工電腦上，就是總部系統頁面刷不出來、保存單據突然定格，或者傳到一半的檔案直接中斷。

平時在電腦上看到的 ping 延遲升高或丟包，可以作為跨國鏈路不穩的輔助參考，不過 ping 探測包體積很小，單靠它還不足以代表真實軟件的卡頓程度，也不能單獨證明全部故障原因。實際環境中，如果兩端防火牆自身的加密處理負荷過滿、辦公室本地寬頻出現故障、隧道參數設置不當，或是海外總部的業務伺服器本身響應緩慢，員工同樣會覺得「系統很卡」。您在諮詢前不需要先自行排除所有可能，溝通時我們結合現網基本情況，即可協助確認問題主要出在跨國傳輸路徑還是其他環節。

不換防火牆的改法：保留原有隧道，只換跨國傳輸通道

當卡頓確實源於跨國公共互聯網擁堵與丟包時，企業不需要更換兩端的防火牆，也不必推翻重建全球網絡架構。在適合的現網條件下，我們可以將原本經過公共互聯網的 IPSec 加密流量，改由我們提供的跨國傳輸通道承載至海外總部所在區域，再交付給總部防火牆。

這種「保留原有隧道、只替換中間跨國傳輸段」的做法，在安全與運行上有三項直接特點：

• 兩端仍是原有的防火牆加密連接：IPSec 隧道依然由企業中國站點與海外總部原有的兩台防火牆建立和維護，原有的網絡架構與連接關係保持不變。
• 中途不解密企業數據：進入隧道的流量已經由企業防火牆完成加密，我們的傳輸網絡只負責承載和轉發加密後的數據包，不在中途解密原有 IPSec 隧道內的企業數據，也不在鏈路上新增針對該隧道的解密節點。
• 按整條加密隧道整體承載：正因為中間網絡不解開外層 IPSec 加密，我們承載的是一整條加密隧道，不會去識別或拆分隧道內部具體運行的是哪一個軟件，因此在保留原加密隧道不動的同時，不對隧道內部的單個應用做分別調度。

這種方案對企業有哪些實際好處

對於國內分支缺少專職網絡團隊、同時又要嚴格遵守海外總部規定的企業而言，採用保留原有 IPSec 隧道的加速方式主要有以下幾方面用處：

• 繼續利用現有防火牆與寬頻投入：從企業現有的 FortiGate、Palo Alto 等防火牆和已有網絡出發規劃接入，無需為了中國業務單獨重建一套與總部脫節的網絡，減少重複購置設備與大幅改造局域網的負擔。
• 沿用現有寬頻，開通更快：沿用企業現有互聯網寬頻接入我們的跨境通道，無需額外施工開通新的物理線路，開通時間比傳統網絡專線更短。
• 業務增長時可隨時擴容：需要增加頻寬時可以隨時擴容，無需等待傳統網絡專線漫長的施工週期。
• 貼合總部的安全管理要求：原有防火牆之間的加密關係和總部安全規則得以延續，中國團隊與海外 IT 團隊可以用共同熟悉的技術方式對接。在跨國企業內部，底層傳輸路徑的調整是否需要走變更審批仍由全球總部安全團隊按內部流程確認；溝通時我們可以配合整理出保持不變的防火牆配置、需要配合的局部改動以及回退步驟，方便總部對照核實。
• 接入配合與效果驗證更清晰：接入前我們會根據站點實際情況與雙方明確設備、路由與配合安排，提前確認切換窗口與回退預案，降低對日常辦公的影響；接入後無需依賴晦澀的理論指標，可以直接用打開總部系統、保存訂單、收發檔案與跨國會議等真實日常操作來檢驗改善效果。