一家做连锁餐饮供应链的公司，总部在北京，六家分店分布在京津冀和山东。跨分支组网上线那天，全公司都在群里欢呼：分店开单直接进总部的 ERP，原来转十几秒的单子现在秒开，财务对账也不用再等各店传文件了。热闹了不到一个月，事故来了。一家分店的店长把自己家的笔记本带来插在店里的网口上备份手机照片，这台电脑上有家属下载的各种软件。笔记本顺着打通的隧道，把总部网段扫了一遍：文件服务器、打印服务器、两台虚拟化宿主机的管理页面，全都被摸到了。幸亏那次只是扫描被防火墙日志记了下来，没人利用。复盘会上所有人的冷汗是同一件事：组网只解决了「通」，没人想过通了之后「谁能到哪」。
这是多分支组网最普遍的盲区。单店时代，一家店中病毒就是一家店的事；组网之后，任何一家分店的任何一个网口，都是通往总部内网的入口。安全策略必须在组网之后跟着统一，这件事拖得越久，暴露面越大。下面是落地时按顺序做的四层工程做法，从分店门口一直管到总部机房。
第一层：分支 CPE 侧把网段切干净
每家分店虽然小，网络也不能是一张平板。在分支 CPE 上至少切出四个 VLAN：收银与业务终端、办公终端、访客 Wi-Fi、监控摄像头。切完之后执行两条铁律。
第一条，互不互访。收银网段里的 POS 终端只能到收银系统和总部业务应用，到不了办公网段，更到不了访客网段。监控摄像头单独一段，只有录像回传流量。这样哪怕办公网段里某台电脑中了招，它碰不到收银，也碰不到摄像头，勒索软件最喜欢的「一片内网随便扫」的局面就不存在了。
第二条，访客本地出局。店里的顾客 Wi-Fi、店员的个人手机，流量直接从本地宽带出公网，不走隧道进总部。这一条既省隧道带宽，更把最常见的染毒终端挡在了公司内网门外。开篇那个事故的直接解药就在这层：陌生设备插上网口，要么被划进隔离网段只能上外网，要么根本通不过接入认证，隧道里没有它的路。
第二层：跨分支路由做最小可达
很多组网方案图省事，上线时把总部整个内网网段和分店网段做了全互通。全互通的代价就是：分店的每一台设备，理论上都能摸到总部机房里的每一台服务器，包括虚拟化宿主机的管理面和带外管理网段。
正确做法是把可达性列成白名单：分店网段只放行到总部的 ERP、文件、业务应用所在的那几个网段；机房管理网段、服务器带外网段、总部办公网段，对分店一律不可达。这条策略在总部侧和 CPE 侧各配一份，双保险。配完的验收方法很朴素：在分店终端上尝试访问管理网段的地址，全部不通才算过。管理网段这种「出了事就是大事」的区域，宁可让运维多走一步远程接入，也不留给全网点位直达的便利。
第三层：叠加身份维度，只认网段还不够
前两层管的是「哪个网段能到哪个网段」，但同在办公网段里，会计的电脑和实习生的电脑、公司电脑和老板娘带来的私人笔记本，能碰的东西不该一样。这就需要在网段之上叠加按人和身份的鉴权。
做法是把敏感系统的接入收到零信任之下：员工账号按岗位拿到不同应用的访问权，外包工程师的权限带有效期，离职当天账号停用、所有入口同时关闭。sTrust 是羽信安 CPE 内置的零信任模块，多分支场景下不需要在每家分店单独立一套系统，跟着 CPE 走即可：分店员工登录后按身份访问总部的 ERP 与业务应用，访问行为留审计日志。这样即使前两层的网段防线被绕过（比如有人私接设备进了办公网段），敏感系统还有身份这最后一道门。
第四层：总部统一策略、统一日志、统一监控
分店多了之后，安全策略最怕各自为政：这家店的 CPE 是去年装的配置，那家店上个月被本地宽带师傅改过端口映射，没人有全网的准数。第四层就是收权。
策略由总部统一下发，分店侧只保留本地宽带续费之类的物理操作权限，任何配置变更都走总部、留记录。日志集中：各分店 CPE 的流量与告警日志、零信任的访问日志、总部防火墙的边界日志，汇到一处，才谈得上发现「某分店半夜在扫总部网段」这种跨点位的异常。监控和自愈跟着上：链路质量劣化、隧道中断、CPE 失联自动告警，简单故障自动重连恢复，恢复不了的按预案切换备份链路。这一层怎么做才算做扎实，在组网上线后怎么知道它一直正常里有完整展开。至于店开到第几家该把管理收上来，判断依据可以看店开到第三家网络管理方式就该换了。
风险与统一策略对照表
| 风险场景 | 典型成因 | 统一策略动作 | 落在哪一层 |
|---|---|---|---|
| 染毒终端进隧道 | 分店与总部网段全互通，一机中招全网可达 | 分支切 VLAN 互不互访，跨分支路由白名单只放业务网段 | 一、二层 |
| 陌生设备插分店网口 | 网口即内网，插上就能通 | 访客与个人设备划入隔离网段本地出局，敏感系统按身份鉴权 | 一、三层 |
| 机房管理面被摸到 | 全互通把宿主机管理与带外网段也放给了分店 | 管理网段对分店一律不可达，运维走零信任远程接入 | 二、三层 |
| 分店配置各自漂移 | 各店本地改配置，无人有全网准数 | 策略总部统一下发，变更留痕，分店仅保留物理操作权限 | 第四层 |
| 跨点位异常发现晚 | 日志散在各店，无人集中看 | 流量、访问、边界三类日志集中采集，链路故障自愈加告警 | 第四层 |
这张表可以直接当验收清单用：每一家新店上线，逐行核对动作是否落地，尤其是第二行的「陌生设备实测」和第三行的「管理网段实测不通」，这两个测试做一遍只要十分钟，拦的却是多分支场景里代价最高的两类事故。
常见问题
问：分店已经有电脑中过勒索，现在从哪一步开始补救？
答：先断再治。第一步把该店到总部的隧道暂时断开，保住总部和其他分店；第二步对该店所有终端彻底重装或杀毒，重点查收银与办公网段；第三步趁重装把四个 VLAN 切出来，接回隧道之前完成第二层路由白名单。别急着恢复业务先通再说，带毒重连等于把事故再演一遍。
问：访客 Wi-Fi 本地出局，顾客上网体验会差吗？
答：不会，本地出局用的是分店自己的宽带，反而比绕道总部更快。需要留意的是给它做个带宽上限，避免客流高峰时挤占收银与业务流量，这个上限在 CPE 上一条策略就能配好。
问：策略都收归总部，分店本地还需要懂网络的人吗？
答：基本不需要。分店保留的只有物理层动作：宽带故障报修、设备断电重启、插线对灯。配置层面全部由总部下发，出现本地排查需求时由总部远程处理。多数分店只需要培训店长一件事：网络出问题先打电话，不要自己动设备。
问：加了这么多层控制，分店开单会不会变慢？
答：几乎无感。VLAN 切分和路由白名单是转发层面的动作，不增加明显时延；零信任鉴权发生在登录环节，业务会话建立后正常转发。真正影响速度的通常是带宽规划和链路质量，把限速、错峰这些做对，开单速度和组网刚上线时一样。
关于作者
北京思文力得科贸有限公司，2011 年成立，国家高新技术企业，办公地在北京市顺义区汇海南路 1 号院 3 号楼 9 层 3-1002，做企业 IT 运维外包、网络设备整包、弱电与异地组网，自研 sTrust 零信任与羽信安 SD-WAN。持有 ISO 9001、ISO 20000 和《增值电信业务经营许可证》（编号 B1-20252821）。官网：www.siwenlide.com（产品站 yuxinan.siwenlide.com），咨询电话 400-686-2011。
小结：跨分支组网把每一家分店的网口都变成了总部的入口，安全必须跟着统一。四层做法按顺序落地：分店侧 VLAN 切干净、访客本地出局；跨分支路由白名单，管理网段一律不可达；敏感系统叠加按人的零信任鉴权；最后总部统一下发策略、集中日志、自愈监控。验收就看两条实测：陌生设备插不上内网，管理网段从分店摸不到。