网络设备国产化指南：交换机/路由器/防火墙的信创替代路径与平滑割接

谈信创，大家想到的都是电脑和服务器，网络设备常被忽略。但网络恰是国产化程度最高、替换最平顺的一环——因为华为、新华三、锐捷本来就是国内市场的绝对主力。真正的风险不在"能不能替"，而在"割接会不会断网"。本文讲选型逻辑和割接方法论。

一、市场现实：网络设备其实"早就国产了"

中国企业级网络市场长期由华为、新华三（H3C）、锐捷领跑，这三家本身就是国产品牌；再往下有迈普、迪普、中兴等。也就是说，多数单位的网络设备清单里国产占比本来就不低。信创语境下网络设备的工作重点是三个：一是存量进口设备（思科、Juniper、Aruba等）的替换，二是网络操作系统与芯片的自主化（如华为VRP、锐捷RGOS的国产芯片型号），三是出口网关和核心设备的可管控性审查。

二、选型逻辑：按网络位置分层

三、协议兼容：基本盘没问题，细节要验证

主流路由交换协议（OSPF、BGP、VRRP、STP、链路聚合）在国产设备间互联互通是成熟能力，国产设备与思科等进口设备互通也基本无碍——这也是网络割接比服务器割接容易得多的原因。需要实测的细节包括：特殊业务特性（如复杂QoS策略、组播视频、VXLAN）、与现网设备的私有协议对接、以及策略配置的差异（思科ACL语法与华为/锐捷语法不同，配置翻译要逐条核对）。

四、割接方法论：五步走，先灰度后全网

1. 1配置翻译：把现有配置逐条翻译到新平台语法，用模拟器或备机预验证
2. 2旁路预演：新设备旁路接入跑1-2周，只观察不转发，验证协议邻居建立正常
3. 3灰度割接：先切接入层的一个VLAN/一栋楼，观察3-5天
4. 4分区推进：接入→汇聚→核心→出口，每步留回退窗口
5. 5固化期：全网切换后冻结配置变更1个月，集中观察

五、回退预案：割接的保险绳

每次割接前明确三件事：回退触发条件（如核心链路中断超过X分钟、关键业务不可达）、回退操作手册（具体到命令和顺序，不能是"恢复原配置"一句话）、回退责任人（现场拍板的人必须在场）。旧设备在固化期满前保持可回退状态——包括license有效性和配置文件完好。

六、出口安全设备的国密改造

出口防火墙和VPN网关替换时，建议一步到位选支持国密算法（SM2/SM3/SM4）且进入信创目录的产品：这同时满足信创替代和密评的密码合规要求（参见本站《信创与等保、密评是什么关系》一文）。Site-to-Site VPN两端设备不同品牌时，国密协商要实测——这是出口割接翻车率最高的点。

七、采购时机：与其到期被动换，不如规划主动换

• 设备生命周期管理：网络设备典型服役5-8年，把国产化替换排进生命周期表，到期批次自然切换
• 维保价格锚点：进口设备过保后的原厂维保报价通常高得离谱，这是推动替换的最佳内部理由
• 预算联动：网络割接常与机房改造、出口带宽升级同步，打包申报比单独立项更容易过

八、常见坑

• 坑一：配置文件直接机器翻译——ACL/NAT规则机器翻译漏一条就是隐性断网，必须人工逐条核对
• 坑二：忽略有线无线一体割接——只换交换机不换AP/AC，准入策略对不上，用户"连上却上不去网"
• 坑三：割接没选业务窗口——工作时间割核心，出了问题连回退都来不及
• 坑四：忘记监控体系对接——新设备的SNMP/日志没接入监控，割完等于"失明"运行

九、行动清单

1. 1盘点网络设备清单：品牌/型号/服役年限/维保状态，标注进口设备
2. 2画现网拓扑和协议关系（邻居、VRRP组、路由依赖）
3. 3选接入层一栋楼做试点割接，沉淀配置翻译模板
4. 4制定3年替换排期，与维保到期时间对齐
5. 5出口设备替换同步验证国密VPN

相关阅读

• 信创与等保、密评是什么关系？三合规体系一张图（见本站行业资讯）
• 信创服务器与存储选型指南（见本站行业资讯）