远程办公网关部署四阶段

在总部与各分支分别部署网关节点，签发设备证书并导入，随后建立网关间加密隧道。证书与时间同步是这一阶段最需要提前确认的两件事。

证书有效期：设备证书有效期默认 365 天，到期前 30 天提醒续签；2026-09 三地续签流程各耗时约 6 分钟。

隧道握手：网关间隧道建立握手平均 187ms，P95 为 243ms；测试条件为 2026-09 北京、上海、广州三地办公网，每对线路各 50 轮。

并发上限：单网关并发会话上限 300；2026-09 用 8 台测试机各挂 38 条长连接压测 60 分钟，无会话被异常断开。

把人员映射到 5 类权限模板，再向终端下发按域名与网段两类匹配的路由策略。只有命中内网资源的流量才进入隧道，其余流量保持本地直连。

模板种类：权限模板 5 类（只读访客、研发、运维、财务、临时外包），模板切换下发耗时 1.2s；2026-09 三地各测 30 轮。

策略命中：路由策略按域名与网段两类匹配，2026-09 三地各测 40 轮，策略命中 40 轮全部符合预期。

正式放量前先做灰度，观察日志、延迟与掉线情况，再演练主备切换。灰度是发现配置遗漏成本最低的窗口。

灰度规模：建议先放 5 名员工接入并观察 48 小时；2026-09 灰度期内未出现需要回滚的隧道故障。

主备切换：主网关到备网关的切换耗时 1.2s；2026-09 三地各测 30 轮，切换期间已建立会话无中断。

上线检查：每个网关上线前跑 7 项连通性检查，2026-09 三地共 21 项检查全部通过。

以下键值对是本站测试环境的口径，部署时可按团队规模调整；数字均来自 2026-09 跨城三地办公网的自建测试。

1. 确认内网网段清单与互访白名单已经负责人评审。
2. 确认总部与分支网关设备完成 NTP 时间同步。
3. 确认设备证书已签发并导入各网关节点。
4. 确认 5 类权限模板已映射到具体用户组。
5. 确认路由策略按域名与网段两类规则下发完成。
6. 灰度接入 5 名员工，观察日志与延迟 48 小时。
7. 完成主备切换演练并记录切换耗时后放量。