#ZT-WAN

#信创

#国密SM2/SM3/SM4

#等保2.0

#鲲鹏

#飞腾

真正的信创合规不是「换个国产外壳」，而是从硬件到软件的全栈自主可控。ZT-WAN 构建了四层自主可控架构，每一层都不依赖国外技术栈。

层级	组件	自主可控实现
硬件层	芯片	支持鲲鹏（华为）、飞腾等国产 CPU
OS 层	操作系统	自研微内核 EdgeOS / AiotOS
协议层	组网协议	自研 STUN/TURN/ICE + QUIC 三引擎
加密层	密码体系	国密 SM2/SM3/SM4 全栈

硬件层支持鲲鹏、飞腾等国产 CPU，可在国产服务器上完整部署；OS 层采用自研微内核，而非基于 Linux 发行版二次封装；协议层的 STUN/TURN/ICE 穿透框架与 QUIC/UDP/TCP 多协议引擎均为自研；加密层全面采用国密 SM2（证书）、SM3（哈希）、SM4（加密）算法。四层叠加，实现了从底层硬件到上层应用的完整自主可控，通过 EAL4+ 安全认证。

ZT-WAN 边缘设备的操作系统采用微内核（Microkernel）架构，这与基于 Linux 单体内核（Monolithic Kernel）的方案有本质安全差异，是信创场景下安全性的关键。

Linux 属于单体内核，所有系统服务（文件系统、网络栈、设备驱动）都运行在内核态，共享同一片内存空间。Linux 内核代码量约 2800 万行，任何一个驱动或服务的漏洞都可能导致整个内核被攻破——一个漏洞，全系统沦陷。

微内核则只将最基础的功能（进程调度、IPC）放在内核态，其余服务（文件系统、网络、驱动）作为独立用户态进程运行，彼此内存隔离。ZT-WAN 的微内核代码量仅约 10 万行，攻击面缩小到原来的 1/280。即便某个服务被攻破，也只影响该服务本身，无法横向渗透到内核或其他服务——一个漏洞，只影响一个舱。

指标	Linux 单体内核	EdgeOS 微内核
代码量	约 28,000,000 行	约 100,000 行
内存模型	共享内存空间	服务间内存隔离
单漏洞影响	整个内核沦陷	仅单个服务
攻击面	大	小（约 1/280）
安全认证	—	EAL4+

这种「水密舱」式的隔离设计，使微内核成为高安全场景（军工、金融、政务）的首选架构。对于承担关键信息基础设施的央国企和政府网络，微内核提供的纵深防御远超传统 Linux 方案。

ZT-WAN 的安全能力与等保 2.0 三级要求深度对齐，覆盖身份、网络、数据、审计、边界五大控制域。

等保要求	ZT-WAN 实现	达标
身份鉴别	SN + Token + CA 三因素，MFA + 设备指纹	✓
访问控制	端口级微隔离，自适应权限	✓
数据加密	SM4-GCM 端到端国密加密	✓
安全审计	全链路行为审计，180 天留存	✓
边界防护	P2P 直连无中转，无第三方暴露	✓
入侵防范	证书篡改实时检测，30s 撤销	✓

某省属国企承担关键业务，需在 2027 年前完成网络基础设施的信创替代。原有方案基于国外品牌 SD-WAN 设备 + 通用加密，无法满足自主可控和等保要求。采用 ZT-WAN 进行替代，关键节点如下：

▸ 第 1-2 周：在国产鲲鹏服务器上部署 DM-HOLD-ControlServer，完成与现有身份系统的对接；

▸ 第 3-5 周：分批将 50+ 分支的国外 SD-WAN 设备替换为 DM-C500，通过 ZTP 零配置上线；

▸ 第 6-7 周：全网切换至国密 SM2/SM3/SM4 加密，完成等保 2.0 三级测评；

▸ 第 8 周：割接验收，全业务零中断完成迁移。

整个替代过程 8 周完成，全业务零中断。替代后，硬件、操作系统、协议、加密四层全部国产化，满足国资委信创替代要求；网络成本较原国外方案降本 80%+；通过等保 2.0 三级认证，合规风险消除。

信创合规不是营销概念，而是从芯片、操作系统、协议到加密的四层全栈自主可控工程。ZT-WAN 以鲲鹏/飞腾国产芯片、自研微内核 EdgeOS、自研组网协议、国密 SM2/3/4 全栈加密，构建了通过 EAL4+ 认证的国产化组网方案，并通过等保 2.0 三级深度集成，支撑央国企在 2027 节点前完成零中断替代。本系列最后一篇将给出产品选型指南，帮助不同规模企业选择最适合的 ZT-WAN 产品组合。

─ ─ ─ ─ ─ ─ ─ ─ ─ ─

▸ 上一篇：《ZT-WAN架构解析（6）》

▸ 下一篇：《ZT-WAN架构解析（8）》