零可信异地组网系统产品系统

1、立项原因，旨在解决什么产品问题
随着企业业务全面上云、移动办公普及及物联网设备激增，传统网络边界防御失效。企业在广域网组网中长期陷入“不可能三角”困境：专线（MPLS）成本极高且部署周期长达数月；传统VPN体验极差，公网易拥堵导致视频卡顿、同步失败；普通SD-WAN依赖云端服务器中转流量，不仅产生昂贵的流量转发费，更存在数据隐私泄露风险。
立项原因旨在研发一款融合“零信任安全理念”与“去中心化P2P直连架构”的下一代SD-WAN（ZT-WAN）产品。核心解决企业组网中“连得贵（中转成本高）”、“连得慢（弱网体验差）”、“连得不安全（边界防御失效）”三大产品痛点，实现极致降本、协议智能自适应与全链路国密加密。
2、行业场景，业务背景
数字化转型促使企业业务版图突破物理围墙，涵盖云应用、移动办公、物联网设备和跨国分支。本项目的核心业务背景与行业场景包括：
连锁零售行业： 全国数百上千家门店需将POS交易数据实时加密回传总部，且要求网络高可用（宽带故障需毫秒级切换4G/5G），传统专线成本无法承受。
高端制造与工业物联网： 工厂车间SCADA/MES生产数据需低延时、零丢包回传至数据中心；异地工程师需通过安全隧道远程调试PLC设备，解决工业协议繁杂与公网远程安全隐患。
跨国企业与移动办公： 出差高管及居家研发人员需在酒店等弱网环境下，一键安全接入公司内网访问ERP或核心代码库，传统VPN易掉线且兼容性差。
政企与信创合规： 党政军及关键基础行业要求网络底座全栈自主可控（支持国产芯片与OS），数据主权本地化，满足等保2.0及国密算法（SM2/SM4）合规要求。

1、项目具体功能模块
本项目是一套软硬一体的零信任广域网组网系统，核心包含六大功能模块：
① P2P智能直连组网模块
② 多协议自适应传输引擎模块
③ 零信任安全鉴权与加密模块
④ 控制与数据解耦管理模块（含IPv4/IPv6双栈）
⑤ 软硬一体边缘接入与网关模块
⑥ 全网可视化运维与监控模块
2、项目主要功能描述
P2P智能直连组网： 摒弃传统云端中转，通过智能调度算法在4G/5G/宽带全环境下实现节点间直接打洞建立隧道。流量不经第三方服务器，实现数据物理隔离，大幅降低服务器带宽成本，压缩90%中转延迟。
多协议自适应传输： 自研协议栈实时感知网络环境并动态切换最优协议。在弱网高丢包下启用QUIC协议，连接提速3倍且抗抖动；针对视频与工控业务采用UDP保障毫秒级低时延；文件与数据库同步采用TCP确保数据0丢失，底层切换时上层业务无感知。
零信任安全鉴权与加密： 构建以身份为中心的安全体系。实现设备SN+动态Token+CA证书三重绑定鉴权；全链路支持国密SM2/SM4及AES-256原子级加密；实施业务部门间的微隔离，有效阻断内网横向渗透，满足等保2.0合规要求。
控制与数据解耦管理： 控制层（策略中心、密钥管理、审计日志）独立私有化部署于本地或信创环境（鲲鹏/飞腾）；数据层分布式弹性扩展。同时完美实现IPv4/IPv6双栈无感并行，无需复杂NAT转换即可扁平化组网。
软硬一体边缘接入： 提供全栈信创基座，包括总部级千兆旗舰网关（DM-KQN100，支持双机热备）、分支5G多链路智能备份网关（DM-C500）、工业级串口网关（DM-A401F，直连PLC），以及支持Win/Mac/iOS/Android/Linux全平台的DM-HOLD软件客户端。
可视化运维与监控： 提供云端可视化大屏，全网拓扑与设备状态一目了然。支持设备联网即自动注册。

1、“我”负责的具体任务
作为核心研发，主导以下四大模块的设计与开发：
P2P直连引擎： 设计去中心化打洞算法，实现分支与总部在复杂网络下的直连隧道建立。
多协议传输栈： 开发QUIC/UDP/TCP智能自适应切换逻辑，解决弱网传输痛点。
零信任安全体系： 落地设备SN+Token+CA三重鉴权，实现国密SM2/SM4全链路加密。
架构与适配： 参与控制与数据平面分离设计，实现IPv4/IPv6双栈及鲲鹏/飞腾信创环境适配。
2、技术栈、架构，实现上亮点、难点
技术栈： C/C++、P2P打洞(STUN/TURN/ICE)、QUIC、UDP/TCP融合栈、IPv6双栈、ZTNA架构、国密算法、自研EdgeOS、信创芯片适配。
系统架构： 全栈解耦的控制与数据平面分离架构。控制层（策略/密钥）独立私有化部署，数据层（网关/客户端）分布式弹性扩展。
【实现亮点】
去中心化P2P直连： 流量不经云端中转，物理直连降低80%专线成本，压缩90%中转延迟。
多协议智能自适应： 根据网络状态动态切换，QUIC抗弱网提速3倍，UDP保毫秒级实时，TCP确保0丢失。
【实现难点与攻克方案】
复杂NAT下打洞失败率高：
难点： 对称型NAT等企业网络下，传统打洞极易失效退回中转。
攻克： 综合运用STUN/TURN/ICE技术组合，结合自研辅助探路协议精准预测端口，最大化直连成功率。
底层协议切换致业务断连：
难点： 网络抖动时底层协议（如TCP切QUIC）易导致上层应用连接断开。
攻克： 在传输层与应用层间设计“无感重连与会话保持”中间件，底层通道切换时维持Socket状态，业务零感知。
边缘网关加密性能瓶颈：
难点： 算力受限的网关执行全链路国密加密会导致吞吐量骤降。
攻克： 引入硬件加密加速引擎，结合底层原子级代码优化，实现高并发下线速加密转发。