结论先行：微隔离的核心是精细化访问控制，但当敏感业务数据需要跨机房、跨信任域传输时，仅做访问控制还不够。可在策略中启用端到端加密隧道，让流量在经过中间网络节点时始终保持加密状态，兼顾"谁可以访问"与"传输是否安全"。
什么场景需要加密隧道
- 跨信任域传输：数据从生产域流向分析域、备份域时，途经的节点不应看到明文。
- 跨机房同步：异地双活、容灾复制等高价值链路，是攻击重点关注的路径。
- 合规要求：部分行业对敏感数据在传输环节的加密有明确要求。
配置时要留意两个顺序
- 加密与可视化的取舍：加密会影响流量可视化可提取的字段，规划前要和审计方确认所需字段在加密后是否仍可获取。
- 加密与策略匹配的顺序：需与平台确认是先匹配策略再加密，还是先加密再匹配，避免出现"先放行后加密"或"加密后无法匹配"的错位。
和访问控制的关系
加密隧道是微隔离策略体系的补充机制，不是替代。它建立在"白名单放行"的基础上——先决定哪些工作负载之间允许通信，再对其中高敏感链路叠加端到端加密，形成"精细管控 + 安全传输"的双重保障。
奇摩在交付微隔离项目时，会按数据敏感等级分层启用加密隧道，既不给所有流量增加开销，也确保高价值链路满足传输安全要求。
如需梳理跨域传输的加密与管控方案，欢迎 预约咨询。