信创改造走到一半，策略管理工具还没跟上

结论先行：信创改造的现实节奏是：业务系统一台台换过去，配套的管理工具还在适配。这段空档期里，网络策略只能靠手工下发与手工记录。空档期本身不可怕，可怕的是空档期里做的变更没有留痕、双轨期的两份策略对不上、收口时没人验。三件事补上，过渡期就是可控的。

空档期为什么必然存在

改造一般是分层的：先换终端，再换服务器与业务系统，网络设备与安全设备往往排在后面，管理工具排在更后面。原因不复杂——工具要适配的不只是操作系统，还有芯片指令集、数据库、中间件，以及设备侧的命令方言。

于是出现一个尴尬的时间差：新的国产化环境已经跑起来了，能统一管它的工具还没适配完。这时候人的做法很朴素——继续手工登录设备配置，用表格或群消息记一笔。

有工具的时候，一次策略变更从申请、审批、下发到回滚都在系统里留痕，事后能调出完整链路。手工阶段这套链路断了：审批在邮件里，下发在终端会话里，结果是设备配置里多了一条策略，但没人能证明它经过了谁。

等到合规检查或事故复盘要材料，才发现缺的不是某一条记录，而是整段时间的记录都没有。补是补不出来的，只能说明"这段时间采用人工操作，记录方式如下"。

可行的做法有两件：其一，空档期内的策略变更走一份最小留痕表，至少记工单号、变更人、起止时间、变更前后差异四栏，附在变更单后；其二，每次变更后从设备导出一份配置快照，按日期存档。这两件事都不依赖工具，但能在收口时提供基本证据。

改造期的网络通常是双轨的：一部分业务还在原环境，一部分已经迁到国产化环境。两个环境的策略由不同的人、用不同的方法维护。时间一长，两份策略的差异会超出预期——同一业务的访问规则，两边放行的范围不一样。

这类差异不会立刻出问题，它会在两个时刻暴露：一次跨环境的业务访问不通，或者一次检查时两边口径不一致。建议按业务维度做一张双轨对照表，把同一业务在原环境与新环境各自的放行范围并排列出来，改造每推进一步就更新一次。表不用复杂，关键是"并排"——分开看两张表，差异永远是看不出来的。

工具适配完成、上线之后，最容易漏的一步是验证。工具装好了，界面上策略列表也有内容，于是被认为"空档期结束了"。实际要验的是三件事：手工阶段下发的策略是否完整纳入了管理；双轨期的两份策略差异是否已收敛；空档期的变更记录是否可检索。

这三件没有验，等于工具上了但治理没接上，过一段时间又要从头梳理一遍。

四项都过，空档期才算真正结束。少一项，后面的治理工作都要在不确定的基础上叠加。

深圳市奇摩计算机有限公司在信创类项目里，通常把这段过渡期的留痕方式与收口标准写进实施方案，作为交付物的一部分，而不是留给客户自己在过渡结束后补。

本文所述过渡期风险为同类项目的共性归纳，实际情形以具体项目的改造范围与实施计划为准。

本文只谈信创改造期间策略管理工具的空档怎么过渡，不涉及国产操作系统本身该怎么选型，也不涉及过渡期双系统的日志与账号问题。

如果你们的信创改造正卡在"业务换完了、工具还没适配"这一段，欢迎预约咨询。