从 VPN 迁移到 ZTNA，可按盘点现状、业务分级、并行运行、分批切换、下线 VPN 五个阶段推进，每个阶段逐项勾选，保证业务不中断。
VPN 用了很多年，员工习惯、业务依赖、运维流程都围绕它建立。要迁移到 ZTNA，最担心的是业务中断。稳妥的办法不是“选个日子一刀切”，而是准备一份分阶段、可勾选的迁移清单，让每一步都有依据、可回退。
迁移清单：五个阶段
迁移按五个阶段推进，每个阶段都有明确的检查项和退出条件。
阶段一：盘点现状
先搞清楚 VPN 里到底有什么：
- 通过 VPN 访问的用户清单，按部门、角色、外部人员分类；
- 通过 VPN 访问的业务清单，访问方式、协议、端口；
- 各类终端：电脑、手机、专用设备，是否能安装客户端；
- 目前的访问规则与例外，哪些是长期没人维护的；
- VPN 的使用高峰与高频业务。
阶段二：业务分级
按重要程度和迁移难度，把业务分成三批：
| 批次 | 特征 | 示例 |
|---|---|---|
| 第一批 | 使用面小、影响可控、易迁移 | Web 类内部系统、项目管理 |
| 第二批 | 用户量大、体验敏感 | OA、邮件、协同办公 |
| 第三批 | 协议特殊、改造复杂 | 老旧系统、专用设备 |
不同接入方式的取舍，可以先阅读零信任网络访问（ZTNA）与 VPN 怎么选？。
阶段三：并行运行
新老方式同时存在一段时间：
- 小范围用户先使用 ZTNA 方式访问第一批业务；
- 保留原 VPN 通道，作为随时可用的备份；
- 收集访问失败、速度、兼容性等反馈；
- 比较两种方式下的访问记录，确认没有遗漏的访问关系。
阶段四：分批切换
按批次逐步切换，并为每一批设定检查点：
- 切换前通知用户，提供操作指引与咨询渠道；
- 选在业务低峰期切换，并安排人员值守；
- 切换后一周内重点关注工单和异常；
- 达到切换标准后，才进入下一批。
阶段五：下线 VPN
当所有业务都迁移并稳定运行后：
- 确认 VPN 上没有遗留的访问；
- 先收紧 VPN 权限，观察一段时间；
- 保留配置与备份，再正式停用；
- 更新文档、流程与应急预案。
保证业务连续性的四个原则
- 随时可回退： 每一批都有回退方案，并提前演练。
- 先并行再切换： 不让用户在没有备选的情况下切换。
- 用数据判断： 以访问成功率、耗时、工单量决定是否进入下一批。
- 提前沟通： 让用户知道什么时候、怎么切换、遇到问题找谁。
不同场景的迁移侧重
- 中小企业： 业务集中、规模适中，可以用轻量方式，如安全通先接入核心业务，再逐步替换原有 VPN。
- 大型政企： 人员与业务量大，更需要统一身份与分批机制，可参考统一身份认证准入的方式组织。
- 含大量专用设备的环境： 这些设备的接入需要单独规划，思路见摄像头、PLC、自助终端装不了客户端。
小结
- 迁移分五个阶段：盘点、分级、并行、分批切换、下线。
- 每个阶段用清单逐项勾选，用数据决定是否进入下一步。
- 随时可回退、先并行再切换、提前沟通，是保证业务不中断的关键。