企业公网与私有链路混合组网，核心不是简单地把两条线路接到一台设备上，而是决定不同业务走哪条路，以及主路故障时怎样切换。以有分支办公室和中心机房的企业为例，访问互联网应用可走公网，访问内部系统可走私有链路，再为关键流量准备备用路径。下面按五步梳理。
先弄清两类链路的分工
公网通常接入方便、覆盖广，适合普通网页、软件更新和云端应用；但路径受运营商网络与互联网拥塞影响，时延和丢包可能变化。MPLS VPN 等私有网络服务可提供企业站点间的逻辑隔离，适合需要稳定互通的内部业务，但覆盖、接入条件和费用须向服务商确认。私有链路不等于天然加密，敏感数据仍应按安全要求采用加密措施。
混合使用时，常见原则是“按目的地分流、按重要程度备份”：内部网段优先走私有链路，普通互联网流量走本地公网出口；私有链路中断时，允许的内部流量再经公网隧道传输。
5步完成分流与备份规划
- 列出业务与目的地址。把内部文件、财务或业务系统等站点间访问，与网页、邮件和云应用等互联网访问分开记录。整理内部网段、域名解析方式、端口需求及业务优先级；不清楚目的地址的应用，先由应用负责人和网络管理员共同核实。
- 为每类流量指定主路径。在路由设备上制定策略路由或路由表规则：内部网段指向私有链路，互联网默认流量指向公网出口。策略路由适合按源地址、目的地址或应用条件分流；普通目的路由配置较直接，但不一定能区分同一目标下的不同业务。规则应尽量明确，避免互相覆盖。
- 选定备用路径和隧道方式。如果私有链路故障后允许内部业务绕行公网，可用 IPsec VPN 在两端建立加密隧道，再将相关路由设为备用。公网隧道增加了加密开销，实际吞吐能力还受设备性能、互联网质量和加密设置影响；对时延敏感的语音或实时应用，应先确认能否接受绕行后的质量变化。
- 定义切换条件。不要只检测设备接口是否在线：接口正常不代表远端业务可达。可结合路由邻接状态及到远端网关或业务探测目标的连通性，设置故障判定和恢复条件。阈值需结合线路波动调整，避免短暂丢包就反复切换；同时检查公网出口的防火墙、NAT 和回程路由是否支持备用流量。
- 安排分阶段验证。先在低风险时段测试公网访问、私有网段访问和备用隧道，再模拟断开主链路，确认路由确实切换、业务能恢复。记录切换耗时、应用表现和恢复主链路后的回切情况；涉及已有会话时，注意部分连接可能需要重新建立。
分流设计最容易漏掉的细节
回程路径与地址转换
请求从备用公网路径发出，回复却仍走已故障的私有链路，可能造成连接失败。规划时要检查两端路由是否对称，确认防火墙策略和地址转换规则涵盖备用流量。若公网出口地址改变，也应确认对端系统是否限制来源地址。
自动化管理的适用范围
SD-WAN 可集中管理多个站点的链路选择和策略，适合分支较多、需要统一调整的环境；传统路由配置对站点较少、规则稳定的网络可能更直接。无论采用哪种方式，企业公网与私有链路混合组网都要保留清晰的流量规则、变更记录和人工回退方案。
常见问题
公网可以完全替代私有链路吗？
不一定。若内部应用能接受公网质量波动，并通过 VPN 等方式保护传输，可评估以公网为主；有明确的稳定性或服务保障要求时，应比较私有链路方案及其实际服务条款。
两条链路接入后会自动分担流量吗？
不会。需明确配置路由、策略或 SD-WAN 规则。备份链路通常在主路故障时启用，也可设计主动分流，但要考虑容量、会话连续性和管理复杂度。
怎样判断规划是否完成？
逐项确认业务走向、故障检测、切换后安全策略、回程路径和恢复行为，并通过断链测试验证。企业公网与私有链路混合组网只有在故障场景下也能按预期运行，才算形成可用方案。