出口路由器站在「所有流量都要过」的位置上，四个数字决定它撑不撑得住。 四个数字里最容易踩坑的是 IPsec 吞吐：标称 10 G 的机器，开了 VPN 可能只剩 1 G。
上一节选交换机看「口数与收敛比」，这一节选路由器看的东西完全不同。 因为路由器不是「接多少台」，而是「所有流量都得从它这里过」。
一、要看四个数
要看的数 怎么估 不够会怎样
NAT 会话数 人数 × 每用户连接数 新连接被拒 IPsec 吞吐 分支带宽 × 并发隧道数 VPN 一开就卡 包转发率 小包占比 × 线速 pps 语音类应用抖动 路由表容量 缺省路由 ＋ 明细路由 学不全，部分网段不通
四个数里前两个最容易被低估：NAT 会话数看着和防火墙一样，但出口的会话老化更快、新建更密。 IPsec 吞吐则经常被当成「和普通吞吐一样」，实际差三倍以上。
二、按规模分三档
规模 NAT 会话 IPsec 吞吐 接口
100 人 100 条 40 Mbps 2 个千兆 1000 人 2000 条 400 Mbps 4 千兆 ＋ 2 万兆 5000 人 10000 条 2000 Mbps 2 万兆 ＋ 4 千兆
注意这里的 IPsec 吞吐是「所有分支加起来」： 20 个分支各 100 Mbps，就需要 2000 Mbps 的加密吞吐。 而这个数字通常只有标称吞吐的五分之一到三分之一。
所以「出口该买多大」的答案，往往由「分支多少」决定，不由「人数多少」决定。 这是路由器选型与交换机选型最大的不同。
三、上下行不对称这件事
家用与中小企业宽带上行通常只有下行的十分之一到五分之一。 出口路由器再强，也顶不住运营商那条上行。
所以「内网很快、外网很慢」这个抱怨，八成不是路由器的问题： 是上行带宽就这么点，加上 TCP 的拥塞控制，上传自然会慢。
判断方法很简单： 同时测上传与下载，如果下载满速、上传只有标称的一半不到，那就是运营商的账，不是设备的账。
而工程上的对策也不是换设备：要么加一条上行、要么把大上传的业务（备份、网盘）放到非高峰。
四、动手 Demo：路由器选型，出口这台要看四个数
这段按 1000 人、20 个分支的规模算 NAT 会话与 IPsec 吞吐，再列三个规模档的典型配置。
users, per = 1000, 40
nat = users * per
P(u" NAT 会话：1000 × 40 ＝ %d 条，按 2 倍留余量 ＝ %d 条。"
% (nat, nat * 2))
tunnels, bw = 20, 100
ipsec = tunnels * bw
P(u" IPsec 吞吐：%d × %d ＝ %d Mbps" % (tunnels, bw, ipsec))
实跑输出：
--------------------------------------------------------------------
路由器选型，出口这台要看四个数
--------------------------------------------------------------------
**出口路由器与内网交换机的要求完全不同。**
**它站在「所有流量都要过」的位置上，四个数字决定它撑不撑得住。**
要看的数 怎么估 不够会怎样
-----------------------------------------------------------------
NAT 会话数 人数 × 每用户连接数 新连接被拒
IPsec 吞吐 分支带宽 × 并发隧道数 VPN 一开就卡
包转发率 小包占比 × 线速 pps 语音、游戏类应用抖动
路由表容量 缺省路由 ＋ 明细路由 学不全，部分网段不通
**按 1000 人、20 个分支的规模算一遍**：
NAT 会话：1000 × 40 ＝ 40000 条，建议按 2 倍留余量 ＝ 80000 条。
IPsec 吞吐：20 个分支 × 100 Mbps ＝ 2000 Mbps，也就是 2.0 Gbps。
**这一项最容易踩坑**：标称「10 G 吞吐」的路由器，开启 IPsec 后可能只剩 1 G。
因为加密要走 CPU 或专用加密卡，不是 ASIC 直通。
**三个规模档的典型配置**：
规模 NAT 会话 IPsec 吞吐 接口
----------------------------------------------------------------
100 人 100 条 40 Mbps 2 个千兆
1000 人 2000 条 400 Mbps 4 个千兆 ＋ 2 个万兆
5000 人 10000 条 2000 Mbps 2 个万兆 ＋ 4 个千兆
**出口选型还有一件容易忽略的事：上下行不对称。**
家用与中小企业宽带上行通常只有下行的十分之一到五分之一。
出口路由器再强，也顶不住运营商那条上行。
**所以「内网很快、外网很慢」这个抱怨，八成不是路由器的问题。**
**一句话总结**：出口这台不是比参数，是比「最差的那一项够不够」。
**四项里有一项不够，整台设备就白买。**
「按 2 倍留余量」这个做法值得学：会话数是估出来的，估的东西就要留余量。 而留多少取决于「估得准不准」，不是「越多越好」。
第二段那个乘法最容易被忽略：很多人算 IPsec 只看「一条隧道多少带宽」，忘了乘分支数。 20 个分支各 100 Mbps，加起来就是 2 Gbps——而这个数字已经超过很多中端路由器的加密能力。
一句话总结这一节：出口这台不是比参数，是比「最差的那一项够不够」。 四项里有一项不够，整台设备就白买。
30 秒实验
- 数一下你单位有几个分支机构、各需要多少带宽。
- 按「分支带宽 × 分支数」算一下需要的 IPsec 吞吐。
- 同时测一下上传与下载速度，看差多少倍。
常见误区
- 以为路由器吞吐等于 IPsec 吞吐。开 VPN 后通常只剩五分之一到三分之一。
- 忘了乘分支数。IPsec 吞吐是「所有隧道加起来」，不是单条。
- 把「外网慢」归罪于路由器。先看运营商的上行带宽是多少。
自测三问（点开对答案）
1. 出口路由器要看的四个数是什么？ —— NAT 会话数、IPsec 吞吐、包转发率、路由表容量。 2. 20 个分支各 100 Mbps，需要多少 IPsec 吞吐？ —— 2000 Mbps，也就是 2 Gbps；这个数通常已超过中端路由器的加密能力。 3. 为什么「内网快、外网慢」多半不是路由器的问题？ —— 因为宽带上下行不对称，上行往往只有下行的十分之一到五分之一。下一节：防火墙产品的选择——功能一开，吞吐就掉。
- ☐ （本节完，下一节 07.05.03 防火墙产品的选择）