| OpenVLAN | GlobalProtect | |
|---|---|---|
| 网关依赖 | 无——网状网络 | PAN-OS 网关（设备/虚拟网络） |
| 许可 | 按用户计费，价格公开 | 在防火墙之上叠加 GP 订阅 |
| 客户端体积与更新 | 轻量，自动更新 | 较重；与 PAN-OS 存在版本矩阵依赖 |
| 远程办公扩展性 | 点对点，无发夹绕行 | 流量受网关容量制约 |
| 分流策略 | 无需纠结——按用户的 ACL | 需要配置且常起争议 |
| 终端状态检查 | 设备状态纳入 ACL | HIP 配置文件 |
| 见效时间 | 数分钟 | 网关、证书、门户配置 |
Panorama 统管一切，HIP 终端状态驱动全组织的策略，而 VPN 只是整套 PAN 环境中的一个条目。
当痛点在于网关容量工单、客户端升级矩阵和分流之争——而不是防火墙本身时。
Palo Alto 继续镇守边界；GlobalProtect 退役。用户通过 OpenVLAN 访问资源；互联网流量依然经过 NGFW。