很多团队一聊到安全，就把注意力全放在HTTPS证书、反向代理或者某个防火墙策略上。可在真实的 SAP 项目里，网络与通信安全从来不是单点动作，它更像是一套边界设计。你的网络要支撑业务所需的通信，同时又不能给未授权访问留口子。SAP 官方文档也一直在强调，清晰定义过的网络拓扑，不只是为了让网络更整齐，而是为了从源头上压缩操作系统层、应用层漏洞被利用的机会，也能降低窃听这类网络攻击带来的风险。(SAP Help Portal)
放到一个典型的 S/4HANA 项目里看，这个问题就很具体了。外部用户可能只需要访问 Fiori Launchpad，合作伙伴也许只需要走少量HTTP或HTTPS接口，内部系统之间还要跑RFC、DIAG、CPIC之类的 SAP 协议。如果这几类通信路径都直接打到应用服务器，甚至还能从网络层触达数据库服务器或者操作系统登录入口，那你哪怕把应用代码写得再干净，也还是把系统暴露在一个过大的攻击面之下。SAP 的安全指南明确提到，只要用户无法在操作系统层或数据库层登录应用服务器与数据库服务器，入侵者就很难进一步拿到后端数据库或文件的控制权。连服务器所在的LAN
