在对一家二级 MNO（东南亚，约 1,800 万用户）进行生产就绪评审时，接入的 MVNO 的漫游测试流量暴露出一个常见缺口：各团队都认定 SS7 控制应由其他方负责。问题不在于是否部署了 MAP 防火墙，而在于其策略模型是否反映了 MVNO 的 IMSI 号段、MNP 路由及合法监听义务。因此，MAP 防火墙策略 是一项入网交付物，而非后台网络功能。
入网失效出现在信令边界
当一项漫游测试针对新分配的 IMSI 号段产生 MAP 活动时，问题随之出现。核心网团队确认该流量已到达预期边界，却无法确认这组事务是否应当放行。安全团队尚未批准针对该号段的筛查策略，而上线团队将连通成功视为信令控制已就绪的证据。这一区别使生产决策无法落定。
责任结构看似符合惯例。MNO 保留 SS7 互联、防火墙资产及对外载波关系。MVNE 负责用户生命周期数据及开通路径。MVNO 预期其漫游配置文件可作为宿主网络的延伸运行。然而，任何治理附件都未将这些边界转化为已签署的策略模型。对于批准新源网络、修改规则，或判断失败事务属于滥用、配置错误还是漫游配置文件不完整，均没有约定的授权主体。
默认拒绝策略可限制侦测、位置泄露及未经授权的用户查询。但当租户标识和对端不在规则库中时，它也可能中断有效事务。合法的 SRI-SM、ATI、PSI 及与路由有关的操作，并不会仅因来自已知载波就变得安全。同样，也不应仅因新入网租户尚未被纳入全宿主策略模型而予以阻断。
运营问题不在于哪一方支付防火墙许可费用，而在于谁可提出变更请求，谁验证其商业及监管依据，谁测试变更后的行为，以及投产后谁承担事件处置义务。没有租户数据的审批权限是薄弱控制。无法访问防火墙遥测数据的租户知识是薄弱问责。
一位二级批发业务负责人近期指出：“上线计划设有漫游工作流和安全工作流，但两者并未相互覆盖。”
因此，首个生产门槛应要求具备一致同意的信令事务清单。至少应列明源网络、目标 GTs、IMSI 及 MSISDN 号段、预期 MAP 操作、漫游条件及指定升级联系人。清单还应明确哪一方能够提供规则已获批准并已测试的证据。没有这份记录，上线期间提出的例外请求就会演变为一场与生产时钟赛跑的谈判。
宿主方所有权不免除 MVNE 的责任
MNO 应保留对互联暴露面和安全执行的控制。其通常仍需负责 SS7 互联治理、防火墙规则审批、威胁情报、监控阈值，以及应对影响共享 HLR、AuC 或更广泛用户资产的信令滥用。该授权必不可少，因为一个租户的例外可能改变其他租户及宿主网络自身的风险。
MVNE 的职责不同，但同样具有运营重要性。其必须维护准确的租户标识信息，包括 IMSI 块、MSISDN 号段、HLR 或 HSS 路由上下文、激活状态及漫游权限。它还必须维护 BSS/OSS 记录与核心网开通之间的数据血缘关系。若某一告警涉及的 IMSI 在一个系统中显示为未激活、在另一个系统中却已开通，仅凭防火墙所有权无法解决该事件。
在组合规模下，这一问题具有实质影响。一家服务 EMEA 地区 12+ 个租户的 MVNE 发现，宿主层面的控制保持一致，但租户记录通过不同运营渠道进入安全流程。一些变更通过正式变更控制提交，另一些通过漫游工单，还有一些则来自上线电子表格。技术策略已集中化，向其提供证据的过程却没有。对接收和验证路径进行标准化，在不将防火墙授权从宿主方转移出去的情况下减少了模糊空间。
MVNO 应负责服务设计背后的商业意图，包括目标漫游市场、号码段使用、客户支持路径，以及任何可能改变信令模式的差异化行为。它不应获得不受限制地修改宿主安全策略的权限。商业紧迫性与优先级排序有关，但不能替代获批的源、事务目的或监管依据。
责任必须遵循控制平面。无法观察防火墙事件的一方，不能成为唯一事件负责人。无法确定某 IMSI 是否处于合法激活状态的一方，若没有 MVNE 的输入，就无法结案。运营模型因此必须将决策权与证据义务结合：MNO 控制暴露面，MVNE 验证用户状态，MVNO 确认所观察到的行为是否符合产品的商业意图。
变更窗口还必须覆盖用户激活及 OCS 配置以外的事项。其应包括筛查规则部署、回滚条件、漫游测试用例、告警调优，以及确认合法监听接口保留所需的可达性。对于多 IMSI 或多宿主方案，每个身份域均需单独的责任图谱。对于一个宿主 MNC/MCC 组合有效的策略，在流量经由另一宿主或漫游合作方转送时，可能并不安全或不合规。
漫游、MNP 与合法监听使策略成为生产控制
复杂情形始于用户身份、路由授权及法律管辖权出现分歧之处。漫游引入了国内上线团队通常不会另行评估的对手方。防火墙策略必须区分预期的漫游操作与异常请求，同时保留足够遥测数据以调查认证失败、位置及 SMS 路由事件。静态允许列表可支持初始测试，但无法为新增漫游路由、变更后的枢纽或营业时间外的紧急变更提供运营模型。
MNP 增加了另一层模糊性来源。携号转网改变了 MSISDN 分配与服务网络路由之间的关系。筛查逻辑和故障排查程序不得仅将号码段视为当前用户状态的证明。在仍使用 SRI-SM、路由查询或传统查询流程的场景中，这一点尤其重要。一项事务可能在语法上有效，却仍依赖于哪张网络为该用户提供服务的过时假设。
工作划分应当明确。MNO 定义允许的信令面、审批阈值及升级授权。MVNE 将有效用户记录与 HLR 或 HSS 状态及 MNP 数据进行核对。MVNO 应及时告知会改变预期国际使用、支持模式或身份选择的产品变更。不能仅从拥有客户品牌、宿主牌照或开通平台的一方，可靠地推断出这些职责。
一家 2023 年后成立、采用多 IMSI 架构的 Greenfield MVNO 遇到这一问题：独立身份域针对同一服务方案产生了不同的预期路由。针对主身份的成功测试，并不能验证次级宿主路径。有效的补救措施不是扩大例外范围，而是制定逐域测试计划，并将其关联至特定源网络、预期 MAP 操作、日志位置和事件联系人。
合法监听依赖项同样需要这种精确性。证据链应覆盖时间同步、对日志的受控或不可篡改访问、留存责任、导出程序，以及响应有效请求的指定授权方。各方应了解哪些记录能够证明源 GT、被查询身份、事务类型、筛查结果及后续规则变更。在监管机构或主管机关规定答复期限后，才去厘清这些细节并不可取。
务实的上线演练应同时采用负向测试和成功测试。其应包括：阻断未经授权的 MAP 请求、对未激活 IMSI 的查询、携号转网号码边界情形、来自未规划源的漫游流量，以及营业时间外的升级处置。目标不只是证明预期流量能够通过，而是证明被禁止的流量会被拒绝、证据仍然可用，并且当事件不符合既定脚本时，正确的责任方能够作出受控决策。
即使安全事件从未公开，其商业后果也可量化。责任不清会延长上线保障期，提高误报调查成本，并可能使 MNO 承担监管风险，却缺乏解决问题所需的租户数据。它还会产生争议风险：每一项延迟的例外请求都会引出一个问题，即宿主控制、MVNE 记录还是 MVNO 要求存在不完整之处。一份简明的责任附件可在开通开始前确定决策权，从而减少延误。
随着 MVNO 组合日益国际化、身份模型更加复杂，信令安全将从继承自宿主网络的底层配置，转变为明确的入网控制。在开通开始前分配决策权、证据义务及测试责任的 MNO 和 MVNE，将面临更少的上线延误和更清晰的事件问责。防火墙仍是宿主控制，但只有在各方均提供共享信令边界所要求的数据、授权和响应纪律时，其策略才能被安全运营。