2.1 什么是SD-WAN？#

SD-WAN（Software-Defined Wide Area Network，软件定义广域网），核心思路是把SDN的”控制与转发分离”理念应用到广域网场景中。

简单说：传统广域网靠硬件路由器硬扛，SD-WAN靠软件智能调度。

它的本质是在多种物理链路（MPLS、互联网宽带、4G/5G）之上，构建一个统一的、软件定义的Overlay虚拟网络，通过集中控制器实现全局策略管理和智能流量调度。

2.2 SD-WAN vs 传统WAN#

直接看对比图：

核心差异一句话总结：传统WAN是”硬件定义、分散管理、专线独占”；SD-WAN是”软件定义、集中管控、多链路智能调度”。

2.3 SD-WAN vs SDN#

这是最容易混淆的两个概念，关键结论：

SD-WAN不是SDN的简单子集，而是SDN思想在广域网场景的延伸与扩展。

SD-WAN确实借鉴了SDN的核心理念，但它还包含了链路质量探测、应用智能选路、集成安全等专为广域网设计的特性，技术内涵比”SDN应用于WAN”更丰富。

3.1 三层平面架构#

SD-WAN的标准架构分为三个平面：

三个平面的职责分工：

• 管理平面：SD-WAN的”大脑控制台”，负责全网设备的配置管理、监控运维、策略编排。管理员通过它统一下发策略，不用再一台台登录设备配置。
• 控制平面：SD-WAN的”决策中枢”，负责路由计算、隧道管理、策略分发。它维护全网的拓扑信息和路由表，通过OMP（Overlay Management Protocol）协议与边缘设备交换路由信息。
• 数据平面：SD-WAN的”执行单元”，部署在各站点的CPE/边缘设备上，负责实际的流量转发、隧道封装、链路质量探测和安全加密。

3.2 Underlay与Overlay双层网络#

SD-WAN的另一个核心概念是双层网络架构——Underlay网络和Overlay网络。这个概念理解透了，后面的组网方案就都通了。

简单理解：

• Underlay网络就是底层的物理链路，不管是MPLS、宽带还是5G，它们的任务只有一个——提供IP连通性。
• Overlay网络是在物理链路之上通过隧道技术（IPsec、GRE、VXLAN等）构建的虚拟专网，SD-WAN的智能调度、应用优化都发生在这一层。

Underlay和Overlay的解耦设计，使得上层业务不依赖底层链路类型，可以灵活混用多种链路，这是SD-WAN能降低成本的根本原因。

4.1 智能选路：SD-WAN的核心竞争力#

智能选路是SD-WAN最核心的技术能力。它的工作原理可以概括为：持续探测 → 质量评估 → 策略匹配 → 动态调度。

四种主流选路模式：

1. 按应用选路：根据DPI识别的应用类型，匹配不同的SLA策略。比如语音走MPLS，视频走宽带，文件下载走最便宜的链路。
2. 按质量选路：实时监测各链路的时延、抖动、丢包率，当主链路质量下降到阈值以下时，自动切换到备用链路。
3. 按带宽负载选路：当主链路带宽利用率超过阈值（比如80%），将部分流量疏导到其他链路，避免拥塞。
4. 按成本选路：优先使用成本低的链路，只在质量不满足要求时才切换到高价链路。

智能选路的前提是链路质量实时探测（通常用BFD或类似机制），切换时间通常在毫秒级到秒级，保证业务不中断。

4.2 零接触部署（ZTP）#

零接触部署（Zero Touch Provisioning）是SD-WAN的另一大亮点。

传统方式下，新分支开通需要工程师现场配置路由器，少则几天多则几周。SD-WAN的CPE设备支持即插即用：设备上电后自动向控制器注册，下载配置文件，几分钟就能完成部署。

ZTP工作流程：

1. CPE设备上电，通过DHCP获取IP地址
2. 设备向vBond/编排器发起注册请求
3. 编排器验证设备证书（序列号+证书绑定）
4. 认证通过后下发配置模板
5. 设备自动建立隧道，加入Overlay网络

4.3 应用识别与QoS#

SD-WAN通过DPI（深度包检测）技术识别上千种应用，基于应用类型做精细化的QoS策略：

• 实时类应用（语音、视频会议）：低时延、低抖动保障，优先调度
• 交互类应用（ERP、OA）：带宽保障，避免被大流量挤占
• 下载类应用（文件传输、备份）：限速处理，空闲时段放开
• 默认类应用：尽力而为，利用剩余带宽

5.1 Hub-Spoke（星型）组网#

Hub-Spoke是最经典、最常用的SD-WAN组网模式，适合总部-分支型企业。

Hub-Spoke特点：

• 所有分支之间的流量都经过Hub节点中转
• 策略集中在Hub节点管控，安全策略统一部署
• 分支节点配置简单，即插即用
• 适合分支访问总部业务系统为主的场景
• 设计要点：Hub节点需要做双机冗余，避免单点故障

5.2 Full Mesh（全互联）组网#

Full Mesh组网中，所有站点之间都建立直接的隧道连接，不需要中转。

特点：

• 任意两点之间直接通信，延迟最低
• 适合分支之间有大量互访流量的场景
• 但隧道数量随节点数呈N²增长，规模大时管理复杂

计算公式：n个节点的Full Mesh网络，隧道数 = n × (n-1) / 2

比如10个分支就是45条隧道，100个分支就是4950条隧道——这也是为什么大规模网络通常不采用纯Full Mesh的原因。实际项目中更常见的是分层组网：区域内Full Mesh，区域间通过Hub中转。

5.3 混合组网：MPLS + 互联网 + 5G#

这是目前企业最主流的SD-WAN落地方式。核心思路是：关键业务走MPLS保障质量，普通业务走互联网降本，5G做备份链路。

混合组网的设计要点：

1. 链路选型原则

   • 核心业务（ERP、财务、语音）：MPLS专线为主，保障SLA
   • 普通办公（网页、邮件、文件传输）：互联网宽带为主，降本增效
   • 备份链路：4G/5G无线，应对物理链路故障

2. 流量调度策略

   • 基于应用识别的智能选路（DPI+应用特征库）
   • 基于链路质量的动态切换（时延/抖动/丢包率阈值）
   • 基于带宽利用率的负载分担（避免单链路拥塞）

3. 安全设计

   • 所有Overlay隧道端到端IPsec加密
   • 分支节点集成状态防火墙
   • 集中安全策略统一下发

4. 高可用设计

   • 双Hub节点冗余（主备/负载分担）
   • 多链路故障自动切换
   • 控制器集群部署（避免单点故障）

5.4 云接入场景：SD-WAN + 多云互联#

随着企业上云，SD-WAN的另一个重要场景是多云接入。传统方式下，分支访问SaaS应用要先回传到总部再出去，绕路严重。SD-WAN可以实现本地分流（Local Breakout） ，让SaaS流量直接从分支出去，不占用专线带宽。

云接入方案要点：

• 本地互联网直接访问SaaS应用，减少回传延迟
• 对Office 365、钉钉等主流SaaS做专门的路径优化
• 通过云网关（Cloud Gateway）接入公有云VPC
• 支持多云之间的智能调度

6.1 选型考量#

企业在选择SD-WAN方案时，需要关注以下几个维度：

• 设备形态：硬件CPE vs 虚拟CPE（vCPE）vs 白盒设备
• 控制器部署：公有云托管 vs 私有部署 vs 混合部署
• 协议支持：是否支持IPsec、GRE、VXLAN等主流隧道协议
• 应用识别库：DPI特征库的覆盖范围和更新频率
• 安全能力：内置防火墙、IPS、URL过滤、零信任接入
• 运维体验：GUI界面友好度、API开放程度、告警机制

6.2 实施步骤#

1. 现状评估：梳理现有网络拓扑、链路质量、业务流量模型
2. 方案设计：确定组网模式、链路选型、安全策略
3. 试点验证：选择1-2个分支做POC测试，验证选路效果和稳定性
4. 分批迁移：按区域逐步迁移，避免一次性切换风险
5. 运维优化：基于监控数据持续调优选路策略和阈值

6.3 常见坑点#

• 链路质量探测过于敏感：导致频繁切换，反而影响业务稳定性。建议设置滞回阈值，切换后保持一段时间再评估。
• DPI识别不准：加密流量越来越多，纯DPI识别率下降。建议结合SNI、域名、端口等多维度识别。
• Hub节点带宽瓶颈：所有分支流量都过Hub，容易成为瓶颈。建议做带宽规划，必要时升级或增加Hub节点。
• 安全策略不一致：分支本地分流后，安全边界从总部扩展到每个分支，需要统一安全策略。