SD-WAN 设备怎么选：性能、并发与加密吞吐评估方法
简答：先统计站点带宽、峰值流量、业务类型、用户与隧道规模，再分别核对普通转发、IPsec 加密、应用识别、威胁防护和 SSL 检查吞吐。最后用与实际流量相同的包长、算法和功能组合压测，不能用单一标称吞吐直接决定型号。
定义：SD-WAN 设备选型，是把业务负载、隧道与会话规模、安全功能、接口形态和增长余量转换成可验证的设备容量要求。
先给结论：用四步法选，不要只看一个吞吐数字
如果你正在比较 SD-WAN 设备，最快的判断顺序是：先建模业务负载，再核对功能口径，然后做接近真实环境的压测，最后保留可解释的容量余量。设备数据表里的“最高吞吐”通常只代表某一种测试条件，不能自动等同于开启 IPsec、QoS、应用识别、日志或安全检查后的可用能力。
- 列出输入条件：站点类型、上下行链路、峰值与平均流量、用户数、并发会话、分支数量、总部汇聚方式和高可用结构。
- 分开看性能指标：普通转发、IPsec VPN、应用控制、威胁防护、SSL 检查和接口能力分别记录。
- 核对测试口径：包长、IMIX、加密算法、单向或双向、是否启用 QoS、DPI、日志和 IPS。
- 现场复测：至少覆盖单隧道、多个隧道、上下行同时满载和实际业务流量，并观察丢包、CPU、内存、会话和隧道状态。
厂商资料本身也通常把分支和 Hub 设备按用户数、吞吐、连接方式和冗余需求区分；例如 Fortinet 的选型资料同时列出 IPsec VPN、威胁防护、应用控制、SSL 检查、接口与连接形态，而不是只提供一个总吞吐值。可参考 Fortinet Secure SD-WAN Ordering Guide。
性能指标怎么区分：转发吞吐不等于加密吞吐
| 指标 | 它回答什么问题 | 选型时要核对什么 |
|---|---|---|
| 普通转发吞吐 | 设备在较少处理功能下能转发多少流量 | 包长、双向方式、是否含 NAT、是否含策略处理 |
| IPsec 吞吐 | 建立加密 Overlay 后能承载多少业务 | 加密算法、认证算法、包长、单隧道与聚合吞吐 |
| 应用识别或 DPI 吞吐 | 识别应用并执行策略时的处理能力 | 应用分类、策略数量、日志是否开启 |
| 威胁防护吞吐 | 启用 IPS、恶意软件或统一安全策略后的能力 | 启用的安全模块、流量类型、检测深度和日志 |
| SSL 检查吞吐 | 解密、检查并重新加密 HTTPS 流量时的能力 | HTTPS 会话类型、密码套件、证书处理和并发连接 |
| 隧道规模 | 设备能否承载规划中的 IPsec 或 Overlay 隧道 | 静态与动态隧道、Hub 汇聚、全互联或 Hub-Spoke 拓扑 |
| 会话规模 | 大量用户和短连接是否会耗尽状态表 | 并发会话、每秒新建会话、NAT 表和应用连接模式 |
一个官方数据表中的示例可以说明口径差异：Fortinet 同时列出 IPsec VPN、Threat Protection、Application Control 和 SSL Inspection 性能，并注明 IPsec 测试使用 AES256-SHA256，安全相关指标则包含日志或不同 HTTPS 密码套件等条件。这个例子只能用于理解指标关系，不能直接代表其他厂商或其他型号。
Cisco 的 Catalyst 8300 数据表也把 1400 字节和 IMIX 分开列出，并进一步列出启用 IPsec、QoS、DPI 和 Flexible NetFlow 的 IQDF 流量结果，同时给出 Overlay Tunnel scale。由此可以确认：包长和功能组合改变后，结果可能不是同一个数量级口径。可参考 Cisco Catalyst 8300 Series Edge Platforms Data Sheet。
一套可套用的容量计算方法
下面的计算是规划方法，不是某个厂商的统一标准。它的作用是先把需求变成测试目标，再向厂商索取同口径数据。
1. 估算业务峰值带宽
业务峰值 = 平均业务带宽 × 峰值系数 + 必须保障的实时业务带宽
平均值可以按监控中的忙时 5 分钟或 15 分钟数据统计；峰值系数需要根据业务波动实测设定。语音、视频会议、远程桌面、文件同步和备份不要混成一个“用户数乘以带宽”的粗略数字，应分别记录其并发和方向。
2. 把加密和安全功能纳入目标
如果大部分流量要走 IPsec，设备的核心筛选指标应是实际功能组合下的 IPsec 或安全吞吐，不是裸转发吞吐。若只有部分流量经过安全检查，应分别计算 Overlay、直接上网和安全检查流量，再确认设备能否同时处理。
可将初始目标写成：目标安全吞吐 ≥ 峰值业务带宽 ÷ 可接受利用率。这里的“可接受利用率”要由现场验证确定；把 70% 或 80% 当成固定行业标准并不严谨。对于业务波动明显、软件升级频繁或需要双机运行的环境，还要单独核对故障切换后的单设备承载能力。
3. 区分用户、会话、隧道和站点
- 用户数：人或终端的规模，不能直接等于流量。
- 并发会话：同一时间处于活动状态的连接数量，受浏览器、短连接、视频和应用行为影响。
- IPsec 隧道数：设备之间建立的加密通道数量，受 Hub-Spoke、部分网状或全互联设计影响。
- 站点数：门店、分支、区域中心或云节点数量，不能直接替代隧道数。
以全互联拓扑为例，隧道数量可能随节点数量快速增长；以 Hub-Spoke 为例，分支设备和 Hub 的隧道压力又不同。因此应按拓扑计算，而不是只问“支持多少分支”。Cisco 的 SD-WAN 设计资料明确建议同时考虑吞吐、持续活动隧道、VPN 分段和路由数量，并指出可通过 Hub-Spoke、部分网状或横向扩展控制规模，详见 Cisco Catalyst SD-WAN Design Guide。
按站点角色筛选：门店、普通分支、区域中心和总部
| 站点角色 | 重点指标 | 容易漏掉的条件 |
|---|---|---|
| 门店或小型办公室 | 稳定的 IPsec 吞吐、接口数量、双 WAN、蜂窝备份、设备管理 | 小包比例、断线重连、PoE/Wi-Fi/旁路需求 |
| 普通分支 | 加密吞吐、并发会话、应用策略、QoS、故障切换 | 视频会议高峰、日志开关、多个本地出口 |
| 区域中心 | 多分支汇聚、隧道数、路由和 VPN 分段、冗余电源 | Hub 聚合流量、动态隧道、故障时流量集中 |
| 总部或云节点 | 聚合 IPsec 吞吐、隧道规模、接口速率、横向扩展和高可用 | 单设备故障后的承载、东西向流量、跨区域链路 |
不要把“分支设备够用”推导成“总部 Hub 也够用”。Fortinet 的选型资料把 Branch 和 Hub 分开列出，例如 Hub 部分额外列出最大 IPsec 隧道数量；Cisco 的设计资料也强调总部或数据中心需要根据吞吐和隧道规模进行分组与横向扩展。对于总部，优先确认故障场景下的聚合能力，而不是只看正常状态的峰值。
验收压测怎么做：从规格表到可复现结果
- 固定测试拓扑：记录设备型号、软件版本、接口速率、链路类型、对端设备、拓扑和是否双机。
- 固定加密条件：记录 IKE/IPsec 参数、加密算法、认证算法、隧道数量和每隧道带宽。Cisco 的安全配置资料说明，SD-WAN 数据面使用 IPsec，具体算法和配置会影响实际验证条件，可参考 Cisco Catalyst SD-WAN Security Configuration Guide。
- 先测基线：关闭非必要功能，分别测大包、混合包长、单向和双向流量，确认基础转发能力。
- 再逐项叠加：按实际计划依次开启 IPsec、QoS、应用识别、日志、IPS、SSL 检查和 NAT，记录吞吐、延迟、丢包、CPU、内存、会话和隧道状态。
- 测试单隧道与聚合：先验证单隧道上限，再逐步增加隧道数，观察总吞吐是否下降、是否出现不均衡或控制面异常。
- 测试故障场景：断开主链路、单隧道、单设备或单 Hub，观察业务恢复时间、回切行为和故障后剩余设备的利用率。
- 形成验收表：把测试条件、目标值、实测值、余量、异常日志和结论全部保存，避免只保留厂商截图。
如果厂商只提供最高吞吐，没有提供与你的包长、算法和功能组合一致的结果，应把该参数标记为“参考值”，要求现场测试或书面确认，不要把它改写成保证值。
购买前的容量与兼容性清单
- 站点数量、分支角色、总部 Hub 数量和是否需要云节点。
- 平均、忙时、峰值带宽，以及上行和下行是否对称。
- IPsec 隧道总数、每站点隧道数、动态隧道和全互联需求。
- 并发会话、每秒新建会话、NAT、路由数量和 VPN 分段数量。
- 实际会启用的 QoS、应用识别、日志、IPS、恶意软件防护和 SSL 检查。
- 接口数量、1G/10G/25G/更高速率需求、SFP 或 RJ45、PoE、蜂窝链路和旁路要求。
- 高可用模式下，单设备故障时是否仍能承载关键业务。
- 设备软件版本、控制器兼容性、许可证或订阅依赖，以及三年内升级影响。
- 至少设置一个增长情景，记录新增分支、带宽增长和安全功能增加后的重新测试条件。
性能余量可以先用“业务峰值之上保留一段可解释空间”作为规划假设，但不要把 20% 或 30% 当作普遍适用的官方标准。更稳妥的做法是根据监控峰值、故障切换结果、软件升级计划和业务增长情景反推余量，并在验收中验证。
常见误区：哪些参数不能直接横向比较
- 把大包吞吐和 IMIX 吞吐混比：包长不同，结果不能直接排名。
- 把裸转发和 IPsec 吞吐混比：一个没有加密处理，另一个包含加密和封装。
- 把 IPsec 吞吐和威胁防护吞吐混比：安全检测、日志和应用识别可能改变处理路径。
- 只看单隧道：多隧道、Hub 汇聚和高并发会暴露不同瓶颈。
- 忽略双向流量：下载、上传和东西向流量组合可能比单向测试更接近实际。
- 忽略授权和软件版本：某些功能或吞吐档位可能依赖许可、订阅或特定版本，必须以当前型号资料和采购清单核对。
常见问题
SD-WAN 设备是不是看标称吞吐越大越好？
不是。应先看与你的业务最接近的 IPsec 或安全功能吞吐，再核对隧道、会话、接口和故障场景。最高转发吞吐如果没有对应测试条件，只能作为初筛参考。
并发用户数和并发会话数有什么区别？
用户数是人或终端规模，并发会话数是同一时刻处于活动状态的连接数量。一个用户可能同时产生多个会话，因此不能用用户数直接替代会话容量。
IPsec 吞吐为什么可能比普通转发吞吐低？
IPsec 需要执行封装、加密、认证和解密；如果同时启用 QoS、应用识别、日志或安全检测，处理路径还会增加。具体差异必须以同一型号、同一算法和同一流量条件的测试为准。
总部 Hub 设备应该按分支数量购买吗？
不能只按分支数量。还要计算每个分支的隧道数、Hub 汇聚带宽、并发会话、路由和 VPN 分段，以及全互联或 Hub-Spoke 拓扑。故障时的流量集中也要纳入验收。
没有厂商现场压测条件时，怎么降低选型风险？
先把包长、算法、隧道数、功能组合、单向或双向流量写成测试条件，要求厂商提供同口径数据；无法对应时标记为待核实，并通过借测、试用或小规模 PoC 复测。