SD-WAN 延迟高怎么办：按链路、隧道与应用定位修复
简答：SD-WAN 延迟高，先确认测到的是探针、隧道还是应用实际响应时间，再分别检查链路拥塞、路径选择、MTU、DNS 和目的端服务。最快做法是记录源地址、目的地址、时间段和受影响应用，交叉对比 ping、traceroute、隧道健康度与接口利用率，避免只看一个面板就改策略。
定义：SD-WAN 延迟是数据包或应用请求从源端到目的端所需的时间，但不同设备可能分别显示探针、隧道、往返或应用响应延迟。
先做这一步：判断是哪一种延迟高
如果用户反馈“远程桌面卡”“云应用打开慢”或“分支互访变慢”，先不要直接调整 SD-WAN 阈值。SD-WAN 控制器显示的探针延迟，可能只是 ICMP 探测包的往返表现，不一定等于实际业务流量的延迟。Palo Alto 的排障资料明确区分了探针指标与实际流量体验，并说明探针指标可用于触发路径健康状态变化。
建议先把同一时间段的四类数据放在一起：探针延迟、隧道延迟、底层链路状态和应用响应时间。若只有探针升高，先核对探测目标与路径；若隧道和探针同时升高，重点查链路、拥塞或路径绕行；若网络指标正常但单一应用变慢，继续检查 DNS、目的端服务和应用本身。
| 现象 | 优先检查 | 不要先做的事 |
|---|---|---|
| 所有应用、所有分支都变慢 | 出口带宽、ISP、核心链路、全局路径变化 | 不要先只调一个应用策略 |
| 只有一个站点变慢 | 该站点 underlay（底层承载）、接口利用率、隧道健康度 | 不要先归因于云服务 |
| 只有一个应用变慢 | 源/目的地址、应用路径、DNS、目的端响应时间 | 不要只看整体 WAN 平均值 |
| 探针高但业务暂时正常 | 探测目标、探针统计窗口、阈值与路径切换事件 | 不要立即扩大所有阈值 |
按“现象—验证—修复”排查链路和路径
1. 固定故障范围
记录发生时间、源站点、目的站点或云区域、受影响应用、源 IP、目的 IP、出口接口和当前选路。应用特定的问题，优先从应用视图或 DPI（深度包检测）中取得源、目的地址。Cisco 的 SD-WAN 文档将源 IP、目的 IP 和应用信息列为起始资料，并建议用流量模拟查看下一跳。
2. 验证底层链路
查看 WAN 接口的利用率、丢包、错误计数、协商速率和事件日志。高峰期持续接近带宽上限时，队列排队会让延迟和抖动一起升高；这时应先确认带宽配置、流量整形和大流量业务，再决定是否限速或调整 QoS（服务质量）。Meraki 的官方排障资料把 ISP 问题、VPN 高延迟和上行链路饱和分别列出，并建议结合 WAN 健康、事件日志和应用性能数据判断。
3. 验证路径是否绕行
对同一源地址和目的地址分别执行 ping 与 traceroute，并在控制器中查看模拟流、应用路由或路径选择记录。如果路径从直连变成中转、跨区域或不同运营商互联，延迟升高可能来自实际路径变长，而不是设备故障。修复时应优先确认备用线路是否真的更短、更稳定，再调整应用策略或链路优先级。
4. 对照隧道健康度
隧道健康度应与底层接口数据一起看。Cisco 文档中的 Tunnel Health 可查看数据流量、抖动、丢包和延迟等指标；如果隧道异常但物理接口正常，继续检查加密端点、控制连接、MTU 和重传。不同厂商的菜单与命令可能不同，本文按 2026-10 界面资料核对，实际名称应以设备版本为准。
延迟持续偏高时，检查 MTU、DNS 与应用响应
MTU 与分片
MTU（最大传输单元）过大时，隧道封装后的数据包可能需要分片或被丢弃，常见表现是网页部分加载、文件传输慢、特定应用连接不稳定，而简单 ping 可能看不出问题。先确认隧道封装方式、路径 MTU 和是否启用 MSS（最大报文段大小）调整，再用逐步减小报文长度的方式验证。具体数值不要直接照搬其他厂商配置，应以设备文档、抓包和实际路径测试为准。
ping <目的地址> -f -l <报文长度>上面的 Windows 命令用于禁止分片并测试指定长度；参数和可用选项可能因系统不同而变化。若较大报文失败、小报文正常，应继续检查隧道封装、ICMP 过滤和路径 MTU，而不是仅凭一次失败就下结论。
DNS 与目的端响应
如果只有域名访问慢、直接访问已知地址较快，应分别记录 DNS 查询耗时、解析结果、应用建立连接耗时和首字节时间。DNS 解析到了较远区域、备用节点或不适合当前出口的位置，可能造成“网络延迟正常但应用打开慢”。同时要注意，目的端服务处理时间不属于 SD-WAN 链路延迟，不能仅靠切换 WAN 线路解决。
加密与设备资源
检查设备 CPU、内存、加密会话数、接口队列和丢弃计数。如果只有加密隧道流量异常，而同接口的明文或低负载流量正常，应核对加密性能、会话规模和设备许可限制。不要把 CPU 突增与线路延迟直接等同，最好用同一时间段的接口、隧道和应用记录交叉验证。
检查 SD-WAN 阈值、选路和路径切换记录
SD-WAN 通常会依据延迟、抖动和丢包阈值判断路径健康，并可能把流量切换到其他路径。阈值过严，可能造成频繁切换；阈值过松，则可能让应用继续使用质量不佳的线路。Palo Alto 的官方文档提供了查看路径质量、策略规则、事件和路径监控统计的方式，并特别说明不同时间窗口可能分别显示实时值与当前使用值。
排查时按以下顺序核对：
- 应用命中了哪条 SD-WAN 策略。
- 该策略配置了哪些延迟、抖动和丢包条件。
- 实际流量使用了哪个隧道或出口接口。
- 路径切换发生在什么时候，切换前后的指标是什么。
- 切换后应用是否真的改善，还是只是从延迟问题变成丢包或抖动问题。
> show sdwan connection all
> show sdwan event
> show sdwan path-monitor stats vif <sdwan-interface-name>
> show sdwan session path-select session-id <session-id>以上命令来自 Palo Alto 的 SD-WAN CLI 文档示例，只有对应产品和权限环境才能直接使用；其他厂商不要照抄命令。Cisco 环境可使用 vManage 的 Simulate Flows、Ping、Traceroute、Tunnel Health、App Route Visualization 和 Packet Capture 等工具。
可复制的稳定性自测与升级资料模板
没有独立数据时，不能仅凭一次测速判断线路是否稳定。建议在工作日高峰、非高峰和问题复现时段分别采样，每个时段使用相同源端、目的端和测试方式，并同时记录延迟、抖动、丢包、路径和应用结果。阈值应根据业务需求、历史基线和厂商策略定义，不要把本文示例当作统一合格线。
测试日期：2026-10-26
测试时段：
源站点 / 设备：
目的站点 / 云区域 / 应用：
源 IP：
目的 IP：
出口接口 / 隧道：
测试工具：
平均 RTT：
最大 RTT：
抖动：
丢包率：
traceroute 关键跳：
接口利用率：
CPU / 内存：
SD-WAN 策略与阈值：
路径切换时间：
应用实际响应：
复现次数：
采取的修复：
修复后结果：提交给运营商或设备厂商时，至少附上问题时间段、源/目的地址、受影响应用、接口和隧道名称、ping 与 traceroute、路径切换事件、接口利用率、丢包或错误计数，以及修复前后的对照结果。Cisco 文档还建议结合控制连接、接口统计和抓包信息；Palo Alto 文档则建议查看路径监控、会话路径和 SD-WAN 事件。
若多网络、多设备对照后仅目标服务异常，可考虑已公开主体信息的服务；同时应遵守所在地法律与服务条款。
常见问题
SD-WAN 延迟高但 ping 正常，为什么？
可能是应用响应、DNS、隧道封装、TCP 重传或目的端处理时间较高。应把 ping 结果与应用请求耗时、隧道健康度和抓包结果对照，不能只用 ping 判断业务体验。
延迟高时应该先切换线路吗？
只有在备用路径的质量已有证据支持时才建议切换。先记录当前路径、备用路径的延迟、抖动和丢包，再进行短时验证，并保留回滚配置。
为什么 SD-WAN 会频繁切换路径？
常见原因包括阈值过严、链路质量在阈值附近波动、探针目标不稳定或多个路径指标接近。应查看路径切换事件和策略阈值，再考虑增加观察窗口或调整策略。
MTU 问题一定会表现为所有网站都打不开吗？
不一定。MTU 问题可能只影响大报文、特定隧道、文件传输或需要较大响应包的应用。应使用禁止分片的测试和抓包验证，并检查 MSS、隧道封装和路径设备。
跨境办公场景延迟高，能只看本地出口吗？
不能。还要检查跨运营商互联、目的区域、绕行路径、隧道端点和目的端服务响应。建议分别记录本地到隧道端点、隧道到目标区域以及应用实际请求的时间。
不同厂商的 SD-WAN 命令可以通用吗？
不能。本文的 CLI 示例仅用于说明证据类型，命令、菜单和统计窗口需按具体厂商与版本核对。没有对应设备文档支持时，不要直接在生产设备执行。
常见问题
SD-WAN 延迟高但 ping 正常，为什么？
可能是应用响应、DNS、隧道封装、TCP 重传或目的端处理时间较高。应把 ping 结果与应用请求耗时、隧道健康度和抓包结果对照。
延迟高时应该先切换线路吗？
只有在备用路径质量已有对照证据时才建议切换。先记录当前与备用路径的延迟、抖动和丢包，再进行短时验证并保留回滚配置。
为什么 SD-WAN 会频繁切换路径？
常见原因是阈值过严、链路质量在阈值附近波动、探针目标不稳定或多个路径指标接近。应先查看路径切换事件和策略阈值。
MTU 问题一定会表现为所有网站都打不开吗？
不一定。它可能只影响大报文、特定隧道、文件传输或较大响应包，需要使用禁止分片测试和抓包验证。
跨境办公场景延迟高，能只看本地出口吗？
不能。还要检查跨运营商互联、目的区域、绕行路径、隧道端点和目的端服务响应。
不同厂商的 SD-WAN 命令可以通用吗？
不能。命令、菜单和统计窗口需要按具体厂商与版本核对，本文示例不能直接套用于其他设备。
相关阅读
- SD-WAN 如何提高网络稳定性：多链路、智能选路与验收方法
- SD-WAN 多线路融合怎么实现？带宽叠加与验收方法
- SD-WAN组网方案：拓扑、链路选择与上线验收指南
- SD-WAN 和 MPLS 区别：成本、可靠性与选型对比
参考资料
- Palo Alto Networks：How to Troubleshoot SD-WAN Latency, Jitter, and Packet Loss，页面标注最后修改于 2025 年 12 月 10 日
- Palo Alto Networks：SD-WAN Troubleshooting CLI 文档
- Cisco：Troubleshoot Network Latency in SDWAN，页面标注更新于 2022 年 5 月 31 日
- Cisco Meraki：Dashboard Alerts - Insight
- Broadcom：Troubleshooting SD-WAN Performance Problems，日期标注为 2023 年 5 月 22 日