SD-WAN 出口怎么规划？集中式、本地与混合出口选择指南
简答：SD-WAN 出口规划没有统一答案：需要高度集中安全策略时，优先评估集中式出口；分支大量访问云应用、视频会议和普通 Web 时，优先评估本地互联网出口；同时存在内部系统、敏感业务和云流量时，通常应先设计混合分流。最快的做法是按业务目的地、访问路径、安全控制点和故障域分类，再用试点数据验证，而不是只比较线路带宽。本文按 facts.today 已检索资料整理。
定义：SD-WAN 互联网出口规划，是根据业务流量的目的地、访问路径、安全控制点和链路质量，决定互联网流量从总部、区域节点还是分支本地出网，并设计分流、主备和故障回退策略。
先给结论：3 分钟判断出口架构
如果你正在规划多分支网络，先不要直接选择“总部集中”或“分支本地”，应先画出不同业务的实际路径。MEF 将 SD-WAN 服务拆分为边缘、虚连接和底层连接等组成部分，说明出口位置、隧道和底层线路需要作为一个整体设计。MEF 3.0 SD-WAN 服务白皮书
- 优先评估集中式出口：分支数量较少，互联网访问需要统一经过防火墙、DNS、日志和审计节点，且总部或区域 Hub 有足够汇聚带宽。
- 优先评估本地互联网出口：分支大量使用云 SaaS、视频会议或普通 Web，回总部访问互联网会形成明显绕行或占用总部出口。
- 优先评估混合分流：跨分支、ERP、敏感业务走受控的集中路径，云应用、视频会议和普通 Web 按规则从本地出口访问。
- 无论采用哪种架构：都要核验 ISP、最后一公里、POP 覆盖、回程路径、IPv4/IPv6、NAT、丢包和主备切换，不能只看标称带宽。
思科资料将应用识别、流量可视化、链路负载、QoS、防火墙和互联网访问放在 SD-WAN 场景中共同讨论，因此出口位置应与安全策略和链路选路一起规划。Cisco SD-WAN 场景与架构资料
集中式、本地与混合出口对比
下面的表格用于初步决策，不代表任何一种架构在所有企业中都更好。最终方案还要结合站点数量、云应用比例、内部系统位置、安全要求和现网链路质量。
| 架构 | 典型流量路径 | 主要优点 | 主要限制 | 适合场景 |
|---|---|---|---|---|
| 集中式出口 | 分支经 SD-WAN 隧道汇聚到总部或区域 Hub，再访问互联网 | 防火墙、DNS、日志、NAT 和访问策略更容易统一；出口数量较少，运维集中 | 总部出口和汇聚链路可能成为瓶颈；访问云服务可能绕行；中心节点故障影响范围较大 | 安全策略集中、分支较少、业务主要访问总部或区域数据中心 |
| 本地互联网出口 | 分支直接通过本地 ISP 访问互联网，站点互联仍走 SD-WAN | 减少回总部绕行；云应用和视频会议可就近访问；分支互联网流量不占用总部出口 | 每个分支都要处理防火墙、DNS、日志、NAT 和链路质量；策略一致性更难维护 | 分支分布广、云应用比例高、各地本地接入质量可验证 |
| 混合分流 | 按应用、目的网段、域名、用户或安全级别选择集中或本地出口 | 兼顾访问路径、统一管控和故障隔离；可以将关键业务与普通上网分开 | 策略设计、回程路径和故障排查更复杂；需要持续监控规则命中和链路指标 | 多云、多分支、跨地域办公，同时仍需保留集中安全体系 |
华为云的站点上网策略资料同时讨论集中上网、本地上网和按业务设计路径，可作为拓扑设计时的交叉参考。华为云站点上网策略设计
按业务流量决定从哪里出网
建议建立“业务—目的地—出口—安全控制—失败回退”表，先分类，再配置规则。以下是初始设计思路，实际域名、地址段、身份条件和合规要求仍需在现网复核。
| 业务类型 | 初始出口建议 | 设计理由 | 必须验证 |
|---|---|---|---|
| 云 SaaS、云控制台和普通 Web | 优先评估本地出口，保留集中回退 | 减少分支到总部再访问云端的绕行 | DNS 解析位置、云区域、回程路径、日志和策略命中 |
| 视频会议和实时协作 | 优先本地出口或质量更好的路径 | 实时业务更容易受到延迟、抖动和丢包影响 | 双向延迟、抖动、丢包、峰值时段和切换后的业务体验 |
| ERP、内部系统和跨分支访问 | 走 SD-WAN 站点互联或集中安全节点 | 目标通常是私有地址、数据中心或其他分支，不应误走普通互联网出口 | 路由优先级、隧道状态、回程路由、NAT 豁免和访问控制 |
| 敏感业务和受审计访问 | 优先集中出口或固定区域安全节点 | 便于统一防火墙、DNS、日志和变更审批 | 日志完整性、策略一致性、备用节点和故障期间的审计连续性 |
| 大文件、系统更新和普通下载 | 按带宽、时段和链路负载分流 | 避免占满集中出口或影响实时业务 | QoS、限速、队列、峰值并发和链路利用率 |
AWS 的官方资料展示了 SD-WAN、专线和云端虚拟设备组合使用的场景，也提到通过多个 POP 或设备实现冗余；但 POP 覆盖和路径质量必须按实际站点逐一核验。AWS 官方博客：SD-WAN 与专线混合组网
出口容量怎么规划：先算峰值，再做故障复算
出口容量不要简单按所有分支带宽相加。总部、区域 Hub 和分支应分别计算正常状态以及单链路、单设备或单节点故障状态下的峰值。
- 记录现网基线：统计用户数、在线设备数、业务类型、工作时段峰值、下载和上传方向，以及视频会议和云应用占比。
- 拆分流量类别：分开记录站点互联、互联网访问、云访问、备份更新和实时业务，避免内部业务被重复计入互联网出口。
- 估算业务峰值：可用“并发用户数 × 单用户峰值需求”作为起点，再叠加固定业务、更新任务和安全设备处理开销；系数应来自监控，不应直接当成保证值。
- 复算故障状态：模拟一条链路、一个出口设备、一个区域节点或一个 POP 不可用时，剩余出口是否仍能承载关键业务。
- 预留增长空间：将新增站点、云应用增长、视频流量和备份窗口纳入容量规划，具体比例应根据历史监控和采购周期确定。
集中式出口重点检查总部或区域 Hub 的汇聚带宽、并发会话、防火墙吞吐和故障域；本地出口重点检查各分支最后一公里、ISP 稳定性、设备处理能力和日志回传；混合架构则要同时检查两类容量。
实施步骤：从试点到上线验收
建议采用“小范围试点—对照测试—分批上线”的方式，不要一次性修改所有分支出口。
- 选择试点：选择一个业务类型典型、链路条件中等、不会影响全部办公的分支，并保留现有集中出口作为对照。
- 绘制路径：明确云应用、普通 Web、跨分支、ERP 和敏感业务分别经过哪里，标注防火墙、DNS、NAT、隧道和日志位置。
- 建立基线：在高峰和低峰分别记录延迟、抖动、丢包、DNS 响应、TCP/UDP 可达性、出口利用率和业务失败率。
- 先启用少量规则：优先选择容易验证的指定云应用或普通 Web 规则，保留默认回退路径；异常时能够快速撤销。
- 执行故障测试：断开主链路、关闭主出口或模拟隧道中断，确认是否切换到预期路径，并检查 NAT、DNS 和回程路由。
- 分批推广：按区域、业务重要性和链路条件上线，保留变更记录、旧配置备份和恢复步骤。
验收至少包括正常路径和备用路径、单链路故障、单设备故障、DNS 解析变化、IPv4/IPv6 行为、NAT 规则、日志可见性、策略命中、跨分支访问和高峰期链路利用率。
安全与运维：集中策略不等于所有流量集中出网
集中出口便于统一控制，但统一策略不一定要求所有流量都回总部。混合架构可以让分支本地出网，同时统一下发防火墙、DNS 安全、访问控制、日志字段和变更流程；前提是确认本地出口具备足够的控制能力，并且日志能够稳定回传。
- 明确设备职责：区分防火墙、路由器、SD-WAN Edge 和 NAT 的职责，避免策略重复或互相覆盖。
- 核验 DNS：记录解析器、分流规则、故障回退和缓存行为，排查云应用异常时不要只看隧道状态。
- 统一日志：关注出口、策略命中、DNS、隧道、链路切换和管理员变更记录，并确认时间同步。
- 划分故障域：集中出口关注中心节点故障影响范围，本地出口关注策略不一致和分支单点故障，混合出口关注规则误配。
- 准备回退：每条分流规则都应有备用路径、撤销方式和验证指标，避免出现链路已切换但业务仍不可访问的情况。
华为云的 SD-WAN 方案资料也将 Hub-Spoke、Mesh、分层组网以及单设备、多设备和多上行等因素纳入方案选择，说明出口架构不能脱离站点数量、互访需求和冗余设计单独决定。华为云 SD-WAN 方案介绍
最终决策清单：什么时候选哪一种
可以按以下顺序做最终判断：
- 如果关键流量大多需要统一审计、固定出口和集中防护，先设计集中式或区域集中式出口。
- 如果多数流量直接访问云服务、视频会议和普通 Web，且回总部会形成明显绕行，优先评估本地出口。
- 如果同时存在内部系统、敏感业务和大量云应用，优先设计混合分流，而不是强行二选一。
- 如果分支数量较多，先按区域设置 Hub 或安全节点，再决定哪些流量本地出网，避免全部分支依赖单一总部。
- 如果不同地点的链路质量差异很大，先做逐点基线和故障测试；SD-WAN 选路只能在可用的底层连接上发挥作用。
一句话总结：集中式出口优先解决统一控制，本地出口优先解决访问路径和总部汇聚压力，混合出口则用更高的策略复杂度换取两者之间的平衡。
常见问题
SD-WAN 出口应该集中在总部吗？
不一定。集中式出口便于统一防火墙、DNS、日志和访问策略，但可能让分支访问云服务时绕行，并增加总部汇聚压力。若分支云应用和视频会议流量较多，应评估本地出口或混合分流。
本地互联网出口会不会削弱安全策略？
可能增加策略一致性和日志回传难度，但本地出口不等于放弃统一安全。可以统一下发防火墙、DNS、访问控制和日志要求，同时逐站点验证策略是否实际命中；本地设备能力不足时，敏感业务可继续走集中安全节点。
集中式、本地出口和混合出口怎么测试？
先为每类业务记录正常路径、延迟、抖动、丢包、DNS 和出口利用率，再分别断开主链路、主设备或主要节点，确认是否切换到预期备用路径。测试后还要检查 NAT、回程路由、策略命中、日志和 IPv4/IPv6 行为。
多分支企业如何避免总部出口被打满？
先分离站点互联、云访问、普通 Web、备份更新和实时业务流量，再将适合就近访问的流量放到本地出口，并为更新和大文件设置时段或 QoS 控制。同时按故障状态复算总部和区域 Hub 的峰值容量。
跨地域部署时只看出口带宽够不够？
不够。还要核验本地 ISP、最后一公里、POP 覆盖、回程路径、丢包、抖动、DNS、NAT 和故障切换。不同地点的测试结果不能互相替代，建议先选择具有代表性的站点建立基线。