SD-WAN组网方案：拓扑、链路选择与上线验收指南
简答：SD-WAN组网方案不是单纯购买设备，而是把分支、总部、数据中心和云资源纳入统一策略。先按业务重要性选择公网、专线、MPLS或5G组合，再确定拓扑、加密、选路和故障切换规则，最后用时延、丢包、切换和应用可用性验收。
定义：SD-WAN组网是通过集中控制和策略编排，把多个站点及不同承载链路连接成可管理、可调度的企业广域网。
先选方案：按站点规模和链路条件确定架构
本站与相关厂商无关联。SD-WAN组网的第一步不是选品牌或设备，而是确认站点数量、业务流向、云资源位置、现有链路和故障目标。公开资料通常将其描述为集中管理多类广域网链路，并通过策略进行路径选择和站点互联；例如华为云 SD-WAN 方案介绍列出了总部、分支、数据中心与云互联等典型关系。
| 场景 | 优先考虑的拓扑 | 链路组合思路 | 上线前重点确认 |
|---|---|---|---|
| 少量分支访问总部系统 | Hub-Spoke（中心—分支） | 互联网加密隧道，关键业务可叠加专线 | 总部Hub容量、分支出口和主备切换 |
| 多分支之间频繁互访 | Full-Mesh（全互联）或按需网状 | 公网、MPLS或专线按业务分层 | 隧道数量、路由规模和策略复杂度 |
| 总部、数据中心和公有云并存 | 分层组网 | 核心链路走专线或MPLS，普通流量走互联网 | 云侧路由、地址重叠和安全域边界 |
| 跨区域、跨运营商办公 | 区域Hub加冗余出口 | 互联网主用，专线或5G作为备份 | 区域时延、丢包、合规和运营商故障 |
最快的判断方法：把每个站点标成“总部、分支、数据中心、云、远程办公”之一，再画出业务访问方向。若主要是分支访问总部，先评估Hub-Spoke；若分支之间频繁协同，才考虑Full-Mesh或分层架构。
链路怎么配：公网、MPLS、专线和5G的取舍
SD-WAN不能消除底层链路质量差异。它能做的是把不同承载纳入统一策略，根据业务、路径质量和可用性进行调度。公开方案资料中常见的承载包括Internet、MPLS、专线和5G/LTE，但具体可用性要以当地运营商、站点位置和合同为准。
| 链路 | 适合用途 | 优势 | 需要验证 |
|---|---|---|---|
| 互联网 | 普通办公、SaaS、备份链路 | 开通灵活，扩容相对方便 | 高峰期时延、丢包、抖动和公网地址 |
| MPLS | 有明确质量要求的企业内网 | 运营商管理和路由边界较清晰 | 覆盖范围、开通周期、带宽和服务等级 |
| 专线 | 数据中心、云互联或关键业务 | 可提供更明确的路径和服务边界 | 两端接入、跨区域交付和故障响应 |
| 5G/LTE | 临时站点、移动场景和断网备份 | 部署快，适合做第二出口 | 信号、流量套餐、地址类型和长期稳定性 |
| 混合链路 | 关键与非关键业务分流 | 兼顾成本、冗余和业务优先级 | 选路阈值、回切规则和双链路真实效果 |
不要只比较带宽。方案报价通常还应拆开设备或虚拟网关、链路、控制器、部署、监控、故障响应和更换服务等项目；本次检索的公开页面未提供可直接横向比较的统一价格，因此不在本文编造价格或节省比例。
典型组网实施：从需求调研到上线验收
一套可执行的SD-WAN组网方案，建议按以下顺序推进。公开交付流程通常包含需求调研、方案设计、部署、联调、上线和持续运维；可参考深圳网通通信公开的 SD-WAN 交付流程，但其服务范围和指标不能直接推定适用于所有供应商。
- 盘点站点：记录总部、分支、数据中心、云区域、用户数量、出口带宽和现有设备。
- 梳理应用：区分ERP、文件、语音视频、SaaS、远程桌面和普通网页，标记关键业务与可延迟业务。
- 确认地址：整理各站点网段、VLAN、DNS、默认路由、云侧网段及可能的地址重叠。
- 定义安全边界：明确哪些流量需要IPsec（加密隧道）、哪些站点需要防火墙、哪些部门需要分段隔离。
- 设计链路策略：写清主链路、备链路、质量阈值、业务优先级、故障切换和恢复后的回切规则。
- 小范围试点：先选择一个总部、两个分支和一个云资源进行联调，避免一次性切换全部站点。
- 上线验收：分别测试正常访问、主链路中断、链路抖动、设备重启、云侧路由变化和权限策略。
验收记录至少应包含测试时间、源站点、目标站点、应用、链路、时延、丢包、抖动、切换耗时、日志位置和最终结论。没有基线数据时，不应直接把“感觉变快”写成稳定性结论。
智能选路和高可用：必须把规则写成可测试条件
智能选路不是“自动选择最快线路”这么简单。应把业务优先级、目标地址、链路质量和切换动作写成明确规则。例如，视频会议可以优先选择抖动较低的链路；普通同步任务可以使用成本较低的互联网；主链路连续异常时切换到备链路，恢复后是否自动回切则应单独定义。
- 设备冗余：总部或核心站点考虑双设备、双电源或备用设备，并验证状态同步。
- 链路冗余：主用互联网与备用专线、MPLS或5G应尽量避免完全依赖同一运营商和同一路径。
- 控制面冗余：确认控制器不可用时，已建立的业务转发和策略是否继续工作。
- 区域冗余：跨区域业务可设置主备Hub，但要测试路由收敛、会话保持和回切影响。
- 日志可见性：至少能查看隧道状态、链路质量、策略命中、路由变化和设备告警。
不要直接采用供应商页面中的“零丢包”“毫秒级收敛”等宣传表述作为验收结果。此类指标必须明确测试拓扑、流量类型、时间窗口和采样方式；如果没有可复现记录，应标为待验证。
跨区域与跨境办公：先核对时延、丢包和合规边界
跨区域网络设计应按业务位置划分区域，而不是只按国家或城市罗列节点。建议分别确认办公用户所在区域、应用所在区域、数据存储位置和运维人员所在位置，再决定是否需要区域Hub、云互联或本地出口。
- 时延：分别在办公高峰和非高峰测试用户到应用、分支到总部、分支到云的往返时延。
- 丢包与抖动：视频会议、语音和远程桌面对抖动更敏感，应单独记录，不要只看平均延迟。
- 加密：明确站点到站点、站点到云和远程用户连接是否使用加密隧道，并核对密钥和证书生命周期。
- 访问控制：用最小权限划分办公、生产、访客和管理网络，避免所有站点默认全互通。
- 合规：涉及跨境数据传输、日志留存和远程运维时，遵守所在地法律与服务条款，并让法务或安全团队确认边界。
公开托管型SD-WAN资料也会把集中控制、云安全、VPN、网络分段和多地点连接作为常见能力，但具体实现依赖产品、设备和服务合同，可参考Comcast Business 对托管型 SD-WAN 的公开说明。
成本与供应商评估：用总拥有成本而不是单价比较
SD-WAN报价至少应要求供应商逐项列明：边缘设备或虚拟网关、控制器许可、站点开通、互联网或专线链路、云接入、安装实施、监控告警、备件更换、故障响应和续费规则。不同方案的计费单位可能是站点、设备、带宽、并发隧道、流量或服务周期，不能把不同口径直接相加。
| 评估项 | 需要供应商书面回答 |
|---|---|
| 网络范围 | 覆盖哪些区域、运营商和云平台，哪些部分由客户自行采购 |
| 设备与兼容性 | 支持硬件、虚拟网关、云镜像、现有防火墙和路由协议的范围 |
| 性能口径 | 带宽、并发会话、隧道数、加密性能和日志保留周期如何定义 |
| 高可用 | 双设备、双链路、主备控制器和故障切换分别如何实现 |
| 服务边界 | 谁负责链路、设备、配置、监控、告警、现场维护和故障升级 |
| 验收与退出 | 测试指标、失败重试、数据导出、配置备份和终止后的迁移方式 |
如果供应商只给“更快、更稳定、全球覆盖”等结论，却不提供测试条件、服务边界和故障处理流程，应把这些内容列为未核实，而不是纳入方案承诺。
上线后的排障清单：先判断是链路、隧道还是业务策略
遇到“连不上、变慢或偶发中断”时，可按三层排查，避免一开始就重装设备或修改全部策略。
- 底层链路：确认接口是否在线，分别测试网关、运营商下一跳和目标地址，记录时延、丢包与抖动。
- 隧道与路由：检查IPsec或其他隧道状态、两端地址、加密参数、路由表和策略命中情况。
- 应用与权限：核对DNS解析、端口访问、访问控制、MTU（最大传输单元）和应用自身超时设置。
- 切换与回切：断开主链路，观察业务是否切到备链路；恢复主链路后记录是否自动回切以及是否出现会话中断。
建议保留一份可复制的记录：时间、站点、用户、应用、源目的地址、当前链路、隧道状态、DNS结果、MTU、时延、丢包、日志编号和处理动作。这样才能区分单站点故障、区域故障和全局策略问题。
常见问题
SD-WAN组网方案适合哪些企业？
更适合有多个分支、跨区域办公、多云访问或需要集中运维的企业。单一办公室、业务流量很少且没有冗余需求时，传统路由或VPN可能更简单。
SD-WAN一定比MPLS便宜吗？
不能直接下结论。成本取决于站点数量、带宽、设备、控制器、专线、5G备份、部署和托管服务。应按同一服务边界比较总拥有成本，而不是只比较链路单价。
SD-WAN能否完全替代专线？
不一定。互联网可以承担普通办公或备份流量，但对有明确时延、丢包、路径或服务等级要求的业务，仍可能需要MPLS、专线或其他确定性承载。
Hub-Spoke和Full-Mesh怎么选？
分支主要访问总部或数据中心时，Hub-Spoke通常更容易管理；分支之间有大量直接通信时，可考虑Full-Mesh或分层架构，但要评估隧道数量、路由规模和策略维护成本。
SD-WAN是否自带防火墙和加密？
有些方案把IPsec、访问控制、网络分段或云安全纳入产品能力，有些则依赖独立防火墙或云安全服务。采购前应逐项确认支持范围、配置方式和日志留存。
怎样证明故障切换真的有效？
至少在试点环境测试主链路中断、链路抖动、设备重启和云侧路由变化，并记录切换耗时、应用是否中断、会话是否保持以及恢复后的回切行为。
跨境办公选SD-WAN时最容易漏掉什么？
常见遗漏包括区域时延和丢包基线、数据传输合规、日志位置、运营商故障边界、地址重叠、云侧路由以及谁负责现场和远程故障处理。