SD-WAN Overlay 和 Underlay 区别：隧道与底层网络怎么配合
简答：一句话结论：Underlay 是提供基础 IP 可达性的底层承载网络，Overlay 是建立在其上的逻辑网络和隧道体系。配置 SD-WAN 时应先确保各边缘设备通过 Internet、MPLS、宽带或蜂窝链路互通，再建立 IPsec 或 GRE 等隧道，最后通过 Overlay 路由和策略选择业务路径。隧道不通时，先查 Underlay，不要先改业务路由。
定义：Underlay 是承载设备之间基础 IP 通信的物理或运营商网络；Overlay 是利用隧道、封装和逻辑路由建立在 Underlay 之上的虚拟网络。
先看结论：Overlay 和 Underlay 怎么分工
可以把 SD-WAN 理解成两层：Underlay 负责“能不能到达对端设备”，Overlay 负责“业务应该通过哪条逻辑路径到达对端网络”。Cisco 将 Underlay 定义为连接 SD-WAN 端点并提供基础 IP 可达性的物理或运营商网络，常见承载包括 Internet、MPLS、宽带和蜂窝网络；Overlay 则通过跨越 Underlay 的隧道承载企业业务流量。Cisco SD-WAN 术语说明
| 对比项 | Underlay 底层网络 | Overlay 叠加网络 |
|---|---|---|
| 主要职责 | 提供边缘设备之间的基础 IP 可达性 | 提供站点、业务网段和应用之间的逻辑连接 |
| 常见组成 | Internet、MPLS、专线、宽带、4G/5G、路由器、防火墙 | IPsec、GRE 等隧道、逻辑拓扑、VRF/VPN、Overlay 路由和策略 |
| 关注对象 | 接口地址、网关、默认路由、BGP/OSPF、NAT、防火墙 | 隧道状态、路由发布、路径质量、应用策略和业务可达性 |
| 故障表现 | 对端公网或传输地址不可达，隧道通常无法建立 | 隧道已建立，但业务网段不可达、选路不符合预期或应用质量下降 |
| 配置顺序 | 先配置并验证 | 在 Underlay 可达后再建立和验证 |
华为的公开技术说明也指出，Overlay 建立在 Underlay 之上，报文在发送时会增加外层 IP 头和隧道头，到达远端后再去除外层封装并还原原始报文。华为 Overlay 网络百科
一条业务报文如何穿过两层网络
- 业务侧产生原始报文：例如分支办公网访问总部应用，原始报文的源地址和目的地址属于企业业务网段。
- Overlay 选择逻辑路径：边缘设备根据已学习到的远端业务前缀、隧道状态、应用策略以及时延、丢包和抖动等指标，决定使用哪条 Overlay 隧道。
- 添加外层封装：设备把原始业务报文封装进 IPsec 或 GRE 等隧道。外层源地址和目的地址通常是两端边缘设备在 Underlay 中可达的地址。
- Underlay 负责转发：运营商网络、Internet、MPLS 或本地路由设备只需要根据外层地址转发报文，不必理解企业内部的业务网段。
- 远端解封装：远端边缘设备收到外层报文后完成校验、解密或解封装，再依据业务侧路由把原始报文送往目标主机。
因此，Underlay 的默认路由或动态路由通常服务于传输地址、控制连接和隧道端点的可达性；Overlay 路由则服务于企业业务前缀。Cisco 的设计指南明确区分了这两类职责，并说明 Overlay 路由可通过控制平面交换前缀、传输位置和策略信息。Cisco Catalyst SD-WAN Design Guide
Internet、MPLS、专线和蜂窝链路分别处于哪一层
在 SD-WAN 架构中，Internet、MPLS、专线、企业宽带以及 4G/5G 通常都属于 Underlay 的候选承载。它们不是 Overlay 本身，而是为边缘设备之间建立控制连接和数据隧道提供基础通信条件。
- Internet 或宽带：常见于分支接入，成本和部署灵活性较高，但需要重点检查公网地址、NAT、防火墙和路径质量。
- MPLS：可以作为私有承载网络，边缘设备通过运营商网络获得对端传输地址的可达性；具体路由方式取决于运营商交付和现场设备边界。
- 专线：可作为点到点或专用承载，Underlay 的地址和路由通常更容易明确，但是否需要额外 Overlay 隧道要根据安全、隔离和统一管控要求判断。
- 4G/5G：可作为备链路或临时接入，实际可用性受运营商网络、地址类型、NAT 和无线覆盖影响，不能仅凭“链路已上线”判断业务质量。
单线路部署时，Underlay 只需为一条传输提供可达性；双线路或混合 MPLS+Internet 部署时，可以让多条 Underlay 同时承载不同 Overlay 隧道，再由 SD-WAN 的路径策略选择业务使用的隧道。选择结果应以设备实际测量和当前策略为准，不应把“有两条线路”直接等同于“带宽叠加”或“业务一定更快”。
Underlay 路由和 Overlay 路由不要混用
这是配置中最容易出错的边界。Underlay 路由的目标是让边缘设备能够到达运营商网关、控制组件和远端隧道端点；Overlay 路由的目标是让企业业务前缀在站点之间可学习、可选路、可转发。
| 问题 | 优先检查哪一层 | 判断标准 |
|---|---|---|
| 边缘设备拿不到网关或公网地址 | Underlay | 接口状态、地址、网关和本地路由正常 |
| 能 Ping 本地网关，但远端隧道端点不可达 | Underlay | 默认路由、运营商路由、NAT 和防火墙允许传输 |
| 隧道未建立 | Underlay、NAT、防火墙和隧道参数 | 两端外层地址可达，所需协议或端口未被阻断 |
| 隧道已建立但业务网段不通 | Overlay | 远端前缀已发布、策略未拒绝、业务侧回程路由存在 |
| 业务能通但频繁切换或卡顿 | Overlay 路径策略和 Underlay 质量 | 核对时延、丢包、抖动、探测结果和策略阈值 |
在采用控制器的 SD-WAN 产品中，具体名称可能不同。例如 Cisco 使用 VPN 0 表示传输侧路由上下文，并通过 OMP 交换 Overlay 路由和相关属性。不同厂商的命令、对象名称和默认值不能直接互换，未核实具体平台和版本时，不要复制厂商专属配置。
IPsec、GRE、MTU 和 NAT 的部署注意事项
Overlay 隧道会增加外层头部，IPsec 还会产生加密和认证相关开销。原本能够在 Underlay 中传输的报文，封装后可能超过链路 MTU，进而出现分片、丢包、网页部分加载或应用连接建立后传输异常等现象。处理时应先确认两端接口、隧道和运营商链路的 MTU，再根据设备文档选择 MSS 调整、分片处理或隧道 MTU 设置；具体数值必须以当前设备型号、隧道类型和版本支持情况为准。
NAT 和防火墙也属于 Underlay 侧的重要边界。若两端都处于严格或对称 NAT 后方，点到点隧道可能无法直接建立；Cisco 文档提示，GRE 隧道经过带端口复用的 NAT 时存在额外限制，IPsec 隧道则需要结合 NAT 类型、入站连接能力和防火墙规则判断。Cisco NAT 与隧道部署说明
- 先确认边缘设备是否获得稳定的传输地址。
- 确认防火墙允许产品文档要求的控制连接和数据隧道通信。
- 确认 NAT 是否改变了外层地址或端口，以及对端是否允许回包。
- 隧道建立但大报文失败时，优先做分段大小和 MTU 对照测试。
- 修改 MTU、MSS 或防火墙规则前保存现有配置，验证失败时回退到原配置。
多条 Underlay 如何配合 Overlay 智能选路
多条 Underlay 并存时，通常不是让业务直接在底层网络之间随机切换，而是为不同承载建立多条 Overlay 隧道，再由路径策略决定业务使用哪条隧道。可观察指标包括延迟、丢包和抖动；实时语音、视频会议、远程桌面和普通文件传输对这些指标的敏感度不同，策略应按业务需求分别设置。
Cisco 的术语文档将应用感知路由描述为：根据应用和测得的路径质量选择隧道，当丢包、延迟或抖动不再满足应用的 SLA 类别时，可以移动流量。其设计指南还说明，BFD 等探测机制可用于检测隧道存活并测量丢包、延迟和抖动。Cisco SD-WAN 术语说明 Cisco 路径质量说明
需要注意的是，路径切换并不会自动修复 Underlay 的物理或运营商问题。如果两条链路都存在持续丢包，Overlay 只能在已存在的候选路径中选择，不能替代线路质量验收。
从 Underlay 到 Overlay 的 6 步排障顺序
- 检查物理与接口：确认网线、光模块、无线接入、接口协商、链路状态和错误计数正常。若接口本身未建立，先恢复链路，不要修改 Overlay 策略。
- 检查本地地址和网关：确认传输接口地址、掩码、网关和 DHCP 或静态配置符合当前运营商交付信息。结果应是设备能够到达本地传输网关。
- 检查 Underlay 路由：查看默认路由或已核实的 BGP/OSPF 邻居，确认远端控制组件或隧道端点的外层地址有正确下一跳。
- 检查 NAT 和防火墙：核对入站回包、地址转换、策略日志和所需协议或端口。若只允许出站连接，确认产品的 NAT 穿越机制是否适用。
- 检查隧道与探测：确认隧道两端参数、加密方式、认证材料、对端地址和探测状态一致；隧道状态反复变化时，记录发生时间并对照链路丢包、延迟和抖动。
- 检查 Overlay 路由和业务策略：确认远端业务前缀已发布、路由没有被过滤、业务所属 VRF/VPN 正确、下一跳隧道可用，并检查 QoS、应用识别和路径策略。
每一步都要留下“修改前状态、修改项、验证结果和回退方式”。如果 Underlay 不通，回退业务策略通常没有意义；如果隧道已通但业务不通，则应把排查重点转向 Overlay 路由、分段和业务侧回程路径。
上线前后检查清单
- 上线前：整理每条 Underlay 的接口、地址、网关、运营商类型、NAT 类型和防火墙边界。
- 隧道前：确认两端外层地址可达，并记录可复现的 Ping、路由跟踪或等效连通性结果。
- 隧道后：确认隧道状态、控制连接、探测状态和加密协商状态。
- 路由后：确认本地和远端业务前缀、下一跳、VRF/VPN、路由优先级及回程路径。
- 性能验证：分别记录每条 Underlay 和每条 Overlay 的延迟、丢包、抖动，避免只测最终应用而无法定位分层问题。
- 回退准备：保留原路由、策略、MTU、MSS、NAT 和防火墙配置；任何调整都应先限定范围，再验证单个业务。
如果你还需要把分层排障落到实际故障现象，可继续查看SD-WAN 断网排查、SD-WAN 网络故障排查和SD-WAN 监控指标清单。
常见问题
SD-WAN 的 Underlay 一定是 Internet 吗？
不一定。Internet、MPLS、专线、企业宽带和 4G/5G 都可以作为 Underlay，具体取决于运营商交付、地址可达性、NAT、防火墙和企业架构。
Overlay 隧道不通，应该先检查什么？
先检查 Underlay：接口状态、传输地址、本地网关、默认路由或动态路由、远端隧道端点可达性、NAT 和防火墙。只有外层 IP 可达性成立后，才适合继续检查隧道参数和加密协商。
Underlay 路由和 Overlay 路由可以使用同一套路由表吗？
不建议直接混用。Underlay 主要负责传输地址、控制连接和隧道端点可达；Overlay 主要负责企业业务前缀。不同产品的实现方式不同，应以当前平台的路由上下文和官方文档为准。
Overlay 一定会降低网络速度吗？
不能一概而论。隧道封装和加密会增加报文开销及设备处理负担，MTU 不合适时还可能导致分片或丢包；实际影响取决于链路 MTU、设备性能、隧道类型、流量规模和配置。
双线路是否等于带宽自动叠加？
不等于。双线路可以提供多条候选 Underlay 和 Overlay 路径，但是否负载分担、按应用分流或只做主备，取决于设备能力、策略、会话模型和业务验证结果。