SD-WAN 上云怎么部署？完整流程与验收方法
简答：SD-WAN 上云不要一开始就配置策略，最短路径是先规划分支与 VPC 网段，再打通 WAN Underlay，建立 Overlay 隧道，发布云侧路由，最后检查安全策略和双向访问。小规模部署可采用“分支 CPE＋云网关或 vCPE＋VPC”的结构；是否使用 BGP、云联网、专线或双中心，要以云平台和设备当前支持的配置为准。本文给出可执行的部署顺序、成功标准、回滚点和常见故障排查方法。
定义：SD-WAN 上云，是通过分支侧 CPE、云侧网关或 vCPE 与控制器建立逻辑网络，并将企业分支网段与公有云 VPC 网段互通的部署方式。
结论速查：先按这 7 步部署
SD-WAN 上云的核心不是“把设备接入云平台”这么简单，而是完成从本地网段到云上子网的双向路由闭环。推荐按以下顺序操作：
| 步骤 | 要完成的事情 | 成功标准 |
|---|---|---|
| 1. 规划 | 确认分支网段、VPC 网段、管理网段、地址重叠和高可用结构 | 每个业务网段都有唯一归属和明确下一跳 |
| 2. 准备 Underlay | 接入 Internet、专线或其他 WAN，配置接口、默认路由、DNS、NTP 和防火墙 | CPE、控制器或云侧网关能够互相访问 |
| 3. 部署 Overlay | 建立 IPsec 或厂商 Overlay 隧道，选择 Hub-Spoke 或 Full-Mesh | 隧道状态正常，双方能看到对端节点 |
| 4. 接入云侧 | 配置云网关、vCPE、云联网或 VPC 连接 | 云侧路由表出现分支网段或对应传播关系 |
| 5. 发布路由 | 配置静态路由、BGP 或平台路由发布，避免只配置单向路径 | 分支和 VPC 都有返回路径 |
| 6. 放行策略 | 检查防火墙、ACL、安全组、NAT 和云主机路由表 | 业务端口按最小权限双向放通 |
| 7. 验收 | 测试隧道、路由、双向访问、时延、丢包和故障切换 | 记录测试结果并保留回滚配置 |
华为云公开文档将 SD-WAN 部署拆分为 Underlay、Overlay 和业务策略三层，并建议先打通物理网络，再部署逻辑网络，最后配置业务策略；这一顺序适合作为厂商无关的实施主线。查看华为云分层部署说明
前置条件：部署前必须确认的 8 项信息
- 云侧资源：确认目标 VPC、子网、云主机或数据库所在区域，以及云网关、云联网或 vCPE 的接入方式。
- 分支网段：记录每个办公室、机房和远程办公区域的 CIDR，先检查是否与 VPC、其他分支或管理网段重叠。
- 设备形态：明确使用物理 CPE、虚拟 CPE、云防火墙、云网关，还是由云平台托管的 SD-WAN 接入设备。
- Underlay 链路：记录每条 WAN 的接口、地址、网关、DNS、MTU、带宽和是否具备公网可达性。
- 控制器与授权：确认设备是否已纳管，控制器地址、证书、许可证、组织或租户信息是否可用；具体字段和权限以当前控制台为准。
- 路由方式：小规模 POC 可使用静态路由；多分支或多云环境再评估 BGP、云联网路由传播或集中路由控制。
- 安全策略：列出业务源地址、目标地址、端口和方向，分别检查 CPE 防火墙、云防火墙、安全组和主机防火墙。
- 回滚方案：保存原有默认路由、NAT、ACL 和云侧路由表，约定撤销 Overlay、恢复旧出口的操作顺序。
不同云平台对 CPE、云网关、VPC 路由和防火墙的名称并不相同，因此不要照搬固定菜单。公开案例显示，云侧通常还需要配置 VPC、云联网或 Vxnet，并把分支网段发布到云侧路由系统。查看企业快速上云的云侧资源流程
最短流程：从分支 CPE 到云 VPC
第 1 步：先画出地址和流量方向
至少画出“分支 LAN—分支 CPE—WAN 链路—云侧网关或 vCPE—VPC 子网—云主机”这条路径，并标注请求方向和返回方向。例如，分支网段为 10.10.0.0/16，云侧 VPC 为 10.20.0.0/16，则需要明确分支访问云侧时的下一跳，也要明确云主机返回 10.10.0.0/16 时走哪条路由。
第 2 步：部署 Underlay
在 CPE 或虚拟 CPE 上配置 WAN 接口、地址、默认网关、DNS 和 NTP。若使用公网链路，还要确认上游防火墙允许控制器注册和隧道建立所需的协议与端口；如果设备位于 NAT 后方，要检查端口映射、对称 NAT 和回程路径。不要在隧道尚未建立时先排查业务 ACL，否则容易把底层不可达误判为云路由问题。
第 3 步：纳管设备并建立 Overlay
将分支 CPE 和云侧网关或 vCPE 纳入同一管理域，完成设备激活、证书或身份校验，再建立 Overlay。只有一个分支和一个云入口时，点到点或 Hub-Spoke 通常更容易验证；多个分支需要互访时，再根据节点数量、东西向流量和故障域评估 Hub-Spoke 或 Full-Mesh。厂商文档普遍把设备纳管、链路配置、路径质量策略和拓扑关系作为连续步骤，而不是单独的“开通隧道”动作。查看公开的 SD-WAN 部署工作流
第 4 步：配置云侧连接
根据云平台能力选择云网关、云联网、云侧 vCPE 或其他云网络连接方式。云侧至少要完成 VPC 子网、连接对象和路由表之间的关联。部分平台还要求分支设备处于运行状态后才能关联云联网，具体状态名称和控制台路径以当前文档为准。
第 5 步：发布双向路由
静态路由场景下，在分支侧指向 VPC 网段，在云侧指向分支网段；动态路由场景下，确认 BGP 邻居、ASN、路由发布方向、过滤策略和优先级。不要只检查“路由是否存在”，还要确认路由是否安装在实际转发设备上，以及返回路径是否经过同一个可达的 Overlay。公开的云接入示例也将静态路由配置、路由发布开关、优先级和云侧路由表检查列为独立步骤。查看云接入服务的路由与云联网流程
第 6 步：配置安全策略与 NAT
先按源网段、目标网段、协议和端口建立最小放行规则，再检查是否存在源 NAT、目的 NAT 或策略路由覆盖。分支访问云内私网地址时，通常不能因为配置了 Internet 出口就默认认为云侧可达；云主机安全组、云防火墙、CPE ACL 和操作系统防火墙都可能拦截流量。
部署架构怎么选：CPE、vCPE、云网关与拓扑
| 架构 | 适合场景 | 主要检查点 |
|---|---|---|
| 分支 CPE＋云网关 | 希望由云平台提供云侧接入，分支有固定网络设备 | 设备纳管、云侧路由、云网关与 VPC 的关联关系 |
| 分支 CPE＋vCPE | 希望在云服务器或云内节点运行虚拟网络设备 | 宿主机规格、系统兼容性、公网可达性、端口和安全组 |
| 单 Hub-Spoke | 分支主要访问云资源，分支之间不需要大量直连 | Hub 可用性、回程路由、单 Hub 故障影响 |
| 双 Hub 或多 Hub | 需要跨区域容灾或降低单点故障影响 | 优先级、健康探测、故障切换和路由收敛 |
| Full-Mesh | 多个分支之间存在较多东西向通信 | 隧道数量、策略复杂度、设备资源和路由规模 |
青云公开文档把 vCPE 描述为部署在宿主机中的虚拟机或容器形态，并要求宿主机具备公网连接、远程登录能力以及相应系统和端口条件；因此 vCPE 不是“创建后自动可用”，仍需单独核对宿主机和安全组。查看 vCPE 环境要求
如果只是分支访问单个云 VPC，优先选择结构更简单、回程路径更清晰的 Hub-Spoke 或点到点方案；如果需要多分支互联，再评估 Full-Mesh。没有实测数据时，不能直接声称某种拓扑一定更快或更稳定，应通过实际链路质量、时延、丢包和业务流量复测。
上线验证：用 5 层检查确认真的通了
- 设备层：检查 CPE、vCPE、云网关和控制器是否在线，证书、授权和配置下发是否完成。
- 隧道层：检查 Overlay 隧道是否建立，双方隧道地址、对端节点和健康探测是否正常。
- 路由层：分别查看分支侧和云侧路由表，确认 VPC 网段与分支网段都有明确下一跳，且没有更高优先级的错误路由覆盖。
- 策略层：核对 CPE ACL、云防火墙、安全组、主机防火墙、NAT 和策略路由，先测试单个端口，再扩大到业务端口集合。
- 业务层：从分支访问云主机，再从云主机或云内测试节点访问分支服务，记录 Ping、TCP 端口、DNS、时延和丢包结果。ICMP 不通不一定代表业务端口不通，但双向业务测试不能省略。
建议建立一张验收记录表：测试时间、源地址、目标地址、协议端口、路径、结果、时延、丢包、使用的 WAN、故障切换时间和恢复方式。本文没有提供实测速率或可用性承诺，具体结果必须以现场复测为准。
云平台公开快速入门通常也把“从分支访问云资源”作为最终连通性验证，并要求检查云联网或云侧路由表。参考云侧连通性验证步骤
分层排错：隧道建立但访问仍然失败怎么办
| 现象 | 优先检查 | 恢复动作 |
|---|---|---|
| 设备无法上线 | WAN 默认路由、DNS、NTP、控制器地址、公网出口和证书时间 | 先恢复基础 Internet 可达性，再重新注册设备 |
| Overlay 隧道不建立 | 对端地址、身份认证、UDP 或 IPsec 放行、NAT 类型、MTU | 保留原 WAN 配置，逐项恢复放行规则并重新探测 |
| 隧道正常但路由为空 | 分支网段是否发布、云侧路由表是否关联、BGP 邻居和路由过滤 | 先使用一条明确的静态路由验证路径，再恢复动态发布 |
| 单向可达 | 回程路由、安全组、主机防火墙、NAT 和非对称路径 | 在两端同时查看路由与会话状态，撤销不必要的 NAT |
| 连接时好时坏 | WAN 丢包、路径质量阈值、探测频率、双链路切换和 MTU | 分离单条链路测试，记录链路切换前后的丢包与时延 |
| 大报文或特定应用失败 | 端到端 MTU、TCP MSS、隧道封装开销和防火墙分片策略 | 先降低测试报文大小定位，再按设备支持方式调整 MTU 或 MSS，并保留原值 |
排错时不要一次修改多个层级。建议按照“Underlay 可达性—Overlay 状态—路由表—安全策略—应用端口—性能指标”的顺序，每次只改一个变量，并记录修改前后的结果。完成验证后，删除临时放行规则、恢复不需要的测试路由，并保存最终配置。
边界与延伸：什么时候需要更复杂的设计
如果企业只有一个分支、一个 VPC 和一条主要业务路径，先完成最小 POC，再决定是否增加双 CPE、双 WAN、双 Hub、BGP 或跨区域容灾。若存在多个云、地址重叠、跨区域访问、专线与公网混合接入，部署前应增加路由域、故障域、NAT 边界和权限边界设计。
线路选择也不能只看带宽。应同时记录延迟、抖动、丢包、故障切换时间和业务端口成功率，并区分 Underlay 指标与 Overlay 指标。若要比较公网、专线、IEPL 或 IPLC，需使用同一时间窗口、同一目的地址和同一测试方法；没有现场数据时，只能给出复测框架，不能直接下结论。
截至 2026-11-01，本文引用的公开资料分别展示了云平台接入、vCPE、Underlay/Overlay 分层和设备部署工作流；设备型号、控制台菜单、端口、许可证和字段名称可能随平台或版本变化，实施时应以当前控制台和对应版本文档为准。
常见问题
SD-WAN 上云一定要使用专线吗？
不一定。SD-WAN 可以基于 Internet、专线或其他可用 WAN 建立 Underlay，具体取决于云平台、设备和业务要求。是否需要专线，应根据延迟、丢包、合规、带宽、故障切换和现场复测结果决定，不能只按接入方式判断。
SD-WAN 隧道已经建立，为什么还访问不了云主机？
最常见原因是路由没有双向发布，或者云主机安全组、云防火墙、CPE ACL、主机防火墙和 NAT 中有一层拦截。应依次检查分支路由表、云侧路由表、返回路径、策略命中记录和业务端口，不要只看隧道状态。
上云部署应该选 Hub-Spoke 还是 Full-Mesh？
如果主要是多个分支访问云资源，Hub-Spoke 通常更容易规划和排错；如果多个分支之间有大量直接通信，再评估 Full-Mesh。最终选择要结合分支数量、东西向流量、设备资源、隧道规模和容灾要求，不能仅凭拓扑名称决定。
vCPE 和物理 CPE 怎么选？
物理 CPE 更适合分支现场已有固定网络设备、需要本地 LAN 接入或希望降低云侧宿主机依赖的场景；vCPE 更适合云内快速部署或不便放置物理设备的场景。vCPE 需要额外核对宿主机系统、资源、公网可达性、远程登录能力和端口放行。
如何确认 SD-WAN 上云部署真的成功？
至少完成五层验证：设备在线、Overlay 隧道正常、两端路由表完整、安全策略按预期命中、分支与云侧业务端口双向可达。还应记录时延、丢包、使用的链路和故障切换结果，并保留回滚配置。