SD-WAN SLA 是什么？链路质量阈值与切换策略怎么设
简答：SD-WAN SLA 是把延迟、抖动、丢包等质量指标转成选路和切换条件。首轮配置可以先参考按业务分类的数值模板：实时业务约 300ms/60ms/2%，事务业务约 200ms/200ms/1%，批量业务约 500ms/500ms/5%；这些只是起始基线，必须结合地区、运营商、探测目标和历史数据调整。
定义：SD-WAN SLA 是一组用于判断链路是否满足业务质量要求，并驱动应用选路、链路降级或故障切换的可测量条件。
先看一页式 SD-WAN SLA 速查卡
如果你现在只想完成首轮配置，可先按下表建立三到五类 SLA，再用现场数据校准。表中数值是起始模板，不是线路服务承诺，也不是所有厂商的通用标准。其中“延迟”通常指 RTT，“抖动”指延迟变化程度，“丢包”指探测报文未成功返回的比例。
| 业务类型 | 延迟起始值 | 抖动起始值 | 丢包起始值 | 首轮切换逻辑 | 验证动作 |
|---|---|---|---|---|---|
| 语音、实时交互 | ≤300ms | ≤60ms | ≤2% | 任一关键指标持续超标后切换；增加恢复确认 | 高峰通话、双向语音、短时丢包测试 |
| 视频会议 | ≤300ms | ≤60ms | ≤2% | 优先关注丢包和抖动，避免单次尖峰立即回切 | 多人入会、共享屏幕、上行拥塞测试 |
| ERP、远程桌面、事务系统 | ≤200ms | ≤200ms | ≤1% | 按真实业务入口探测，连续异常后切换 | 登录、查询、提交、长连接恢复测试 |
| 网页访问、普通办公 | ≤500ms | ≤500ms | ≤5% | 可使用较宽松阈值和最低成本选路 | 高峰页面加载、DNS、连接建立测试 |
| 备份、文件传输、批量同步 | ≤500ms | ≤500ms | ≤5% | 延长观察窗口，优先避免影响实时业务 | 吞吐、重传、完成时间和带宽占用测试 |
上述三组核心数值可作为厂商示例的参考：Cisco Catalyst SD-WAN 当前文档列出的 Voice-And-Video、Transactional Data、Bulk data 类别分别为丢包 2%/1%/5%、延迟 300/200/500ms、抖动 60/200/500ms。Cisco 同时说明这些参数属于具体产品的 SLA 类别；部署到其他设备、版本或网络距离时，仍需重新核验。Cisco Catalyst SD-WAN SLA 文档
先试这一步：不要一次给所有应用绑定同一类 SLA。先选一个站点、一个关键业务和一条备用链路，记录高峰期基线，再以表中数值作为初始候选值进行灰度验证。
SD-WAN SLA、SLI、SLO 和普通健康检查有什么区别
普通链路健康检查通常回答“接口是否在线”或“目标是否可达”；SD-WAN SLA 进一步把延迟、抖动、丢包、可用性和连续失败次数用于链路分类、应用选路或故障切换。
- SLA：设备或策略采用的质量条件，例如延迟不超过某值、丢包不超过某比例。
- SLI：实际测得的指标，例如某地区到某云入口的 RTT、抖动和丢包记录。
- SLO：组织希望达到的目标，例如关键办公业务在指定时段满足某类质量要求。
- 合同 SLA：服务商合同中的可用性、统计周期、责任范围或补偿条款，不能用设备阈值代替。
因此，设备里的“丢包不超过 2%”只是选路条件，不代表运营商承诺线路始终低于 2%。如果页面没有合同条款或服务商公告，不应把策略阈值写成可用性保证。
阈值怎么从现场基线推导出来
建议把每条线路按站点、地区、运营商、业务目标和时段分组采集，不要把同城办公链路、跨洲办公链路和云服务入口混在一起计算。跨地域互联网接入的距离、绕路、晚高峰拥塞和探测目标位置都会改变正常基线。
| 字段 | 填写方法 | 首轮用途 |
|---|---|---|
| 基线值 | 记录工作日低峰、高峰和异常时段的平均值与高分位值，具体统计能力以当前设备为准 | 确认正常波动范围 |
| 切出阈值 | 以高峰基线的高分位值加安全余量，或从产品示例值开始灰度 | 判断链路是否降级 |
| 恢复阈值 | 设置为比切出条件更严格的恢复标准，避免刚恢复就回切 | 控制回切摆动 |
| 连续异常次数 | 记录探测间隔、超时和允许失败次数 | 确认 blackout 或 brownout |
| 观察窗口 | 将统计周期与业务容忍度匹配 | 避免单次尖峰触发切换 |
| 冷却时间 | 切换后暂不立即回到原链路 | 避免来回摆动 |
可使用下面的现场计算框架，但它是调优方法，不是厂商统一公式：
切出阈值 = 高峰期基线高分位值 × (1 + 安全余量)恢复阈值 < 切出阈值，或要求连续多个采样周期重新达标。故障确认时间 ≈ 探测间隔 × 连续失败次数 + 单次超时与控制面传播时间回切条件 = 恢复阈值达标 + 连续确认周期完成 + 冷却时间结束
例如，某地区到云入口的高峰 RTT 高分位为 140ms，首轮可将 200ms 作为事务业务候选值；但如果高峰丢包已经持续接近 1%，就不应只看延迟，还要单独调整丢包条件并验证真实 ERP 操作。这里的数值是演示计算方法，不是对任何线路的实测结论。
全球多地区接入：探测目标和基线要分层
全球或跨地域办公场景不适合只设置一个全局 SLA。建议至少按以下层级建立探测目标：
- 接入层：探测本地运营商网关或近端目标，用于判断本地接入是否异常。
- 隧道层：探测远端站点、数据中心或隧道对端，用于判断加密隧道和跨站路径质量。
- 业务层：探测实际使用的云服务入口、ERP 服务端或数据中心应用入口，用于判断真实业务路径。
每个地区至少记录本地到主要业务区域的基线。例如，亚洲站点到亚洲业务入口、欧洲站点到欧洲入口、跨洲访问路径应分别统计；不要用某个地区的低延迟结果替代另一个地区的正常标准。若业务有多个服务器，应尽量使用目标组或多个探测目标，避免单个目标故障被误判为整条线路故障。
探测方式也会改变结果。Stormshield 官方技术说明区分了 ICMP 和 TCP Probe，并说明 RTT、抖动和丢包的统计方式与探测间隔、超时、失败次数有关；如果真实业务使用 TCP，而设备只探测一个允许 ICMP 的网关，结果可能无法代表业务路径。Stormshield SD-WAN 链路选择技术说明
任一指标超标还是多个指标同时超标
任一指标超标：延迟、抖动或丢包中任一项超过条件，就把链路移出优选范围。这种方式发现 brownout 更快，适合实时业务，但阈值过严时可能频繁切换。
多个指标同时超标：只有达到组合条件才切换，例如延迟和丢包同时异常。这种方式更稳定，但可能延迟处理单项指标已经影响业务的情况。
不同产品的判断逻辑不能互相推断。Cisco 文档提供了延迟、丢包、抖动及其组合条件，并支持为最佳隧道选择配置多个指标；Palo Alto Networks 文档则明确说明，Path Quality profile 中任一延迟、抖动或丢包阈值超出时，可以触发新的优选路径。配置前应以当前版本文档、设备界面和实测日志为准。Cisco SLA 条件说明 Palo Alto Networks SD-WAN 配置规划
探测周期、连续失败和防抖怎么配合
探测周期决定发现速度，统计窗口决定判断稳定性，连续失败次数决定何时宣告链路降级。三者必须一起看，不能只修改一个参数。
- Blackout：链路或目标完全不可达，通常需要较快确认和切换。
- Brownout：链路仍在线，但延迟、抖动或丢包恶化，需要质量探测而不是只看接口 up/down。
- 连续失败：次数过少可能误切换，次数过多可能发现故障过慢。
- 恢复确认：备用链路恢复后，连续多个周期达标再回切。
- 滞回：切出和切回使用不同条件，避免刚超过阈值又立即恢复。
- 冷却时间：切换完成后暂时保持新路径，避免链路在临界状态来回摆动。
Cisco Catalyst SD-WAN 当前文档说明，BFD Hello 默认间隔为 1 秒，轮询周期默认 10 分钟，并以多个采样周期计算链路指标；文档还提醒，缩短轮询周期而不调整采样数量可能影响计算质量。这些参数只适用于对应产品和版本，不能直接复制到其他系统。Cisco BFD 与轮询参数说明
Palo Alto Networks 的官方规划文档把 Aggressive 和 Relaxed 探测模式用于不同的故障发现与带宽成本场景，并提醒阈值过低可能导致路径频繁变化。实际按钮、默认值和回切行为仍需以当前设备版本为准。Palo Alto Networks 探测模式与阈值说明
从基线到生产：6 步完成配置与回退
- 整理业务：将语音、视频会议、ERP、普通办公和批量传输分别列出，标记是否允许切换和是否需要优先保证。
- 分组采集：按地区、站点、运营商、业务入口和高低峰记录延迟、抖动、丢包及不可达次数。
- 建立模板：先使用速查卡中的起始值，同时填写切出阈值、恢复阈值、连续失败次数、探测间隔和冷却时间。
- 小范围灰度：先绑定一个站点或少量关键业务，观察正常时段和至少一个高峰周期。
- 故障验证：分别测试接口断开、丢包增加、延迟升高、目标不可达、备用链路恢复和全部链路不达标。
- 确认回退：保存旧策略和变更记录；若出现频繁切换、长连接异常或监控目标失真，先恢复旧选路规则，再调整探测目标和统计窗口。
验收记录至少应包含：站点、设备型号、软件版本、地区、运营商、探测目标、探测方式、阈值、统计窗口、失败次数、实际切换时间、回切时间和业务结果。菜单名称、参数范围和默认行为会随产品版本变化，无法核实的字段不要直接照抄配置。
常见问题与快速判断
SD-WAN SLA 阈值可以直接套用 300ms、60ms、2% 吗？
不建议直接套用。这组数值可以作为实时业务的起始参考，也与 Cisco 当前文档中的 Voice-And-Video 类别一致，但跨地域距离、运营商、探测目标和实际应用不同，必须用现场基线验证。
为什么延迟正常，视频会议仍然卡顿？
可能是抖动、突发丢包、上行拥塞或探测目标与真实业务路径不一致。先分别查看抖动和丢包，再确认探测是否接近视频服务实际入口。
任一指标超标就切换，会不会频繁摆动？
可能会。可先增加连续异常确认、设置恢复阈值和冷却时间，并避免让单次短时尖峰直接触发回切。具体条件以当前设备版本支持范围为准。
探测网关和探测云服务有什么区别？
网关主要判断本地接入是否可达；云服务或数据中心入口更接近真实业务路径。关键业务可以分层探测，但要确认目标允许当前 ICMP 或 TCP 探测方式。
所有链路都不满足 SLA 时怎么办？
应预先定义降级顺序：保留实时业务、限制批量传输、选择质量最好的可用链路，或进入人工告警。不要假设设备会自动采取相同的兜底策略。
SD-WAN SLA 能保证跨地域办公一定稳定吗？
不能。SLA 只能根据测量结果选择候选链路或执行切换，无法消除运营商拥塞、远端服务故障和所有路径波动。上线前应完成基线、灰度、故障注入和回退验证。
常见问题
SD-WAN SLA 阈值可以直接套用 300ms、60ms、2% 吗？
不建议直接套用。这组数值可作为实时业务的起始参考，也与 Cisco 当前文档中的 Voice-And-Video 类别一致，但仍需结合地区、运营商、探测目标和现场基线调整。
为什么延迟正常，视频会议仍然卡顿？
可能是抖动、突发丢包、上行拥塞或探测目标与真实业务路径不一致。应同时查看抖动和丢包，并确认探测目标接近实际视频业务入口。
任一指标超标就切换，会不会频繁摆动？
可能会。可增加连续异常确认、设置恢复阈值和冷却时间，并避免让单次短时尖峰直接触发回切。
探测网关和探测云服务有什么区别？
网关主要判断本地接入是否可达；云服务或数据中心入口更接近真实业务路径。关键业务可以分层探测，但要确认目标允许当前探测方式。
所有链路都不满足 SLA 时怎么办？
应预先定义降级顺序，例如保留实时业务、限制批量传输、选择质量最好的可用链路或触发人工告警。具体兜底行为以当前设备版本为准。
SD-WAN SLA 能保证跨地域办公一定稳定吗？
不能。SLA 只能依据测量结果进行选路或切换，无法消除运营商拥塞、远端服务故障和所有路径波动。