SD-WAN 零接触部署怎么做？分支设备批量上线流程
简答：SD-WAN 零接触部署的核心是“中心预配置，现场少操作”：先在控制器录入设备身份、授权、证书、站点和模板，再准备 DHCP、DNS、NTP、互联网及防火墙条件；设备到分支后只需接入 WAN、上电，自动注册并下载配置。建议按“资产与模板准备→试点→分批上线→验收→失败回退”执行。无 DHCP、无互联网或隔离站点不能直接套用标准 ZTP，应改用 Bootstrap、Quick Connect、U 盘/邮件开局或人工初始配置。
定义：SD-WAN 零接触部署是指设备在出厂或未预配置状态下，通过控制器、云门户或预置开局文件完成身份认证、基础联网、配置下发和上线，现场主要负责物理接线与上电。
先看这张速查表：标准分支如何批量上线
最快做法：先选 1—3 个代表性分支试点，确认控制器注册、配置下发、Overlay 隧道、路由和业务访问都正常，再按批次扩展。不要一开始让所有分支同时上线。
| 阶段 | 中心侧动作 | 现场侧动作 | 完成标志 |
|---|---|---|---|
| 1. 规划 | 确定拓扑、站点 ID、WAN 类型、地址池、模板变量和回退方案 | 确认机柜、电源、WAN 接入和 LAN 接线条件 | 每台设备都有唯一资产记录 |
| 2. 预注册 | 录入序列号或设备身份，绑定授权、证书、站点和配置模板 | 无 | 设备可被控制器识别 |
| 3. 准备网络 | 准备 DHCP、DNS、NTP、互联网出口和防火墙放行策略 | 确认运营商线路已交付 | 设备能获取地址并解析所需服务 |
| 4. 发货 | 冻结模板版本，生成标签、安装单和必要的 Bootstrap 文件 | 核对设备、配件和线路信息 | 设备与站点一一对应 |
| 5. 自动上线 | 观察认证、配置下载和设备状态 | 接 WAN、LAN、电源并等待注册 | 控制器显示已注册或同步 |
| 6. 灰度扩展 | 分批放行，记录失败原因并控制并发量 | 按安装单执行接线 | 批次通过上线门槛 |
| 7. 验收 | 检查隧道、路由、BFD、策略、监控和告警 | 验证办公网、语音、视频或关键业务 | 业务与运维指标均达标 |
不同平台对自动开局名称和入口并不统一。Cisco 文档将 PnP、Quick Connect 和 Bootstrap 作为不同上线路径；Aruba 的资料说明 ZTP 依赖云门户、编排器、公共 DNS 和分支互联网；H3C 文档则区分 U 盘/邮件、WebSocket 与手工开局。实施时应以目标设备和软件版本的官方文档为准：Cisco 自动 PnP、Quick Connect 与 Bootstrap、Aruba EdgeConnect 分支设计与 ZTP、H3C AD-WAN 分支配置指导。
上线前要准备什么：控制器、模板和资产表
批量上线失败，常见原因不是现场不会接线，而是中心侧缺少可关联的设备身份、站点变量或 WAN 参数。建议先建立一份不可随意修改的资产表，每台设备至少包含以下字段：
- 身份字段：资产编号、序列号或设备唯一标识、型号、软件版本、授权状态。
- 站点字段：站点 ID、站点名称、区域、联系人、安装地址、责任人和批次。
- 网络字段：WAN 类型、接口、DHCP 或静态地址、网关、DNS、NTP、VLAN、MTU、运营商电路编号。
- 配置字段：模板名称、模板版本、站点变量、LAN 网段、业务 VPN 或分段信息、默认路由策略。
- 审计字段：发货日期、接线日期、注册时间、配置版本、验收人、失败原因和回滚记录。
模板不要把所有分支参数硬编码在一份配置里。更稳妥的分层方式是：基础模板负责管理面、时间同步、日志和安全基线；WAN 模板负责接入方式、地址和链路参数；LAN 模板负责 VLAN、网关和路由；业务策略模板负责 QoS、应用选路和访问控制；站点变量只存放站点差异。
控制器、证书和授权也要提前核验。Cisco 的上线流程明确包含控制器部署、PKI 信任、根证书、设备授权文件、Feature Profile 或模板，以及后续 OMP、BFD 和隧道状态检查。其他平台的字段名称不同，但“身份可识别、信任可建立、模板可匹配”是共同前提。
标准分支的现场流程：接线、注册、配置下发
- 核对设备：现场先比对设备序列号、站点标签、WAN 电路和安装单，不要把未登记设备直接接入生产网络。
- 连接管理或 WAN 口：优先接入已经确认可用的线路。若平台要求 DHCP，确认设备所在管理 VLAN 能分配地址；若使用静态 WAN，提前准备地址、网关、DNS 和必要的路由参数。
- 上电并观察基础状态：记录端口灯、链路协商、地址获取和时间状态。不要在此时大范围修改模板，先确认底层网络是否工作。
- 自动发现控制器或云门户：设备可能通过预设发现机制、PnP、ZTP、Quick Connect 或开局文件寻找控制器。公共 DNS、NTP、互联网出口和防火墙策略必须与目标平台要求匹配。
- 身份认证：控制器核对序列号、证书、授权或激活信息。认证失败时先查设备是否已录入正确站点，再查时间、证书链和控制器可达性。
- 下载并应用配置：设备获得基础配置后，再验证 WAN、LAN、隧道、路由和策略。配置下发完成不等于业务验收完成。
- 保留现场记录：记录注册时间、设备状态、WAN 地址、模板版本和异常日志，便于后续批量审计。
若分支没有本地互联网，Aruba 的官方设计资料提示通常无法直接使用标准 ZTP，需要预配置设备；H3C 文档则提供 U 盘/邮件开局和 WebSocket 下发等不同方式。也就是说，现场条件决定开局路径，不能把“零接触”理解成任何网络环境都无需初始配置。
PnP、ZTP、Bootstrap、Quick Connect 怎么选
| 方式 | 适用条件 | 优点 | 主要限制 |
|---|---|---|---|
| ZTP | 设备能访问云门户或发现服务，通常具备互联网、DNS 和 DHCP | 现场操作少，适合标准化分支 | 无互联网、受限 DNS 或代理环境可能无法完成自动发现 |
| PnP | 设备已在对应平台预注册，并能访问发现与控制服务 | 适合集中登记和批量设备认领 | 身份、授权和证书关系必须提前正确 |
| Quick Connect | 平台提供临时或快速接入流程 | 可减少初始配置步骤 | 具体字段和有效期依赖平台版本，需按官方文档核实 |
| Bootstrap | 孤立站点、无 DHCP、无互联网或自动发现失败 | 可通过 USB、控制台或预置文件建立 Day-0 配置 | 需要安全传递文件，并准备回滚和人工介入 |
| U 盘/邮件开局 | 平台支持生成开局文件，现场可读取文件或链接 | 适合静态 WAN、专线或无法直接发现控制器的分支 | 文件必须与设备、站点和版本准确匹配 |
| WebSocket 或上线后下发 | 设备先完成基础注册，业务配置由控制器后续推送 | 便于集中维护和分层下发 | 设备必须先具备可用的初始连接 |
H3C 官方资料明确区分 U 盘/邮件、WebSocket 和手工开局，并指出 U 盘/邮件方式需要提前填写接口地址、接入方式和相关路由协议；Cisco 则将 USB 或控制台 Bootstrap 作为隔离站点的替代路径。具体端口、文件格式、菜单名称和版本要求不要依靠通用经验填写，应以当前平台文档核验。
批量上线的灰度策略与故障排查顺序
批量部署建议采用“试点—小批—扩大—收尾”的节奏，并为每个批次设置暂停条件。假如首批设备出现相同的 DNS、证书或模板错误，应立即暂停后续批次，修复中心侧配置后重新生成或重新绑定，而不是让现场反复重启设备。
- 先查物理层：电源、网线、光模块、端口协商、VLAN 和运营商线路。
- 再查地址与解析：DHCP 是否分配地址，静态地址、网关和 DNS 是否正确，设备能否解析发现服务。
- 再查时间与信任：NTP 是否同步，证书是否有效，设备时间是否明显偏差，授权和序列号是否绑定到正确组织或站点。
- 再查控制器连接：防火墙、NAT、代理和出口策略是否阻断控制器或云门户通信。
- 再查模板变量：站点 ID、WAN 接口、地址池、LAN 网段、版本和设备型号是否匹配。
- 最后查 Overlay 与业务：隧道、BFD、路由、策略、QoS 和应用连通性是否正常。
回退方案至少要包括：保留上一版模板、记录已成功设备、标记未上线设备、停止自动扩散、恢复旧配置或临时人工开局，以及保存失败日志。不要把恢复出厂作为第一步；重置可能删除可用于诊断的状态信息，也可能让设备失去远程可达性。
上线验收清单：设备上线不等于项目完成
| 层级 | 检查项 | 验收问题 |
|---|---|---|
| 设备 | 身份、授权、证书、时间 | 设备是否显示为正确站点，证书和授权状态是否正常？ |
| Underlay | WAN 地址、网关、DNS、NTP、链路状态 | 每条线路是否能稳定访问所需控制服务？ |
| Overlay | 隧道、控制连接、BFD 或等效链路探测 | 隧道是否建立，备用线路是否也能工作？ |
| 路由 | 站点路由、默认路由、分段和路由交换 | 分支到总部、云资源和关键网段是否按预期可达？ |
| 策略 | QoS、应用选路、访问控制、分流 | 关键业务是否使用正确链路，非目标流量是否未误入策略？ |
| 业务 | 办公系统、语音、视频、文件或远程服务 | 从用户终端实际访问，而不是只在设备上 Ping？ |
| 运维 | 监控、告警、日志、配置备份和版本记录 | 故障是否能被发现、定位和回滚？ |
Cisco 的官方流程把控制平面状态、设备同步、OMP 路由、BFD 和故障切换列为后续验证内容；因此验收至少应覆盖“注册—隧道—路由—业务—监控”五层，而不是只截图控制器中的在线状态。
本文核验日期为 2026-11-04。不同厂商的零接触功能、软件版本、证书机制、发现服务和配置入口可能变化，正式上线前请再次查看目标平台的当前文档。
参考资料
- Cisco：Execute automated Plug and Play (PnP), Quick Connect, or bootstrap deployment
- Fortinet：Zero touch deployment
- Citrix SD-WAN Center：Zero Touch Deployment
- H3C：AD-WAN 分支 6.6 WAN 业务配置指导
- HPE Aruba：EdgeConnect Branch Design
常见问题
SD-WAN 零接触部署一定需要 DHCP 吗？
不一定。标准 ZTP 或部分 PnP 流程通常依赖 DHCP、DNS 和可达的发现服务；如果使用静态 WAN、Bootstrap、U 盘/邮件开局或人工初始配置，可以不依赖 DHCP。但静态地址、网关、DNS 和路由参数必须提前准备，具体要求取决于平台。
没有互联网的分支还能做零接触部署吗？
通常不能直接套用依赖云门户或公共发现服务的 ZTP。应根据平台改用预配置设备、Bootstrap、控制台、U 盘/邮件开局或专线内可达的控制器路径。Aruba 官方资料明确提示没有本地互联网的站点可能无法使用 ZTP，H3C 文档则提供 U 盘/邮件和 WebSocket 等替代方式。
设备已经在控制器上线，为什么业务仍然不通？
设备注册只说明身份认证和基础配置可能完成，不代表 Overlay、路由、策略和业务访问都正常。应按 Underlay、隧道或 BFD、路由交换、分段策略、QoS 和终端业务五层检查，并确认 LAN 网段没有重复、默认路由没有误下发。
批量上线时应该一次部署多少台设备？
没有适用于所有平台的固定数量。建议先用少量代表性站点试点，再根据控制器负载、线路差异、现场支持能力和失败率逐步扩大。只要出现同类模板、证书、DNS 或授权错误，就应暂停批次并先修复公共配置。
Bootstrap、Quick Connect 和 ZTP 可以互相替代吗？
不能简单视为完全等价。它们的发现方式、身份认证、初始配置来源和网络前提不同。应根据是否有互联网、是否有 DHCP、是否能访问控制器、是否允许现场插入开局文件，以及目标设备支持的具体版本来选择。