SD-WAN 是一种集中控制企业分支机构连接方式的软件，它为每个应用选择最佳可用链路，而不是依赖单一的固定专线。
如果更便宜的连接仍然需要您的团队单独配置每个分支机构，那么您真的优化了网络吗？这正是 SD-WAN 要解决的差距：不仅仅在于您购买了哪些线路，更在于您如何运营它们。
对于英国的 IT 经理而言，理解架构仅仅是个开始。您还需要决定由谁掌管应用策略、各个分部的安全机制如何运行，以及完整服务的成本是否低于其所替代的网络。
通俗解释软件定义广域网（SD-WAN）的含义
广域网（即 WAN）用于连接不同地点的网络。您办公室的局域网连接建筑物内部的设备；WAN 则将该办公室连接至位于其他地方的分支机构、数据中心和服务。
可以把传统的专用 WAN 比作一条规划好的高速公路路线。网络工程师选择这条路线并配置设备来使用它。软件定义广域网 (SD-WAN) 则增加了类似于卫星导航的功能：管理员设置优先级，软件就会在现有的可用连接中选择合适的路线。
这个类比有其局限性。导航系统无法开辟道路，SD-WAN 同样无法凭空创造网络连接。您仍需要购买物理接入服务。
传统 WAN 与 SD-WAN 对比
此对比描述的是常见的传统分支网络起点，并非代表所有传统 WAN。传统网络同样可以拥有冗余线路和自动化管理。
| 对比维度 | 传统 WAN | SD-WAN |
|---|---|---|
| 传输线路 | 单条专用专线，通常为 MPLS | 任意组合 MPLS、宽带、光纤及 4G/5G |
| 配置方式 | 每台路由器均由人工手动配置 | 集中统一定义策略 |
| 故障倒换 | 发生故障后依赖路由收敛 | 受影响的流量自动引导至可用链路 |
| 变更部署 | 工程师现场到访或针对各站点手动变更 | 通过单一控制台向各分支统一下发变更 |
| 成本结构 | 每条专用专线费用高昂 | 成本更低的互联网线路结合 Overlay 服务 |
| 最佳契合 | 使用单一运营商且变更较少的稳定架构 | 分支众多、高度依赖云应用且变更频繁的环境 |
MPLS 并非 SD-WAN 的对立面。 MPLS 是一种可以提供传输服务的运营商网络服务。SD-WAN 则控制应用如何使用包括 MPLS 在内的传输资源。在保留专用连接的同时添加宽带是一种合理的架构设计，而非未完成的迁移。
英国对该领域的兴趣早于当前的云安全讨论。根据 IDC 网络转型白皮书，在 2018 年欧洲企业通信调查中，35% 的英国受访者表示他们以某种形式使用了 SD-WAN（包括试点项目），另有 18% 计划开始使用。这些是历史采用数据，并非对当今市场的衡量。
实用准则：将 SD-WAN 视为管理 WAN 的一种方式，而不是您订购的一条线路。
运维方面的变化最为关键。您的团队无需再将每项业务需求转化为单独的路由器配置，而是可以定义统一的策略、控制例外情况并检查分支机构是否遵循这些策略。集中化减少了重复性工作，但也使得策略设计和变更审批变得更加重要。
SD-WAN 的各个组件如何协作
假设一家零售集团希望员工呼叫的优先级高于后台文件传输。跟踪从门店到目的地的呼叫过程，架构就会变得更容易理解。
呼叫首先到达 SD-WAN Edge（为分支机构提供服务的物理或虚拟设备）。Edge 会识别流量、应用相关策略并通过可用连接对其进行转发。对于参与的 SD-WAN 端点之间的流量，它可以将数据包放置在加密隧道内部。
功能对应关系如下所示：
边缘设备、控制器与编排器
Controller 向边缘设备分发控制信息、策略和路由指令。Orchestrator 负责全服务的设置与协调，包括配置、模板和配置管理。
这些是功能性角色，并不一定意味着要购买单独的硬件设备。在供应商的平台中，管理界面可能会将它们结合在一起。策略控制与底层传输的分离是 Red Hat 的 SD-WAN 说明 中所述架构的核心。
对于零售管理员而言，集中更改经批准的语音策略可取代编辑每个门店配置的繁琐工作。不过，管理员仍需检查部署状态、识别异常情况并保留回滚计划。控制台成功发出命令并不代表每个 Edge 都已应用该命令。
重叠网络、底层网络与云接入
底层网络（underlay）是实际的网络连接：租用以太网、宽带、移动接入或其他传输介质。重叠网络（overlay）是在这些服务之上构建的逻辑网络。
因此，当分支机构更换接入服务提供商时，应用策略可以保持一致。但是，直接互联网流量并不一定会全程保留在加密的 SD-WAN 隧道中直到抵达 SaaS 应用。请检查每个隧道的终点位置，以及哪些手段在保护其余路径。
云端连接也需要准确的术语表述。本地互联网突破 (Local internet breakout) 将批准的云端流量从分支机构直接发送出去，而不是绕经总部。云端接入 (Cloud on-ramp) 则将 WAN 连接到云环境或供应商网关。它们可以服务于同一个云端访问目标，但并不是完全相同的服务。
使用涵盖以下内容的采购清单：
- 路由兼容性：确认与现有路由及网络边界的集成。
- 加密叠加网络：确定支持的隧道端点和加密选项。
- 寻址：检查 IPv4 和 IPv6 需求。
- 云连接：确定应用所需的网关和接入点。
- 防火墙集成：确认检测发生的地点以及管理责任方。
最后，验证每个地址的访问可用性。只有当供应商能够交付拟议的备用连接时，它才具有实用价值。
流量如何自动寻找最佳路径
分支机构的主连接发生拥堵。虽然技术上仍处于在线状态，但通话者会听到语音断断续续和长时间的停顿。这是网络性能下降（brownout），而非完全中断。
仅检查链路是否在线的路由配置可能会继续使用该链路。而 SD-WAN 可以评估连接是否依然适合该应用，并将受影响的流量迁移至替代链路。
应用感知动态路径选择结合使用延迟、抖动、丢包率和可用性等测量数据以及管理员定义的规则，正如 Palo Alto Networks 的 SD-WAN 文档 中所述。
明确适用的定义和标准
最佳路径并不总是最快或最便宜的。您的团队必须明确每个应用所需的具体条件。
- 语音与视频：优先选择抖动较低的路径，即数据包到达时间的波动较小。
- 交易类应用：设定可接受的丢包率上限，保护业务关键交互。
- 交互式 SaaS：优先处理响应迅速的应用交易，而非仅选择看起来最短的路由。
- 普通浏览：在性能充足的前提下允许使用成本较低的宽带。
- 批量传输：防止备份和的大文件下载耗尽其他业务所需的带宽容量。
高级功能同样需要仔细评估。前向纠错发送恢复信息以帮助弥补数据包丢失。隧道绑定整合链路资源，而服务质量（QoS）则优先处理存在竞争的流量。
这些机制会消耗资源。恢复流量会占用带宽，加密会消耗处理能力，而优先级排序无法在过载的曲线上凭空制造容量。
测试性能下降情况，而不仅仅是断开连接
围绕往返时延、抖动、丢包率、故障转移时间、语音平均意见得分 (MOS) 以及网络拥堵下的SaaS事务性能构建验收测试。时延和抖动测试 有助于建立基线，但它不能替代应用程序测试。
测速成功并不意味着当首选连接恶化时，分支机构仍能正常接听电话。
请检查路径切换过程中用户的实际体验。不要仅仅因为供应商宣称支持自动故障转移，就假定活动会话能够不受影响。
SD-WAN 本身并不能直接保证性能。 实际效果取决于接入环路质量、运营商多样性、控制器部署位置、加密开销以及策略准确性。如果备用连接同样拥堵，边缘设备也无法选择健康的路劲。
部署模式与 SD-WAN 的回报领域
在对比功能列表之前，请先确定运营模式。您的企业需要一种与其技能水平、支持覆盖范围以及直接控制意愿相匹配的模式。
SD-WAN 部署模型
| 部署模式 | 运营主体 | 适用场景 | 注意事项 |
|---|---|---|---|
| 自管模式 | 您的 IT 团队 | 具备强劲网络技能且规模适中的企业 | 需承担升级、策略和排错的全部责任 |
| 托管式 SD-WAN | 服务提供商 | 缺少大型网络团队的多分支机构 | 提供商的 SLA 限制以及较少的直接控制权 |
| 安全 SD-WAN 或 SASE | 采用托管服务的服务提供商 | 需要集成防火墙和云安全的站点 | 更高的月度成本和更深度的厂商依赖 |
| 混合 Overlay | 您与提供商共同分担 | 关键站点保留 MPLS 的同时叠加宽带网络 | 过渡期间需并行管理传输线路与支持安排 |
这些分类互有重叠。混合网络既可以自管，也可以由供应商管理；而安全 SD-WAN 描述的是能力，而非通用的支持安排。请务必仔细阅读服务说明，而不要仅仅看套餐名称。
使设计方案与工作负载相匹配
零售业。假设某连锁企业将日常浏览、库存系统访问和经批准的 SaaS 流量迁移到企业宽带上，然后在每个门店增加移动备用链路。在支付和运营应用通过测试之前，它会保留现有的专用传输通道。预期的结果是在固定线路故障期间保持持续营业，而不仅仅是减少线路账单。
酒店住宿。酒店集团引入了针对访客、员工和支付流量的统一策略。它增加了备用接入服务，并将访客下载的优先级设置为低于业务操作。这样做的实际效果是在不同门店之间实现了一致的流量处理，同时本地接入控制可以保持不同用户之间的隔离。
医疗保健。医疗机构将经批准的临床云流量从总部回传路线更改为经过测试的云访问路径。在应用程序存在依赖关系的情况下，它仍保留专用连接。病历访问和影像工作流程需要单独评估：登录响应迅速并不代表调取影像的性能符合要求。
对于学生公寓和住宅建筑，WAN 控制可以保护楼宇管理和员工应用程序免受竞争性需求的干扰。但它本身并不能实现住户隔离。在本地接入层，我们的 Multi-Tenant WiFi 为每位住户的所有设备（包括无浏览器控制台和电视）提供独立的专有网络。
拥有稳定线路、简单应用且无重大弹性要求的单站点企业，可能无法从 SD-WAN 叠加网络中获益多少。一台管理良好的路由器和适当的备用服务就足够了。
评估部署模型是否合适的最强有力信号来自组织层面：您能够明确指定由谁批准策略、由谁监控故障以及由谁向各个供应商进行升级上报。如果这些职责尚不明确，则说明该服务还没准备好采购。
与 MPLS 相比，SD-WAN 的实际成本
SD-WAN 是降低了运营 WAN 的整体成本，还是仅仅降低了每月线路账单？为了与 MPLS 进行公平对比，请将网络连接、弹性、安全性、设备以及维护服务运行的人力成本全部纳入考量。
英国单站点 SD-WAN 参考成本
Compare Your Business Costs 的英国 SD-WAN 价格指南 给出了参考月度费用区间：基础叠加网络约为 每站点 50 至 150 英镑，托管服务为 150 至 500 英镑，安全 SD-WAN 或 SASE 为 每站点 250 至 800 英镑或更高。指南还指出，专用以太网每月可能超过 1,000 英镑，而基础宽带成本约为 50 英镑。
| 服务级别 | 典型每月成本 | 通常额外收费 |
|---|---|---|
| 基础叠加网络 | 每个站点 £50 - £150 | 网络连接、硬件和技术支持 |
| 托管 SD-WAN | 每个站点 £150 - £500 | 商定套餐之外的线路、硬件和技术支持 |
| 安全 SD-WAN 或 SASE | 每个站点 £250 - £800 或更多 | 商定套餐之外的网络连接、硬件和技术支持 |
| 专线以太网对比 | 每条线路可能超过 £1,000 | 报价中的安装费用；请检查交付周期和合同期限 |
| 基础宽带对比 | 每条线路约 £50 | 额外的弹性支持和增强型支持（若提供） |
请将这些视为预算参考范围，而非正式报价。安装交付周期本身不是一项费用，但延误可能意味着需要为现有线路支付更长时间的费用。宽带产品在服务和支持条款方面也有所不同。
建立全面的对比分析
将接入线路、边缘硬件、订阅费用、移动数据、安全检查、监控和供应商管理汇总计算。同时计算过渡成本：并行服务、安装工程、重叠合同和工程人员时间。
只有当第二条线路避开了相同的故障点时，才能提高网络弹性。从不同的零售商购买线路并不意味着线缆使用了独立的管道或独立的底层设施。
请问：
- 此场景是否需要应用感知路由？ 小型站点可能只需要简单的备用线路，而不需要庞大的 Overlay 架构。
- 接入路径是否具备多样性？ 索取交付信息以评估是否存在共用单点故障。
- 团队能否跨供应商排查故障？ 必须有人能够定位故障是出在接入线路、Overlay、防火墙还是应用本身。
来自 Vight 的托管服务成本洞察 提供了将管理费用与网络连接及项目工作进行区分的背景参考。
采购测试：对比同等的弹性与支持能力，而不是拿优质的专线接入与无保护的宽带线路进行对比。
集中式配置可以减少重复性配置和现场服务。大型企业可能比节省传输成本更看重这种一致性；而较小的网络规模则可能更看重获取托管专业知识的机会。
SD-WAN 可以降低传输成本，但同时也可能增加其他运营成本。决策的关键在于，由此带来的弹性与控制能力是否足以证明运行该服务的全部成本是合理的。
安全限制与基于身份的访问控制
加密隧道可以保护特定路径上的流量。但它无法让未经管理的笔记本电脑变得可信，无法修复暴露的云应用，也无法纠正权限过大的防火墙规则。
Compare Your Business Costs 汇总的英国 SD-WAN 安全指南 强调了国家网络安全中心对路由控制和加密的重视，包括检查端到端 IPsec 保护和强安全性配置配置文件。实际问题在于防护从何处开始、在何处结束以及由谁维护。
为每项控制措施指定责任人
托管服务不会自动转移所有的安全责任。请将以下责任纳入服务设计和合同中：
- 加密与密钥：明确加密范围、密钥轮换和证书管理。
- 控制平面访问：要求对管理与控制通信进行身份验证。
- 分段与隔离：记录租户边界及分段之间允许的流量。
- 供应商访问：明确特权访问的审批、限制和撤销机制。
- 日志记录与响应：分配警报审查、事件调查和证据保留职责。
- 软件维护：指定负责更新、漏洞响应和审计证据的责任人。
本地互联网突破（Breakout）也改变了策略执行的要求。如果分支机构不再通过集中检查点发送流量，请在其新线路上提供适当的检查和策略执行。
保持网络与身份识别相互独立
SD-WAN 引导跨 WAN 连接的流量。SASE（安全访问服务边缘）将 WAN 连接功能与云端交付的安全能力融为一体。零信任访问则评估特定的用户和设备是否应获得某个资源的访问权限。
这些层级解决的是不同的问题。识别业务应用并不能确定使用者的身份；而在分支机构内部连入网络，也不应自动获得广泛的访问权限。
在 WiFi 边缘，基于身份的网络连接 允许管理员根据经过身份验证的用户和设备来授予访问权限，而不是依赖共享密码或网络位置。然后，您的访问策略应与通过更广泛网络实施的网络分段保持一致。
我们的 Staff WiFi 通过托管 EAP-TLS 证书对员工设备进行入网配置，因此无需定期更换共享密码。它提供 WPA2/3-Enterprise、Passwordless WiFi 和 RADIUS-as-a-Service，无需复杂的 NAC 即可提供企业级的员工 WiFi 安全保障。
这并不能取代 WAN 安全性。它解决的是本地身份验证层的问题，该层必须与路由、检测和应用授权协同工作。
对于个人、临床或支付数据，架构和日常运维比 SD-WAN 这一标签更为重要。请要求提供预期控制措施协同工作的证据，而不是将加密直接视为完全防护的证明。
如何规划从 MPLS 迁移至 SD-WAN
从能够验证您策略的试点开始，而不是根据供应商演示来建立候选名单。明智的迁移方案会在您的团队熟悉新服务运行特性的同时，保留恢复原有方案的能力。
路线图展示了大致的顺序；实施过程则需要明确的验证和回滚决策。
准备基础设施与职责分配
盘点每个站点、线路、合同和应用。 记录合同到期日、通知要求、接入提供商和应用目的地（包括云托管服务）。将小型站点、旧版线路以及可能从设计中忽略的固定寻址等依赖项纳入盘点范围。
按敏感性和性能需求对流量进行分类。 区分语音、视频、交易和批量传输。记录哪些应用可以使用本地互联网接入，哪些需要受控的专用路径；将单一策略应用于所有流量会破坏应用感知设计。
选择运营模式并指定安全归属。 明确记录由谁批准变更、维护证书、审查警报和处理供应商升级。除非协议明确规定，否则不要假定托管服务提供商拥有控制权。
在停用线路前验证设计方案
在低风险分支机构提供带有后备方案的试点。 将叠加网络与现有连接并行运行，并保留记录在案的回退路线。选择一个具有代表性应用的站点，而不是安装最简单的地点。
运行基于拥塞的验收测试。 使用前面描述的性能检查，由应用所有者观察实际的工作流程。在测试前商定通过标准，并包含链路降级条件，而不是依赖拔掉网线的演示。
按受控批次进行迁移。 按业务风险、应用依赖关系和访问准备情况对站点进行分组。在商定的监控期证实运行状况良好之前，在关键位置保留专用连接，不要围绕未确定的宽带交付日期安排切分时间。
仅在完成技术和合同检查后才退役。 确认稳定运行，删除废弃路由并在取消服务前检查通知期。保留配置备份并更新架构图、支持记录和事件处置流程。
在授权批次上线之前，请与服务台及应用所有者共同复核未解决的异常问题。即使员工仍在为某个业务工作流程发愁，网络仪表板上的数据也可能显示健康。
您的首个交付物应当是一套经过测试的策略集和一个可恢复的试点项目。 完成这些之后，服务商之间的对比才会更有意义，因为您可以根据贵组织已验证的需求来评估服务。
我们提供 Guest WiFi、Staff WiFi 和 Multi-Tenant WiFi，在您的 WAN 设计基础上，协助控制在接入层进行连接的人员。请访问 Purple，探索无密码员工访问和私人住户网络，并探讨这些访问策略如何适配您的 SD-WAN 迁移。
