SD-WAN技術(shù)在企業(yè)網(wǎng)絡(luò)接入中的研究與應(yīng)用

一、前言

企業(yè)網(wǎng)絡(luò)接入的方式多種多樣，如專線接入、VPN接入、MPLS接入、SD-WAN接入等。針對(duì)企業(yè)網(wǎng)絡(luò)當(dāng)前面臨的WAN架構(gòu)封閉、分支接入點(diǎn)數(shù)量激增、業(yè)務(wù)保障困難巨大、業(yè)務(wù)部署成本高、業(yè)務(wù)部署慢和運(yùn)維困難等問(wèn)題，SD-WAN技術(shù)可以采用集中式架構(gòu)提供全場(chǎng)景互聯(lián)，零配置開(kāi)局自動(dòng)化部署，并通過(guò)應(yīng)用級(jí)智能選路與智能加速、智能運(yùn)維，構(gòu)建更好的業(yè)務(wù)體驗(yàn)[1]。

二、企業(yè)網(wǎng)絡(luò)常用的接入方式

（一）專線接入

企業(yè)網(wǎng)絡(luò)常用的專線接入方式有很多，但隨著企業(yè)內(nèi)部業(yè)務(wù)種類和流量的激增，對(duì)專線帶寬和時(shí)延的要求也越來(lái)越高，常見(jiàn)的接入方式有以下幾種：

光纖專線：利用光纖進(jìn)行數(shù)據(jù)傳輸，具有傳輸距離遠(yuǎn)、傳輸速度快、損耗低、抗干擾能力強(qiáng)等優(yōu)點(diǎn)，能提供更高的帶寬，適合對(duì)數(shù)據(jù)傳輸速度和穩(wěn)定性要求極高的大型企業(yè)、數(shù)據(jù)中心等。

SDH專線：基于同步數(shù)字體系，SDH具有標(biāo)準(zhǔn)的復(fù)用結(jié)構(gòu)，可以靈活地將多個(gè)低速率信號(hào)復(fù)用成高速率信號(hào)，提供從2Mbit/s到10Gbit/s甚至更高的傳輸速率，滿足不同用戶對(duì)大帶寬的需求。能與現(xiàn)有的PDH網(wǎng)絡(luò)實(shí)現(xiàn)完全兼容，還能容納各種新的業(yè)務(wù)信號(hào)，如ATM信元、IP數(shù)據(jù)包等，具有很強(qiáng)的兼容性和適應(yīng)性。

MSTP專線接入：基于SDH平臺(tái)，同時(shí)實(shí)現(xiàn)TDM、ATM、以太網(wǎng)等業(yè)務(wù)的接入、處理和傳送，提供統(tǒng)一網(wǎng)管的多業(yè)務(wù)節(jié)點(diǎn)。MSTP專線利用了SDH技術(shù)的高可靠性和強(qiáng)大的交叉連接能力，將多種業(yè)務(wù)整合在一個(gè)傳輸平臺(tái)上，為用戶提供專用的、點(diǎn)到點(diǎn)或點(diǎn)到多點(diǎn)的通信連接。

相比共享型的公共網(wǎng)絡(luò)連接，專線接入能夠滿足對(duì)高速、穩(wěn)定網(wǎng)絡(luò)的需求，還避免了帶寬不足、延遲高和網(wǎng)絡(luò)擁塞等問(wèn)題。缺點(diǎn)是成本較高，靈活性較低，主要用于骨干區(qū)域連接。

（二）VPN接入

VPN接入是在不安全的公共網(wǎng)絡(luò)上，利用隧道技術(shù)、加密技術(shù)、身份認(rèn)證技術(shù)等，來(lái)建立安全的數(shù)據(jù)傳輸。常見(jiàn)的VPN接人有以下幾種：

1.IPSecVPN

工作原理：IPSecVPN基于IP協(xié)議，用于在兩個(gè)設(shè)備之間建立加密的虛擬隧道。這種隧道可以在公共網(wǎng)絡(luò)上保護(hù)數(shù)據(jù)傳輸?shù)陌踩裕Ｓ糜谡军c(diǎn)之間的VPN。

協(xié)議：使用IPSec協(xié)議進(jìn)行加密和認(rèn)證，通常需要配置更多的網(wǎng)絡(luò)設(shè)備，如路由器、防火墻或硬件VPN設(shè)備。

客戶端要求：通常需要專門(mén)的客戶端軟件來(lái)建立連接，或通過(guò)硬件設(shè)備來(lái)進(jìn)行連接。

安全性：提供強(qiáng)大的加密和身份驗(yàn)證機(jī)制，通常使用AES、3DES等加密算法以及IKE協(xié)議來(lái)進(jìn)行密鑰交換。

性能：IPSecVPN由于加密和解密的處理，需要一定的硬件資源支持，但它能提供穩(wěn)定的性能，適合于大流量和長(zhǎng)期的站點(diǎn)間連接。

2.SSL VPN

工作原理：SSLVPN是基于SSL或TLS協(xié)議的VPN技術(shù)。它通過(guò)Web瀏覽器來(lái)建立加密連接，不需要專門(mén)的客戶端軟件。

協(xié)議：使用SSL/TLS協(xié)議進(jìn)行加密，通常是基于Web的應(yīng)用，通過(guò)瀏覽器來(lái)連接VPN。

客戶端要求：通常只需要Web瀏覽器即可連接，用戶通過(guò)瀏覽器訪問(wèn)特定的URL來(lái)啟動(dòng)VPN會(huì)話，避免了傳統(tǒng)的VPN客戶端軟件。

安全性：SSLVPN提供的加密安全性較高，尤其是在需要對(duì)用戶進(jìn)行強(qiáng)身份認(rèn)證和數(shù)據(jù)加密的場(chǎng)景中。它還支持通過(guò)HTTPS（端口443）進(jìn)行加密通信，避免了防火墻的限制。

性能：SSLVPN對(duì)客戶端的性能要求較低，尤其適合低帶寬和短時(shí)間連接的場(chǎng)景。

IPSecVPN適用于需要高性能和長(zhǎng)期穩(wěn)定連接的場(chǎng)景，如分支站點(diǎn)之間以及分支與總部數(shù)據(jù)中心間的互聯(lián)，當(dāng)分支站點(diǎn)數(shù)量巨大、業(yè)務(wù)種類繁多時(shí)，面臨站點(diǎn)管理困難、重要業(yè)務(wù)難保障等問(wèn)題。SSLVPN適用于臨時(shí)、低帶寬的遠(yuǎn)程訪問(wèn)，尤其是遠(yuǎn)程工作時(shí)，用戶可以通過(guò)Web瀏覽器方便地訪問(wèn)企業(yè)內(nèi)網(wǎng)資源，但面對(duì)多站點(diǎn)、大應(yīng)用的場(chǎng)景有些無(wú)能為力。

（三）MPLSVPN接入

CE設(shè)備：即用戶邊緣設(shè)備，是位于用戶端的設(shè)備，連接用戶網(wǎng)絡(luò)與服務(wù)提供商的網(wǎng)絡(luò)，負(fù)責(zé)將用戶數(shù)據(jù)接入到MPLSVPN網(wǎng)絡(luò)中。

PE設(shè)備：即提供商邊緣設(shè)備，是服務(wù)提供商網(wǎng)絡(luò)邊緣的設(shè)備，與CE設(shè)備相連。PE設(shè)備負(fù)責(zé)處理VPN相關(guān)的業(yè)務(wù)，如標(biāo)簽的添加和移除、VPN路由的管理等。

P設(shè)備：即提供商設(shè)備，位于服務(wù)提供商網(wǎng)絡(luò)內(nèi)部，主要負(fù)責(zé)根據(jù)標(biāo)簽進(jìn)行快速轉(zhuǎn)發(fā)數(shù)據(jù)包，不參與VPN路由信息的處理。

運(yùn)營(yíng)商PE與PE之間運(yùn)行IGP協(xié)議和LDP協(xié)議，建立LDP會(huì)話，根據(jù)標(biāo)簽信息建立LSP。

CE用戶側(cè)可運(yùn)行OSPF、ISIS、靜態(tài)路由、BGP協(xié)議，通過(guò)VRF（虛擬路由轉(zhuǎn)發(fā)）實(shí)現(xiàn)VPN之間的邏輯隔離，PE收到CE側(cè)的路由，增加RD值，生成全局唯一的VPNv4路由，可傳遞至對(duì)端PE，進(jìn)行通信。當(dāng)CE側(cè)運(yùn)行BGP協(xié)議時(shí)，傳統(tǒng)的BGP協(xié)議不支持VPNv4，需運(yùn)行MP-BGP協(xié)議，本地PE發(fā)布路由時(shí)附上RT屬性，在遠(yuǎn)端PE接收到VPNv4路由時(shí)，根據(jù)RT值導(dǎo)入對(duì)應(yīng)的VPN實(shí)例，然后將RD值剝除，將路由通告給相應(yīng)的CE設(shè)備。

MPLSVPN因地址空間重疊、組網(wǎng)方式靈活、可擴(kuò)展性好等特性，非常適合需要高性能、高安全性以及高度可擴(kuò)展網(wǎng)絡(luò)的企業(yè)和大型組織，尤其在跨地域的企業(yè)網(wǎng)絡(luò)中，能夠提供穩(wěn)定的連接和優(yōu)異的流量管理能力。然而，它的成本較高，部署和維護(hù)較為復(fù)雜，需要專業(yè)的網(wǎng)絡(luò)技術(shù)和支持。

（四）SD-WAN接入

SD-WAN相較于傳統(tǒng)的專線、MPLS和VPN技術(shù)更加靈活和高效。SD-WAN利用控制器來(lái)實(shí)現(xiàn)自動(dòng)化部署、配置下發(fā)、集中管理與智能路由、應(yīng)用識(shí)別等功能。

1.選擇多種接入方式

SD-WAN可以通過(guò)多種方式接入廣域網(wǎng)：

公共互聯(lián)網(wǎng)接入：通過(guò)寬帶互聯(lián)網(wǎng)連接，實(shí)現(xiàn)全球范圍內(nèi)的靈活連接。

專線接入：可以部署在MPLS或?qū)＞€線路上，以確保核心應(yīng)用和數(shù)據(jù)的優(yōu)先級(jí)。

4G/5G移動(dòng)數(shù)據(jù)：通過(guò)LTE/5G無(wú)線接人，提供更高的靈活性和備份選項(xiàng)。

2.集中管理與智能路由

SD-WAN平臺(tái)通過(guò)部署一個(gè)集中式的控制器來(lái)管理和監(jiān)控所有接人的網(wǎng)絡(luò)。

自動(dòng)化配置和策略應(yīng)用：根據(jù)業(yè)務(wù)需求，控制器自動(dòng)為不同分支/站點(diǎn)分配適當(dāng)?shù)膸捄吐酚刹呗浴?/p>

流量?jī)?yōu)化與路由選擇：SD-WAN控制器根據(jù)實(shí)時(shí)網(wǎng)絡(luò)性能（延遲、帶寬、丟包率等）選擇最佳路徑。

應(yīng)用感知與優(yōu)先級(jí)控制：能夠識(shí)別不同類型的流量，如語(yǔ)音、視頻、ERP、CRM等，并為不同應(yīng)用分配優(yōu)先級(jí)。

3.部署和運(yùn)維

SD-WAN設(shè)備通常可以在現(xiàn)場(chǎng)進(jìn)行簡(jiǎn)單的“即插即用”部署。管理員只需要在SD-WAN控制器中進(jìn)行配置，現(xiàn)場(chǎng)設(shè)備便可自動(dòng)連接到控制器，配置并實(shí)施策略。運(yùn)維方面，SD-WAN提供了集中監(jiān)控和實(shí)時(shí)報(bào)告功能，能夠快速定位和解決網(wǎng)絡(luò)問(wèn)題，減少人工干預(yù)。

4.靈活性與可擴(kuò)展性

SD-WAN的優(yōu)勢(shì)之一是能夠靈活地適應(yīng)不同的網(wǎng)絡(luò)需求，隨著企業(yè)業(yè)務(wù)的擴(kuò)展，可以輕松添加新的接入點(diǎn)和連接方式，使得SD-WAN特別適合于分布式組織或在多個(gè)地點(diǎn)有廣域網(wǎng)需求的企業(yè)。

5.成本優(yōu)勢(shì)

通過(guò)SD-WAN，企業(yè)能夠減少對(duì)傳統(tǒng)專線的依賴，轉(zhuǎn)而使用成本較低的互聯(lián)網(wǎng)連接或4G/5G網(wǎng)絡(luò)，不僅降低了WAN的建設(shè)和運(yùn)營(yíng)成本，還能實(shí)現(xiàn)更高的網(wǎng)絡(luò)靈活性和帶寬利用效率。

三、SD-WAN組網(wǎng)研究

企業(yè)網(wǎng)絡(luò)接入涉及多個(gè)總部數(shù)據(jù)中心以及大量分支接入點(diǎn)時(shí)，將在架構(gòu)設(shè)計(jì)、控制器設(shè)計(jì)、多HUB組網(wǎng)、多SD-WAN鏈路支持、應(yīng)用識(shí)別與流量控制、TCP優(yōu)化等方面進(jìn)行組網(wǎng)設(shè)計(jì)研究。

（一）架構(gòu)設(shè)計(jì)

采用集中式架構(gòu)（Hub-and-Spoke）設(shè)計(jì)，多總部中心Hub主備切換，分支機(jī)構(gòu)站點(diǎn)多SD-WAN鏈路備份，所有流量經(jīng)過(guò)中心主Hub，然后再根據(jù)需要分發(fā)到各個(gè)分支（Spoke），如圖1所示。這種架構(gòu)簡(jiǎn)化了網(wǎng)絡(luò)管理，支持大量分支站點(diǎn)自動(dòng)化部署，保障了Hub節(jié)點(diǎn)冗余和SD-WAN鏈路冗余，避免單點(diǎn)故障，各分支站點(diǎn)可根據(jù)實(shí)際流量和需求選擇鏈路類型和帶寬。

（二）控制器設(shè)計(jì)

控制器集群部署，可選擇單節(jié)點(diǎn)部署，也可根據(jù)需求選擇3， 式部署來(lái)防止平票，多節(jié)點(diǎn)部署即使一個(gè)或多個(gè)節(jié)點(diǎn)失效，只要有節(jié)點(diǎn)正常工作，集群依然能夠提供服務(wù)。隨著節(jié)點(diǎn)數(shù)目的增加，集群的性能和擴(kuò)展性也得以提高，尤其在復(fù)雜的系統(tǒng)中，多個(gè)控制器節(jié)點(diǎn)可以分擔(dān)任務(wù)負(fù)載，減少瓶頸。

（三）多HUB組網(wǎng)

在控制器上設(shè)置中心站點(diǎn)優(yōu)先級(jí)，優(yōu)先級(jí)數(shù)值越小越優(yōu)，將Hub1優(yōu)先級(jí)定為1，Hub2優(yōu)先級(jí)定為2，設(shè)置Hubl為主中心站點(diǎn)，中心站點(diǎn)也可采用集群設(shè)計(jì)來(lái)提供服務(wù)，增強(qiáng)業(yè)務(wù)的承載能力。在spokel、spoker2上，接收的路由具備Hubl、Hub2的來(lái)源且Hub1優(yōu)先級(jí)高于Hub2，生成拓?fù)淙鐖D2所示，實(shí)線表示主鏈路，虛線表示備鏈路。

（四）鏈路支持

分支CPE支持同時(shí)接入專線、有線互聯(lián)網(wǎng)、4G/5G（CPE內(nèi)置SIM卡槽），所有WAN鏈路皆支持與匯聚CPE建立SD-WAN鏈路，與控制器通信。匯聚CPE支持同時(shí)接人2條專線、2條有線互聯(lián)網(wǎng)，所有WAN鏈路皆支持與分支CPE及其他匯聚CPE建立SD-WAN鏈路，與控制器通信。分支CPE和匯聚CPE可同時(shí)部署多條、多類型接入鏈路，實(shí)現(xiàn)備份需求，生成SD-WAN鏈路。

技術(shù)應(yīng)用

（五）應(yīng)用識(shí)別與流量控制

控制器具備內(nèi)置應(yīng)用庫(kù)，可包含常用的微信、百度、360等多種應(yīng)用，還可支持基于源目IP、源目端口、DSCP值等網(wǎng)元信息自定義應(yīng)用。例如，在控制器中創(chuàng)建自定義業(yè)務(wù)test，通過(guò)TCP協(xié)議和端口443匹配test流量自定義應(yīng)用創(chuàng)建。在控制器啟用應(yīng)用防火墻，增加拒絕業(yè)務(wù)分類為test的流量策略，即可進(jìn)行自定義流量控制。

對(duì)test的流量還可設(shè)置QoS優(yōu)先級(jí)以及業(yè)務(wù)帶寬，對(duì)業(yè)務(wù)進(jìn)行打標(biāo)分類和帶寬保障。

通過(guò)應(yīng)用識(shí)別和流量控制，可以清楚地了解網(wǎng)絡(luò)中各種應(yīng)用程序所占用的帶寬情況。識(shí)別出不同應(yīng)用的流量，從而根據(jù)業(yè)務(wù)需求對(duì)帶寬進(jìn)行合理分配。

應(yīng)用識(shí)別還能夠幫助安全設(shè)備準(zhǔn)確識(shí)別出異常或惡意的應(yīng)用行為，及時(shí)采取阻斷、隔離等措施，防止安全事件的發(fā)生和擴(kuò)散，保護(hù)網(wǎng)絡(luò)和數(shù)據(jù)的安全。

（六）智能選路

在控制器設(shè)置Hub節(jié)點(diǎn)延時(shí)、丟包、抖動(dòng)切換閾值，完成策略的站點(diǎn)關(guān)聯(lián)與下發(fā)。當(dāng)鏈路質(zhì)量達(dá)到閾值后，流量會(huì)切換至其他鏈路。控制器還支持通過(guò)應(yīng)用庫(kù)、自定義應(yīng)用、源目IP、源目端口等網(wǎng)元信息設(shè)置基于SD-WAN鏈路帶寬流量閾值的選路策略，同時(shí)智能選路也可進(jìn)行鏈路回切[2]。設(shè)置ICMP探測(cè)頻率，當(dāng)鏈路恢復(fù)后，業(yè)務(wù)可自動(dòng)回切。智能選路可避免主鏈路故障或質(zhì)量不佳時(shí)對(duì)業(yè)務(wù)的影響，自動(dòng)檢測(cè)回切可在主鏈路質(zhì)量恢復(fù)后自動(dòng)承載業(yè)務(wù)，提高了鏈路選擇的靈活性。

（七）TCP優(yōu)化

SD-WAN鏈路多建立在互聯(lián)網(wǎng)鏈路、4G/5G基礎(chǔ)之上，網(wǎng)絡(luò)質(zhì)量不穩(wěn)定，TCP傳輸效率低，可以調(diào)整TCP接收窗口，使用連接池技術(shù)，復(fù)用已經(jīng)建立的TCP連接以及采用批量數(shù)據(jù)傳輸，減少小數(shù)據(jù)包的發(fā)送來(lái)進(jìn)行優(yōu)化[3]。

在模擬單WAN鏈路帶寬限速100Mbps，延遲70ms，丟包率大于 2 % 的環(huán)境下，正常傳輸速率低于1Mbps，在優(yōu)化后測(cè)試終端通過(guò)SD-WAN鏈路在文件共享協(xié)議下傳輸 500MB文件的平均下載速度可達(dá)到70Mbps以上[4]。

（八）其他功能支持

對(duì)路由協(xié)議的支持：CPE支持通過(guò)BGP和OSPF協(xié)議與第三方設(shè)備完成對(duì)接，具備BGP和OSPF路由過(guò)濾功能，還支持靜態(tài)路由和策略路由。通過(guò)對(duì)路由協(xié)議的支持，可以無(wú)縫對(duì)接企業(yè)內(nèi)網(wǎng)環(huán)境，進(jìn)行路由轉(zhuǎn)發(fā)和路由過(guò)濾以及策略路由功能。

對(duì)IPv6的支持：控制器支持Ipv4/IPv6雙棧業(yè)務(wù)配置和監(jiān)控，實(shí)現(xiàn)站點(diǎn)間IPv6業(yè)務(wù)互訪。支持LAN口靜態(tài)IPv6地址，動(dòng)態(tài)地址分配協(xié)議SLAAC。

四、結(jié)語(yǔ)

通過(guò)對(duì)企業(yè)網(wǎng)絡(luò)常用的接人方式以及對(duì)SD-WAN組網(wǎng)的研究，當(dāng)企業(yè)有大量分支站點(diǎn)接入時(shí)，SD-WAN從鏈路成本、接入靈活度以及組網(wǎng)功能各個(gè)維度的特性，可以滿足大部分應(yīng)用場(chǎng)景。作為一種新興的Overlay技術(shù)，利用控制器一鍵下發(fā)配置，對(duì)各個(gè)站點(diǎn)進(jìn)行智能化多維度管理，極大地降低了運(yùn)維難度和運(yùn)維工作量，并通過(guò)自定義應(yīng)用識(shí)別、智能選路與TCP優(yōu)化加速等特性，滿足企業(yè)個(gè)性化的業(yè)務(wù)需求，為企業(yè)構(gòu)建更好的業(yè)務(wù)體驗(yàn)。

參考文獻(xiàn)

[1]張晶.軟件定義網(wǎng)絡(luò)（SDN）架構(gòu)下的網(wǎng)絡(luò)管理與優(yōu)化研究[J]現(xiàn)代計(jì)算機(jī)，2023，29（15）：100-104.

[2]楊帥.傳統(tǒng)廣域網(wǎng)向軟件定義廣域網(wǎng)（SD-WAN）架構(gòu)轉(zhuǎn)型淺析[J].中國(guó)信息化，2019（05）：60-63.

[3]穆域博，柴瑤琳，宋平，等.SD-WAN產(chǎn)業(yè)發(fā)展與關(guān)鍵技術(shù)研究[J].信息通信技術(shù)與政策，2019（11）：73-78.

[4]洪莎莎，陳志軍.廣域網(wǎng)數(shù)據(jù)傳輸優(yōu)化技術(shù)研究[J].信息與電腦（理論版），2021，33（11）：192-195.

作者單位：中國(guó)石油新疆油田分公司（數(shù)智技術(shù)公司）

責(zé)任編輯：張津平尚丹