2. SD-WAN核心架构与组件
SD-WAN 之所以能在一张物理广域网上同时承载多条链路、多种业务和集中策略，根本原因在于它把传统路由器“控制与转发合一”的架构拆成了三个相互配合的平面：管理平面负责“人怎么管设备”，控制平面负责“网络怎么算路和下发策略”，数据平面负责“报文实际怎么走”。理解这三个平面以及 vManage、vSmart、vBond、vEdge 四类角色的分工与交互，是后续部署、排障和策略设计的基础。
三个平面的职责边界
管理平面是运维人员的操作入口。在 Cisco SD-WAN（Viptela）体系中，vManage 是管理平面的核心，提供图形界面、REST API、告警、审计和模板下发能力。它不参与转发，也不直接计算隧道，而是把配置、策略、软件版本等意图推送给控制器和设备。
控制平面负责“谁和谁可以建隧道、走哪条路、用什么策略”。vSmart 控制器是控制平面的核心，它通过 OMP（Overlay Management Protocol）与所有 vEdge 建立控制连接，收集各站点的路由、TLOC（Transport Locator，传输定位符）和策略信息，再计算并下发到各边缘设备。OMP 承载的是“可达性 + 策略 + 密钥”，而不是用户数据本身。
数据平面负责真正的业务报文转发。vEdge 之间通过 IPsec 隧道传输数据，隧道建立在物理链路（如 MPLS、Internet、5G）之上。数据平面还负责应用识别、QoS 标记、前向纠错（FEC）、丢包重传等与体验直接相关的动作。控制平面决定“可以走哪条隧道”，数据平面决定“这条隧道上怎么把包送好”。
四类角色的定位与交互
vBond 是编排器，相当于“总机”。它不参与数据转发，也不做策略计算，主要职责是：验证设备身份、向 vEdge 和 vSmart 通告彼此的地址、协助 NAT 后的设备建立连接。任何 vEdge 第一次上线时，都必须先找到 vBond，由它牵线搭桥，才能与 vSmart 和 vManage 建立后续连接。
vSmart 是控制器的“大脑”。它维护全网 OMP 路由表，接收 vEdge 上报的 TLOC 和路由，按策略计算后下发。vSmart 通常以集群方式部署，多台之间通过 OMP 同步，保证控制平面高可用。
vManage 是管理平面的“驾驶舱”。它保存配置模板、策略模板、设备清单和监控数据，通过 NETCONF 向 vEdge 下发配置，通过 API 与 vSmart 交互策略。vManage 还负责证书管理、软件升级和故障告警。
vEdge（或 vEdge Cloud、ISR/ASR 上的 SD-WAN 镜像）是数据平面的执行者。它位于企业分支或数据中心，负责建立 IPsec 隧道、执行应用识别、QoS、策略路由和故障切换。vEdge 同时与 vBond、vSmart、vManage 保持连接，但只有数据报文走 vEdge 之间的隧道。
上线与交互时序
一个分支 vEdge 从加电到可转发，典型过程如下：设备启动后先通过 DHCP 或静态配置获得地址，然后向 vBond 发起 DTLS 连接；vBond 验证证书后，把 vSmart 和 vManage 的地址返回给 vEdge；vEdge 再分别与 vSmart 建立 OMP over DTLS 控制连接、与 vManage 建立 NETCONF 管理连接；vSmart 收到 vEdge 的 TLOC 和路由后，计算并下发策略；vEdge 根据策略与对端 vEdge 建立 IPsec 数据隧道，业务流量开始按策略转发。
关键交互关系与部署要点
从图中可以看出，vBond 是唯一一个所有角色都必须先访问的组件，因此它通常部署在公网可达的位置，并配置静态 IP 或域名。vSmart 和 vManage 可以部署在私有云或数据中心，通过 vBond 的地址通告让分支找到它们。vEdge 与 vSmart 之间是 OMP 控制连接，与 vManage 之间是 NETCONF 管理连接，与对端 vEdge 之间才是 IPsec 数据隧道，三者不能混为一谈。
实际部署时，常见参数示例如下：vBond 使用公网地址 203.0.113.10，vSmart 集群使用 10.10.10.11 和 10.10.10.12，vManage 使用 10.10.10.20。分支 vEdge 通过 DHCP 获得 192.168.100.10/24，系统 IP 配置为 10.0.0.1/32，隧道接口使用 10.0.0.1。这些地址属于教学示例，实际部署时应按企业地址规划替换。
show control connections 查看与 vSmart 的 OMP 连接，执行 show bfd sessions 查看数据隧道状态。若 vEdge 无法上线，优先检查 vBond 可达性、证书是否有效、NAT 是否放行 DTLS 端口。
三平面与四角色的对应关系
| 平面 | 核心组件 | 主要协议/接口 | 作用 |
|---|---|---|---|
| 管理平面 | vManage | NETCONF、REST API、HTTPS | 配置下发、监控、告警、证书管理 |
| 控制平面 | vSmart | OMP over DTLS | 路由计算、TLOC 分发、策略下发 |
| 数据平面 | vEdge | IPsec、BFD、QoS | 业务报文转发、应用识别、链路切换 |
| 编排 | vBond | DTLS | 身份验证、地址通告、NAT 穿透协助 |
需要特别注意的是，vBond 虽然常被归入控制平面讨论，但它本身不参与 OMP 路由计算，也不转发数据，更准确的定位是“编排器”。把 vBond 理解为“总机”而不是“大脑”，有助于在排障时快速区分：设备找不到 vBond 是上线问题，设备连上 vSmart 但路由不对是控制平面问题，隧道建立但业务不通是数据平面问题。
理解三平面与四角色的分工后，后续配置模板、策略下发、隧道建立和故障排查都会有一个清晰的参照系：先确认管理平面能否管到设备，再确认控制平面能否算出路径，最后确认数据平面能否把包送过去。这个顺序也是实际排障时最稳妥的切入点。