📚 课程目录第3章 Overlay与Underlay网络设计

3. Overlay与Underlay网络设计

SD-WAN 的核心思想，是把“物理承载网”和“业务转发网”解耦。Underlay 是运营商提供的物理链路与路由可达性，例如 MPLS、互联网宽带、5G；Overlay 则是在 Underlay 之上，用隧道把各站点逻辑地连成一张虚拟专网。理解这两层的关系，是掌握 SD-WAN 转发行为的前提：Underlay 决定“包能不能到”，Overlay 决定“包走哪条路、怎么加密、怎么选路”。

一、隧道技术：Overlay 的承载方式

SD-WAN 常见的 Overlay 隧道有三类。第一类是 IPsec，它提供加密、完整性校验和抗重放，是跨互联网组网的首选；第二类是 GRE，它本身不加密，但封装开销小、支持多协议，常与 IPsec 组合成“GRE over IPsec”；第三类是 DTLS，它基于 UDP，握手更快、对丢包和 NAT 更友好，适合实时性要求高的场景。三者的关键差异在于：IPsec 安全但握手较重，GRE 轻量但无加密，DTLS 兼顾低时延与安全。

以站点 A（10.1.1.0/24）到站点 B（10.2.2.0/24）为例，若采用 IPsec 隧道，A 侧网关会把原始报文封装为：外层源地址 = A 的 WAN 口公网 IP，外层目的地址 = B 的 WAN 口公网 IP，内层仍是 10.1.1.x → 10.2.2.x。封装后经 Underlay 转发，到达 B 侧解封装，再送入内网。GRE 的封装结构类似，但协议号不同，且没有加密头，因此抓包时能直接看到内层明文，这也是排障时区分两者的重要依据。

二、TLOC：隧道的“身份坐标”

在 Cisco SD-WAN 等体系中，TLOC（Transport Locator）是 Overlay 隧道的逻辑标识，通常由“System IP + 颜色（Color）+ 封装类型”组成。System IP 唯一标识一台设备，Color 标识链路类型（如 biz-internet、mpls、lte），封装类型标识 IPsec 或 GRE。例如 10.0.0.1,biz-internet,ipsec 就表示“设备 10.0.0.1 通过互联网链路建立的 IPsec 隧道”。

TLOC 的意义在于：它把“物理接口”抽象成“可被策略选择的路径”。同一台设备可以有多条 TLOC，分别对应不同运营商、不同封装。控制器通过 OMP 在站点间传播 TLOC 及其属性（如优先级、权重、站点 ID），转发面据此建立隧道并选路。因此，TLOC 是连接控制平面与数据平面的关键纽带。

三、BFD：毫秒级的路径健康检测

Overlay 隧道建立后，如何知道它“还活着”？SD-WAN 普遍使用 BFD（Bidirectional Forwarding Detection）。BFD 在两条 TLOC 之间周期性地发送探测包，若连续丢失达到阈值，就判定路径 Down，并触发路由收敛。与传统的路由协议 Hello 相比，BFD 的检测粒度可到毫秒级，且与协议无关。

典型参数示例：探测间隔 300 ms，失败检测倍数 3，则约 900 ms 未收到回应即判定故障。这个值需要在“检测速度”和“误报风险”之间权衡：设得太小，链路轻微抖动就会切换；设得太大，故障恢复慢。实际部署中，可对 MPLS 设 100 ms×3，对互联网设 300 ms×3，因为互联网抖动更频繁。

四、路径选择与负载均衡机制

有了 TLOC 和 BFD，SD-WAN 就能做智能选路。路径选择通常分两层：第一层是控制平面通过 OMP 传播 TLOC 属性，包括优先级（Preference）、权重（Weight）、站点 ID、区域 ID 等；第二层是数据平面根据 BFD 状态和应用策略，在可用路径中选出最优的一条或多条。

常见的选路策略包括：优先级选路——为 MPLS 设 Preference 200，互联网设 100，则 MPLS 优先；权重负载均衡——两条链路权重 3:1，则约 75% 流量走第一条；应用感知选路——语音走低时延链路，备份走大带宽链路；故障切换——BFD 检测到主路径 Down 后，自动切到备路径，切换时间取决于 BFD 参数。

负载均衡有两种模式：逐流负载均衡（per-flow）按五元组哈希，同一会话固定走一条路径，避免乱序；逐包负载均衡（per-packet）把每个包分散到多条路径，吞吐更高但易乱序，通常只用于 UDP 或特定场景。实际部署中，TCP 业务建议逐流，实时音视频可考虑逐包或复制转发。

五、一个可参考的配置片段

以下为 Cisco SD-WAN 风格的策略示例，用于说明“主备 + BFD”如何落地。参数为教学示例，实际需按链路质量调整：

policy
  app-route-policy VOICE_POLICY
    sequence 10
      match app-list VOICE_APPS
      action
        set prefer-color mpls
        set backup-color biz-internet
        set bfd-interval 100
        set bfd-multiplier 3
    !
  !
!
interface GigabitEthernet0/0/1
  color mpls
  tunnel-interface
    encapsulation ipsec
    allow-service all
  !
!
interface GigabitEthernet0/0/2
  color biz-internet
  tunnel-interface
    encapsulation dtls
    allow-service all
  !
!

这段配置的含义是：语音应用优先走 mpls 颜色的 IPsec 隧道，备选 biz-internet 的 DTLS 隧道；BFD 以 100 ms 间隔、3 倍失败判定检测。若 mpls 链路 BFD 超时约 300 ms，语音流量会切到互联网隧道。判断是否生效，可在控制器查看 TLOC 状态、BFD 会话表，或在网关上用 show sdwan bfd sessions 观察 State 是否为 Up、Uptime 是否重置。

排障提示：若隧道显示 Up 但业务不通，优先检查 TLOC 的 Color 是否与策略匹配、OMP 路由是否收到对端前缀、以及 IPsec/DTLS 的 SA 是否建立。BFD Up 只代表隧道可达，不代表业务策略已正确应用。

总结来看，Underlay 提供可达性，Overlay 提供安全与策略；TLOC 是隧道的身份，BFD 是隧道的健康哨兵，OMP 与策略引擎共同决定流量走哪条路。把这几个对象的关系理清，SD-WAN 的选路行为就不再是黑盒。