4. SD-WAN策略框架与流量工程

SD-WAN之所以能替代传统静态路由的广域网，核心不在于“多插几条宽带”，而在于它把网络行为从“按目的地址转发”升级为“按业务意图转发”。这套意图的落地依赖一个分层策略框架：应用感知路由负责识别“这是什么流量”，业务策略负责定义“这类流量应该得到什么待遇”，控制策略负责决定“路径怎么选、怎么切”，数据策略负责执行“报文怎么标记、怎么排队、怎么加密”，VPN分段与拓扑设计则决定“哪些站点能互通、走什么形状的网”。五者缺一不可，且顺序不能颠倒——没有应用识别，后面的策略都是盲选。

应用感知路由：先看清流量，再谈调度

应用感知路由（Application-Aware Routing，AAR）的本质是给流量打上业务标签。SD-WAN边缘设备通常通过DPI、IPFQ、端口特征、TLS SNI、甚至与SaaS应用指纹库联动来识别应用。识别结果不是简单的“视频/语音”，而应落到可执行的对象上，例如：Microsoft 365、Zoom、SAP、ERP、VoIP、备份流量、普通上网。识别之后，AAR持续探测每条WAN链路的时延、抖动、丢包和带宽利用率，形成“应用需求 vs 链路质量”的匹配判断。

以某企业为例，分支通过两条链路接入：MPLS专线（时延8ms、抖动2ms、丢包0.1%）和互联网宽带（时延25ms、抖动15ms、丢包1.5%）。语音应用要求时延≤150ms、抖动≤30ms、丢包≤1%；视频会议要求时延≤200ms、抖动≤50ms、丢包≤2%。当互联网链路抖动升到40ms时，AAR应把Zoom流量切到MPLS，而普通HTTP继续走宽带。这个判断不是靠人工，而是靠SLA策略模板自动完成。

业务策略、控制策略与数据策略的分工

业务策略回答“谁重要”。它通常以应用组、用户组、站点角色、时间段为匹配条件，输出优先级、带宽保障、是否允许、是否计费等意图。例如：财务ERP为关键业务，保障带宽不低于2Mbps；视频会议为高优先级；个人娱乐在办公时段限速。业务策略是面向业务的声明，不涉及具体隧道和队列。

控制策略回答“走哪条路”。它把业务意图翻译成路径选择规则，包括：主备路径、负载分担比例、SLA阈值、切换条件、回切抑制时间、是否允许跨VPN转发。控制策略作用于路由和隧道层面，决定流量进入哪条Overlay隧道。典型参数如：探测间隔3s、失败阈值3次、回切等待300s，避免链路抖动导致频繁切换。

数据策略回答“报文怎么处理”。它落在转发面，包括DSCP标记、队列调度、拥塞管理、加密与NAT。业务策略说“语音优先”，控制策略说“语音走MPLS”，数据策略则把语音报文标记为EF，放入低时延队列，并在出口做IPsec加密。三者是“意图—路径—执行”的递进关系，不能混为一谈。

VPN分段：把一张网切成多张逻辑网

VPN分段解决的是“互通边界”问题。传统广域网所有站点在一个路由域内，财务、办公、访客、IoT设备互相可见，安全风险大。SD-WAN通过VRF或类似机制，把同一套物理链路划分为多个逻辑VPN。常见分段方式包括：按部门（财务VPN、研发VPN）、按业务（生产VPN、办公VPN）、按安全等级（可信VPN、访客VPN、IoT VPN）。分段之后，跨VPN通信默认禁止，需要显式策略放行。

分段设计的关键参数是“段间关系”。例如财务VPN与办公VPN之间只允许ERP端口访问，访客VPN只能访问互联网，IoT VPN只能访问云端管理平台。这些规则应写入控制策略，而不是靠ACL散落配置。分段数量不宜过多，一般建议3～6个，过多会导致策略矩阵膨胀和排障困难。

拓扑设计：Hub-Spoke、Full-Mesh与混合拓扑

拓扑决定流量经过哪些节点。Hub-Spoke适合分支访问总部集中资源，流量路径清晰、成本低，但分支间通信需绕行Hub，时延增加。Full-Mesh适合分支间频繁互访，路径最短，但隧道数量随站点数平方增长，N个站点需要N×(N-1)/2条隧道，20个站点就是190条，管理复杂。实际部署多采用混合拓扑：总部与区域Hub之间Full-Mesh，分支接入最近区域Hub，SaaS流量本地互联网出口直出。

以某零售企业为例：总部1个、区域Hub 4个、门店120个。设计为：门店→区域Hub（Hub-Spoke），区域Hub↔总部（Full-Mesh），门店访问SaaS走本地宽带直出。这样门店间通信经区域Hub转发，时延控制在30ms内；SaaS流量不绕总部，节省专线带宽。拓扑选择应结合流量矩阵、时延要求和预算，而不是追求“全互联”。

策略冲突与优先级

多策略并存时，必须明确匹配顺序。通常规则是：具体匹配优先于泛化匹配，安全拒绝优先于允许，高优先级业务优先于低优先级。例如“财务ERP允许”与“访客禁止访问财务”同时存在时，访客流量应先命中拒绝规则。建议在策略表中显式标注序号和命中计数，便于排障时确认哪条规则生效。

最后需要强调：策略框架不是一次性配置，而是持续运营的对象。应用识别库需要更新，SLA阈值需要根据实际链路调整，拓扑可能随站点增减而变化。建议每季度复核一次策略命中率和切换次数，把长期未命中的规则清理掉，把频繁切换的链路阈值重新校准。只有让策略与业务实际保持一致，SD-WAN的流量工程能力才能真正发挥出来。