2. SD-WAN架构与分支组网基础
要理解 SD-WAN 为什么能同时解决“多链路选路”和“零接触上线”这两个问题，必须先把它拆成两层网络来看：一层是运营商和物理链路构成的 Underlay（底层网络），另一层是 SD-WAN 自己在 Underlay 之上构建的 Overlay（叠加网络）。分支组网的所有能力，本质上都建立在这两层的关系之上。
Underlay：真实存在的物理转发层
Underlay 就是分支站点实际接入的物理网络，包括 MPLS 专线、互联网宽带、4G/5G 蜂窝、以及承载它们的运营商骨干。它的特点是：链路真实存在、有明确的物理接口和下一跳、由运营商或本地 ISP 负责可达性。分支出口设备看到的 WAN 接口地址、默认网关、拨号获得的公网地址，都属于 Underlay 范畴。
Underlay 的关键约束在于：它只保证“尽力而为”的连通性，不保证任意两条链路之间的质量一致。例如一条 100Mbps 宽带和一条 20Mbps MPLS，在时延、丢包、抖动上差异很大。如果直接让业务跑在 Underlay 上，选路只能依赖传统路由协议，无法感知应用体验。这正是需要 Overlay 的原因。
Overlay：逻辑隧道构成的虚拟网络
Overlay 是在 Underlay 之上通过隧道（常见如 IPsec、GRE、VXLAN）建立的逻辑连接。分支设备之间、分支与数据中心之间并不直接依赖物理路径，而是通过隧道端点之间的逻辑链路通信。Overlay 带来的直接好处有三点：
- 屏蔽底层差异：无论底层是 MPLS 还是宽带，隧道内看到的是统一的逻辑拓扑。
- 支持策略选路：可以按应用、按链路质量在多个隧道之间切换。
- 便于加密与隔离：隧道天然具备封装与加密能力，分支间流量可按需互通。
需要强调的是，Overlay 不能脱离 Underlay 独立存在。隧道报文仍要经过物理链路转发，因此 Underlay 的丢包和时延会直接传导到 Overlay。SD-WAN 的价值不是“消除”底层问题，而是“感知并绕开”底层问题。
控制平面与数据平面
SD-WAN 采用控制与数据分离的架构。控制平面负责“告诉设备该怎么连、走哪条路”，数据平面负责“真正把业务报文转发出去”。
控制平面的核心职责包括：设备身份认证与纳管、隧道密钥与策略下发、拓扑与路由信息分发、链路质量信息的汇聚与决策。数据平面则负责隧道封装/解封装、加密解密、QoS 标记、按策略转发。两者分离后，策略变更只需在控制平面调整并下发，不必逐台设备手工改配置，这是 SD-WAN 相比传统分支路由器的根本差异。
核心组件：vEdge/cEdge 与 vManage/vBond/vSmart
以 Cisco SD-WAN（Viptela）体系为例，组件分工非常清晰：
| 组件 | 所属平面 | 主要职责 |
|---|---|---|
| vEdge / cEdge | 数据平面 | 分支或数据中心的边缘设备，建立隧道、转发业务流量、执行策略 |
| vManage | 管理平面 | 图形化纳管、配置模板下发、监控与告警、ZTP 编排 |
| vBond | 控制/编排平面 | 负责设备首次上线时的身份验证与控制器地址引导 |
| vSmart | 控制平面 | 集中式策略与路由决策，向 vEdge 下发控制策略和路由信息 |
其中 vBond 是零接触部署的关键入口：分支设备出厂后只需能访问公网并解析到 vBond 地址，即可完成证书校验和控制器发现，随后被引导到 vManage 纳管、由 vSmart 下发策略。vEdge/cEdge 则始终处于数据转发路径上，是 Overlay 隧道的实际端点。
分支组网中的实际关系
把上述组件放回分支场景，可以看到一条清晰的链路：分支 vEdge 上电后，先通过 Underlay 访问 vBond 完成身份验证，vBond 告知它 vManage 和 vSmart 的地址；vEdge 向 vManage 注册并被纳管，vManage 下发配置模板；vSmart 根据策略计算分支之间、分支到数据中心的可达路径，并把控制策略下发给各 vEdge；随后 vEdge 之间建立 Overlay 隧道，业务流量在隧道内按策略转发。
以一个典型双链路分支为例：分支 A 同时接入一条 100Mbps 宽带和一条 20Mbps MPLS。在 vManage 上为分支 A 配置两条 WAN 接口，并定义业务策略——视频会议走 MPLS，普通上网走宽带，当 MPLS 丢包超过 2% 时自动切换到宽带。vSmart 将该策略下发到分支 A 的 vEdge，vEdge 在数据平面持续探测两条链路的时延、丢包、抖动，并按策略执行选路。整个过程不需要在分支现场手工改路由，这正是控制与数据分离带来的可运维性。
常见理解误区
第一，把 Overlay 当成独立网络。Overlay 隧道仍依赖 Underlay 转发，底层链路中断时隧道必然中断，只是 SD-WAN 可以更快切换到其他链路。第二，认为 vManage 参与数据转发。vManage 只做管理和编排，业务报文不经过它，因此 vManage 短暂不可用不会中断已建立的隧道转发。第三，混淆 vBond 与 vSmart。vBond 只在设备首次上线和 NAT 穿透场景中起引导作用，策略决策由 vSmart 完成。分清这三条边界，后续学习零接触部署和策略配置时就不会混淆各组件职责。