4. SASE与SD-WAN的融合架构

SASE 与 SD-WAN 的融合，并不是把两套设备简单堆叠，而是让“网络转发能力”和“安全服务能力”在同一套策略与同一张覆盖网络上协同工作。SD-WAN 解决的是分支如何高效、可靠地接入多条链路并选路；SASE 解决的是流量在何处接受何种安全检查。融合架构的关键，是让分支流量在离开站点前就完成身份与策略绑定，再经应用感知选路送往最近的云网关（PoP），由云网关执行安全服务栈后访问目标应用。

一、分支组网：CPE 与云网关的两级接入

典型融合架构中，分支侧部署 SD-WAN CPE（可为物理设备或虚拟 CPE），它同时承担三项职责：一是终结多条 WAN 链路（如 MPLS、宽带、5G）；二是对流量做首次分类与策略标记；三是通过 IPsec 或专用隧道将流量送往云网关。云网关是 SASE 的安全执行点，通常以多租户方式部署在离分支较近的云区域，内部串联防火墙、SWG、CASB、ZTNA 等能力。

分支组网有两种常见形态。其一是“全隧道模式”：所有分支流量（含互联网访问）都经 CPE 隧道送到云网关，安全策略统一、审计完整，但会引入额外时延。其二是“本地分流模式”：仅将需要安全检查的流量送往云网关，视频会议、SaaS 等对时延敏感的流量由 CPE 直接本地出网。实际设计中常采用混合方式：关键业务与未知流量走云网关，已识别的可信 SaaS 走本地直连。

二、应用感知路由：从“看 IP”到“看应用”

传统 SD-WAN 选路主要依据链路质量（时延、抖动、丢包）和目的 IP 前缀。融合架构要求进一步识别“这是什么应用”。CPE 通过 DPI（深度包检测）或首包特征识别应用类型，例如识别出 Microsoft 365、Zoom、SAP 等，再结合 SLA 探测结果决定路径。示例参数：某分支到云网关的宽带链路时延 28ms、丢包 0.3%，5G 链路时延 42ms、丢包 0.1%。对于视频会议类应用，策略可设为“优先低时延”，选择宽带；对于文件同步类应用，策略可设为“优先低丢包”，选择 5G。

应用感知路由的输出不仅是路径，还包括“是否送往云网关”。例如，已识别的可信 SaaS 流量可标记为本地直连；未识别流量、高风险类别或访问私有数据中心的流量，则强制送入云网关做安全检查。这样既保证了安全策略的执行，又避免所有流量都绕行云网关带来的时延增加。

三、策略随行：身份与策略的端到端绑定

“策略随行”指用户或站点在任意位置接入时，其安全策略不因网络路径变化而失效。实现方式是在 CPE 建立隧道时，将站点标识、用户组、设备状态等元数据一并上报云网关。云网关根据这些元数据匹配策略，而不是仅依赖源 IP。例如，研发组用户从分支 A 或分支 B 接入，均匹配“允许访问代码仓库、禁止访问社交媒体”的策略；当用户切换到 5G 链路时，策略依然生效。

策略随行的关键设计点有三：一是身份信息必须在隧道建立阶段传递，避免依赖后期探测；二是策略源应集中管理，CPE 与云网关从同一控制器拉取策略；三是策略冲突要有明确优先级，通常“安全策略优先于选路策略”，即先判定是否允许，再决定走哪条路。

四、云网关接入设计：选址、隧道与高可用

云网关接入设计直接影响时延与可靠性。选址原则是“就近接入”：根据分支的地理位置和运营商线路，选择时延最低的 PoP。示例：华东分支选择上海 PoP，时延约 12ms；华南分支选择广州 PoP，时延约 15ms。若分支到最近 PoP 的时延超过 40ms，应评估是否增加本地 PoP 或调整隧道策略。

隧道设计上，CPE 与云网关之间通常建立 IPsec 隧道，支持主备两条隧道。主隧道故障时，备用隧道在 3 秒内切换。云网关侧应支持多租户隔离，确保不同企业的策略与流量互不干扰。高可用方面，同一区域可部署多个 PoP，CPE 配置主 PoP 和备 PoP，通过 BFD 或心跳检测实现快速切换。

五、融合架构的典型数据流

以分支用户访问 SaaS 为例：终端发起请求 → CPE 识别应用为“可信 SaaS” → 检查策略允许 → 根据 SLA 选择宽带链路 → 若策略要求安全检查，则封装隧道送往云网关 → 云网关执行 SWG/CASB 检查 → 放行后访问 SaaS。若识别为“未知应用”，则强制送往云网关，由 NGFW 做深度检测后再决定放行或阻断。整个过程中，策略随行确保用户身份和站点策略始终生效，应用感知路由确保路径最优，云网关确保安全执行。

融合架构的落地，核心是让网络与安全在同一策略平面上协同：分支组网提供多链路接入，应用感知路由提供智能选路，策略随行提供身份绑定，云网关提供安全执行。四者配合，才能在保障安全的同时，不牺牲分支访问体验。