什么是SD-WAN？

业界标准中的SD-WAN

对于SD-WAN的定义，不同SD-WAN的厂商会给你不同的答案，我们来了解一下业界的标准定义。

SD-WAN的好处是什么？

针对企业网络当前面临的WAN封闭架构、业务体验难保障、业务部署慢和运维困难的问题，华为SD-WAN解决方案为企业提供分支与分支、分支与数据中心之间提供全场景随需互联，并通过应用级智能选路与智能加速、智能运维，构建更好的业务体验，重塑企业WAN互联全流程的业务体验。华为SD-WAN主要好处如下：

• 5G超宽，随需互联：5G/有线多种上行，随时随地连接到总部和云，大规模灵活组网使能可靠、可扩展的企业分支互联。
• 智能选路，极智体验：通过应用智能选路和优化，保证办公、生产等任意地点分支的本地和云上关键应用的体验。
• 一体管控，智能运维：LAN/WAN统一云管理，简化海量分支业务部署和运维复杂度。

SD-WAN的架构，SD-WAN是如何工作的？

从逻辑分层及功能角度划分，SD-WAN的逻辑架构主要包括业务呈现层、管理层、控制层以及网络层，每层承担的功能不同，其中又包括若干核心组件，如下图所示。

1. 业务呈现层

   SD-WAN的业务呈现层向下对接网络控制器，对外通过业务Portal界面实现SD-WAN的业务呈现和发放。业务呈现层当前有如下两种形式：

   • 自研Portal界面：由SD-WAN解决方案提供商向客户提供SD-WAN端到端的业务配置和处理流程。
   • 第三方BSS/OSS：第三方根据业务功能和展示风格需要，借助网络控制器的北向开放API，实现SD-WAN方案的集成和界面的灵活定制。
2. 管理层

   网络控制器是管理层的核心组件，是整个SD-WAN的“智慧大脑”。SD-WAN网络控制器一般有网络编排和管理功能：

   • 网络编排：负责SD-WAN面向业务的网络模型抽象、编排和配置自动化发放，主要包括企业WAN组网和各种网络策略相关的业务编排。网络控制器通过对企业WAN进行网络模型的抽象和定义，屏蔽了SD-WAN部署和实现的技术细节，使WAN网络配置和业务发放更加简易、灵活。
   • 网络管理：网络控制器的管理组件实现了企业WAN 的网络管理与运维功能，包括但不限于SD-WAN网元的告警和日志等故障信息采集；基于链路、应用、网络的性能数据采集、统计和分析，并对最终客户进行网络拓扑、告警管理、性能等运维信息的多维度统计和呈现。
3. 控制层

   RR（SD-WAN Route Reflector，SD-WAN路由反射器），是控制层的核心组件，主要负责网络控制。

   RR的功能主要包括：SD-WAN租户VPN路由的分发和过滤，VPN拓扑的创建和修改，站点间Overlay隧道的创建和维护等。相比传统网络完全的分布式控制方式，这种集中式的控制实现了企业WAN控制平面和转发平面的分离，简化了网络运维操作，减少了网络配置错误几率，提升了企业WAN的运维效率。

4. 网络层

   从业务角度讲，企业的分支、总部和数据中心以及在云上部署的IT基础设施等都可以统称为企业的站点。不同企业站点用于WAN互联的网络设备以及中间WAN网络一起构成了SD-WAN网络层。

   SD-WAN的网络设备，主要包括：Edge和GW两种类型。

   • Edge

     Edge，即（SD-WAN Edge）的主要是指企业总部、分支、数据中心或者云站点的出口CPE设备，是SD-WAN隧道的发起和终结点，也可以看做是SD-WAN网络的边界点。Edge之间的Overlay隧道可以构建在任意的有线或者无线的Underlay WAN技术之上，并且通常与某种数据加密技术(如IPSec)结合使用，以确保企业WAN数据传输的安全性。

     Edge一般可以采用如下设备，在SD-WAN中，CPE可以是硬件形态的传统CPE和uCPE，也可以是软件形态的vCPE。

     • CPE：传统硬件CPE。CPE作为一种网络设备，最早是以硬件盒子的形态部署于站点中。从硬件角度来看，CPE中通常会包含主控板、接口卡、多核CPU以及各种硬件组件。从软件功能角度来看，CPE会提供二层交换和三层路由的功能，可以连接站点的内部网络和外部网络。一般把这种CPE称之为传统CPE（Traditional CPE）。
     • uCPE：随着云计算和NFV技术的发展，云化和虚拟化成为不可阻挡的趋势，传统的专有硬件设备都已经有了软件化的形态，安全、广域加速、负载均衡等功能可以通过VNF（Virtual Network Function，虚拟网络功能）的形式提供。如果能将这些功能都放进CPE里面，既能降低设备成本和能耗，又能实现灵活快速的业务发放。
     • vCPE：如果把传统CPE中的网络功能从硬件盒子中抽离出来，通过纯软件的方式实现，彻底将软件与硬件解耦，这种新的CPE形态就称为vCPE（Virtual CPE）。vCPE可以代替专用的硬件设备，通过软件的方式来实现传统CPE的功能，这样的方式有利于更轻松、更快速的部署业务，同时增强了业务的可伸缩性和可扩展性，并且降低了部署和运营成本。
   • GW

     GW（SD-WAN GW）是联接企业新的SD-WAN站点和其他传统VPN站点的中间设备。由于老的传统非SD-WAN站点的存在，借助GW实现SD-WAN网络到企业传统分支网络的互通。

SD-WAN与MPLS VPN专线有什么关系？

在传统的WAN拓扑中，主要通过MPLS专线进行互联。可以有效保证带宽、减少数据包传输的延时。SD-WAN是从MPLS技术演变而来的。SD-WAN支持MPLS、Internet、LTE和5G链路灵活组合进行WAN分支互联。

通过如下方面，可以帮助你更好的理解MPLS与SD-WAN之间的关系：

• 成本：MPLS专线费用比较贵。SD-WAN支持MPLS、Internet、LTE和5G链路灵活组合，从而整体降低链路成本。
• 安全：MPLS可以提供安全、可靠的连接，适用于对安全性比较高的应用。在SD-WAN中，优先选用MPLS链路，可以保障连接的安全性。
• 性能：在同等带宽下，Internet的性能比MPLS的性能要低。SD-WAN可以通过将多条Internet链路聚合在一起，形成一条逻辑链路，从而保障性能。
• 稳定性：网络中会存在对时延、丢包率敏感，链路质量比较高的关键业务。MPLS没有提供一个平台来区分优先级，通过SD-WAN提供的策略的管理和智能选路能力，可以实现在发生拥塞时低优先级应用避让高优先级应用，即关键业务的流量通过MPLS进行发送，而其他所有业务的流量则通过高宽带的Internet进行发送。
• 部署效率：传统的MPLS部署可能需要1~6个月，SD-WAN比较短，只需要几个小时。
• 云计算、SaaS等移动应用：MPLS的建网及部署方式很难规模化的应用于云计算及SaaS。为了支持更快地访问在云中运行的应用程序，SD-WAN可以配置流量转向规则，以便为这些应用程序使用Internet连接。因此，云流量从分支机构直接传输到互联网，而不是回程到总部。一些SD-WAN运营商可以从其网关直接访问云数据中心（例如AWS或Microsoft Azure），从而提高托管在这些云上的应用程序的性能和可靠性。

SD-WAN使建立混合WAN更加容易，并且可以在成本，可靠性和性能之间找到适当的平衡，以实现各种应用程序流量的混合。

如何保障SD-WAN的安全？

SD-WAN的安全性可以从系统安全和业务安全两个方面来进行保障。系统安全是SD-WAN解决方案必备的基础安全能力，SD-WAN解决方案系统在初始化之后就应该自动具备这些能力，使其能安全可靠的运转。而业务安全是单独部署的安全功能，要根据企业用户实际的业务安全需求灵活选择合适的安全防护措施。

• 系统安全

  系统安全涵盖的范围主要包括：SD-WAN解决方案中组件间的通信安全、多租户安全以及组件自身的安全。SD-WAN解决方案系统包含多个组件，组件本身以及组件之间的通信都会受到安全威胁。因此，必须要有安全措施来保证SD-WAN解决方案系统的构建和运转是安全可信的。

  保证系统安全，即通过身份认证、数据加密、数据验证、权限控制等措施，避免非法接入、信息泄露、数据篡改等安全问题。特别是针对CPE接入的场景，SD-WAN解决方案基于零信任（Zero Trust）的安全理念，严格验证CPE的身份信息，防止身份仿冒，确保只有合法可信的CPE才能接入。

• 业务安全

  业务安全指的是SD-WAN解决方案所承载业务的安全，部署SD-WAN解决方案的目的是要帮助企业更好地开展业务，根据企业的业务模型，业务安全包括站点间互访业务的安全、站点访问Internet业务的安全、站点入云业务的安全。

  满足业务安全的需求，就是要针对不同的业务采取相应的安全防护措施。例如，对于站点间互访业务，要加密处理保证其在Internet上传输的安全性；对于站点访问Internet业务，可以使用CPE提供的安全功能，如ACL过滤、防火墙、IPS和URL过滤以及VAS高级安全功能等，防御各类攻击以及入侵行为。需要注意的是，这些安全功能可以基于VPN来配置，即针对同一个租户内的不同部门，实施差异化的业务安全防护措施。

  另外，SD-WAN解决方案还支持对接第三方云安全网关，利用第三方云安全网关对访问公有云、SaaS的业务流量进行安全防护。

华为如何保障SD-WAN的安全，具体可以参考《华为SD-WAN安全技术白皮书》。

SD-WAN与云有什么关系？

随着云化时代的到来，越来越多的企业已经将自己的IT系统搬到公有云上。企业WAN也需要能灵活地连接各种云资源，这些云资源主要包括：IaaS 基础云服务以及SaaS云应用。

公有云站点的Edge可以部署vCPE软件虚拟CPE设备，并通过VNF（Virtual Network Function，虚拟网络功能）的形式提供软件化的安全、广域加速、负载均衡等功能。将这些功能都放进CPE里面，既能降低设备成本和能耗，又能实现灵活快速的业务发放。

为了更高效地访问SaaS 应用，SaaS路径可能存在多种路径选择，通过SD-WAN的智能选路能够实时感知每条可选路径的网络SLA（Service Level Agreements，服务等级协定）质量，并在集中的网络控制系统的帮助下，具备实时调整并选择最优SaaS 访问路径的能力。