SD-WAN 与 VPN：网络原理详解

经营多个地点的人，常在厂商承诺办公室之间的连接“比 VPN 更好”时遇到 sd wan vs vpn 这个问题。其实两者并不是营销话术暗示的那种对手。VPN 回答的是“如何在这两点之间建立一条安全的路径”；SD-WAN 回答的是“我的站点之间有好几条路径，怎样把它们用好”。第二个问题的答案里，往往已经包含了第一个问题的答案。

本文从网络角度解释两者的差异，关注线路、延迟、故障切换和流量调度，而不是身份或访问策略，那些属于其他对比，例如 家庭站点到站点 VPN。读完你能判断，自己的多站点网络是否需要的不止几条搭建良好的隧道。

两个不同的问题

先看每种技术是为解决什么而设计的。

站点到站点意义上的 VPN，是通过公共互联网把两个私有网络连接起来。数据包离开一间办公室，被封装并加密，穿越互联网，再在另一间办公室被解开。隧道本身通常是 RFC 4301 描述的 IPsec 或类似协议。隧道并不知道也不关心底层连接质量如何：线路变慢，隧道也跟着变慢。

SD-WAN 是用软件管理广域网络的方式。每个站点的小型设备或虚拟设备，会监视可用的连接，例如光纤、有线宽带和作为备份的移动网络，并测量每条线路的延迟、丢包和抖动。中央控制器保存策略，例如“视频通话优先走延迟最低的线路”或“文件备份走最便宜的线路”。设备随后按策略引导每一条数据流。

所以 VPN 关心的是路径是否安全，SD-WAN 关心的是路径的选择与质量。两者有重叠，是因为 SD-WAN 需要加密隧道在站点之间安全地传输流量。

底层与叠加：让一切清楚的词汇

每一场 SD-WAN 讨论里都会出现两个词。

• 底层（underlay）。 真实的连接：光纤线路、4G 调制解调器、有线宽带服务。它们属于你的互联网服务商。
• 叠加（overlay）。 构建在其上的虚拟网络，由站点之间的隧道组成。

可以想象成送货的车。道路是底层。站点到站点 VPN 就像一辆封好的货车，只走选定的那一条路。SD-WAN 则像调度员，认识所有道路，知道哪条堵车，下一辆车就改走别的路，而货车依旧是封好的。

这也说明了为什么 SD-WAN 修不好一条糟糕的路。如果某个站点的两条线路都很差，调度员也没有好路可选。

SD-WAN 在普通隧道之上增加了什么

能力	普通站点到站点 VPN	SD-WAN
加密的站点连接	有	有，通常是 IPsec 隧道
每个站点多条线路	可以，但要手工	为此而设计
测量线路质量	通常没有	持续、逐线路测量
线路间故障切换	慢，或要写脚本	自动，常在几秒内
按应用选择路径	少见	核心功能
多站点的集中策略	逐台设备配置	单一控制器
新站点开通	手工、逐台	常可预先配置，到场接上即可
线路健康可见性	基础，逐设备查看	跨站点仪表盘

关键一行是故障切换。用普通 VPN 时，光纤线路出问题而有移动备份，必须有人配置路由和隧道才能启用备份，而且隧道往往需要重新建立。SD-WAN 为快速切换而生，因为两条线路上本来就都有隧道。

故障切换究竟是怎么发生的

看一个典型分支站点的时间线会更清楚。

1. 分支以光纤为主线路，以移动调制解调器为备份。SD-WAN 设备在两条线路上各保持一条隧道。
2. 施工挖断了外面的光纤电缆。每秒发出的探测包在该隧道上开始丢失。
3. 连续几次探测失败后，设备把光纤线路标记为不健康。
4. 原来走光纤隧道的流量被转到移动隧道。通话可能短暂卡顿，然后继续。
5. 设备继续探测光纤线路。在它保持健康达到设定时间后，流量切回，除非策略要求留在原处以避免来回抖动。

如果用普通 VPN 加手工搭建的备份，第 4 步可能要一分钟甚至更久，时间较长的连接也可能断开。两种做法都不是魔法，只是一种是为这类事件设计的，另一种只是勉强容忍。

实例：一家牙科诊所集团

设想一个有 5 家牙科诊所和一个小总部的集团。每家诊所都使用云端预约系统、总部的共享影像服务器和 IP 电话。

改造前。 每家诊所有一条光纤和一条通往总部的隧道。诊所之间以及到总部的电话都经过这条隧道。当总部线路被大体积影像上传占满时，语音就会断断续续，因为它们共用同一条路径，却没有优先级。有两家诊所偶尔断线，员工只能用手机热点工作，且无法访问影像服务器。

使用 SD-WAN 后。 每家诊所装一台 SD-WAN 设备，接光纤加移动备份。策略规定语音和预约系统优先，并选择延迟最低的线路；影像上传使用剩余容量，尽可能走较便宜的线路。某家诊所光纤故障时，移动备份接手，隧道保持在线，影像服务器依旧可访问。总部在一个仪表盘里就能看到所有线路的健康状况。

所有者应有的预期。

• 大文件上传时语音质量的投诉减少，因为有了优先级。
• 线路故障造成的停机更短。
• 设备和控制器的月费，加上移动数据套餐。
• 要学习新东西：策略设计。如果语音和影像都要求最高优先级，就什么也改善不了。

SD-WAN 在这里做不到的事。 如果某家诊所所在的大楼移动信号差、光纤也不稳定，备份线路也会很弱。如果影像服务器又旧又慢，调度流量也无济于事。如果员工重复使用密码，加密隧道对此也无能为力。

SD-WAN 与 VPN 并用，而不是互相取代

在真实网络里，两者通常并存。

• 许多 SD-WAN 产品用 IPsec 隧道作为叠加网络。支撑普通 VPN 的同一批标准同样适用，包括 NIST SP 800-77 中关于正确配置 IPsec 的指导。
• 公司可能对站点使用 SD-WAN，对居家办公或出差的人另用客户端 VPN。
• 不值得上 SD-WAN 设备的小站点，仍可通过传统隧道接入主网络，中心系统把它视为又一个端点。

这就是为什么把采购决策表述成“选 SD-WAN 还是选 VPN”容易误导人。更好的问题是：“我的站点是否需要集中管理的多线路调度，还是每个站点一条隧道就够了？”

容易踩坑的技术细节

有几个细节对两种方式都有影响，购买前值得检查。

• 数据包大小。 隧道会增加包头，满尺寸的包可能就放不下了。如果处理不当，有些应用会卡住，其他应用却正常。路径 MTU 发现在 RFC 1191 中有描述，VPN 的 MTU 问题 解释了其症状。
• 丢包与延迟。 语音对丢包和抖动比对纯速度更敏感。可参考 丢包对 VPN 的影响 了解如何判断症状。
• 地址规划。 各站点需要互不重叠的私有地址段。如果两间办公室用同一个网段，隧道会变得一团糟。
• 运营商级 NAT。 有些移动和家庭宽带位于共享地址之后，无法接受入站连接，这时隧道必须由站点一侧发起。CGNAT 后的 VPN 对此有说明。
• 延迟有下限。 距离很重要。Cloudflare 对延迟的解释，很适合用来理解为什么调度流量无法胜过物理规律。
• 双线路由器。 有些路由器声称无需完整 SD-WAN 套件就能做多线路负载均衡。对小站点可能足够，但它们很少如此细致地测量线路质量。

什么时候普通 VPN 就够了

在下列情况选择传统的站点到站点隧道，甚至远程访问 VPN：

1. 有两到四个站点，每个都有一条可靠的线路。
2. 流量以网页和电子邮件为主，没人抱怨通话质量。
3. 停机一小时令人烦恼，但损失不大。
4. 能有工程师或懂行的外包人员维护。
5. 预算不允许购置新设备和控制器订阅。

而当下面多条成立时，可以考虑 SD-WAN：

1. 站点远不止几个，并且还在增加。
2. 每个站点有两条线路，或你希望有。
3. 线路不好时，语音、视频或收银系统明显受影响。
4. 新开分支应当以天而不是以周计，并能由非专业人员完成。
5. 希望在同一个地方看到所有线路的健康状况。

成本需要直面。在你已有的两台路由器之间建一条普通隧道，除了管理员的时间，可能不花一分钱。SD-WAN 通常要为每个站点增加一台设备、一份随站点数增长的控制器订阅，以及第二条上网线路本身的费用。与此对照的，是一小时停机会让诊所、商店或呼叫中心损失多少，以及分支开通更快能省下多少次工程师上门。如果老实的答案是“很少”，就继续用简单的隧道；如果一个糟糕的下午造成的损失就超过一年的订阅费，算盘就不同了。还要问清楚由谁来运维：托管服务把技能问题转给了服务商，但你仍然需要理解自己花钱购买的那些策略。

常见错误

• 买 SD-WAN 是为了解决某家糟糕服务商带来的慢线路，而不是去修这条线路。
• 两条线路用同一家服务商或同一条物理电缆，一次事件就让两条都断了。
• 把每个应用都设成最高优先级。
• 忘记安全。加密隧道不会过滤网页流量，也挡不住恶意软件。
• 不测试故障切换。从未承载过流量的备份线路，常常在需要时失灵。找个安静的下午拔掉主线路，看看会发生什么。
• 以为 SD-WAN 设备能保护居家办公的人。它保护的是站点，不是个人。
• 忽视合同。弄清楚如果离开该厂商，设备和配置会怎样。

总结

VPN 给你两点之间的安全路径。SD-WAN 管理多点之间的多条路径，测量每条线路并按策略引导流量，通常是在加密隧道之上，而这些隧道本身就是 VPN 技术。对少数几个有可靠线路的站点，传统隧道简单而足够；对许多站点、多条线路、对通话质量或中断敏感的情形，SD-WAN 值得它的成本，前提是你仍要自己处理安全、地址规划和测试。

如果你要找的是给自己设备用的个人 VPN，而不是办公室之间的连接，随时可以看看 价格页面。