SD-WAN 组网和 VPN 哪个更适合企业？

问题为什么存在

企业组网取舍在规模、时延、故障恢复和运维投入。VPN（IPSec/SSL）适合点对点或少量固定站点，利用公网建隧道，站点少时用防火墙或软件客户端即可配置。10 个站点两两互联需 45 条隧道，20 个站点接近 190 条；隧道数为 N×(N−1)/2，超过 10 个站点后，模板、证书、密钥轮换和审计追踪要求显著增加，需保留至少一个可回退接入方式。公网路径不可见，丢包和抖动只能靠现象推断。SD-WAN 组网由接入侧客户端、CPE 网关和集中控制面组成，分支可用 W1000A、W1000A-WiFi 或 W2000 等 CPE，控制面统一下发路由、策略和监控，把多站点、多链路、多地域的选路、可视化和策略一致性做成可运维能力。

常见瓶颈：跨地域时延超过 150ms、丢包高于 1%、抖动高于 30ms，关键业务切换小于 3 秒，新增站点周期从 1 周压缩到 1 天以内。成本项：VPN 含网关或软件许可、公网带宽、人工配置；SD-WAN 含 CPE 设备、节点接入、实施服务、集中运维、安全订阅。评估前采集至少 30 天链路数据；观测业务时延连续 7 天超过 150ms 次数、丢包率大于 1% 持续时长、中断恢复是否稳定低于 3 秒、新增分支是否要求 1—3 天开通、安全策略是否覆盖所有站点且可审计。出现策略碎片化、排障频繁或分支上线反复延迟，应引入集中控制面。

关键判断标准

判断标准用可量化指标。规模：站点不超过 5 个、并发不超过 200、单办公区访问为主，VPN 通常够用；站点 6—30 个、两个以上地域、分支需双链路，SD-WAN 组网更合适；站点超过 30 个、多云或多业务域，建议 SD-WAN 加 CPE 加集中策略，安全接入需求明显时叠加 SASE。质量：关键业务端到端时延小于 150ms、丢包小于 1%、抖动小于 30ms，链路故障切换小于 3 秒，可用性 99.9% 起步，生产系统可到 99.95%。运维：VPN 下 1 名网络人员维护 5—10 个站点常接近上限，SD-WAN 集中管理下 1 人维护 30—50 个站点更常见，前提是监控、告警和变更流程到位。扩展：新增分支要求 1—3 天开通，或可接受 1—2 周。评分表关键业务 SLA 权重不低于 40%；一票否决项为关键业务时延高于 150ms、丢包高于 1%、切换超过 3 秒或可用性低于目标值。安全合规看统一身份、访问控制、日志留存、分支安全策略下发。

方案对比

对比将一次性投入与持续性投入分开；下表成本为相对量级，不含具体报价，适用规模按站点、并发和地域复杂度划分。

VPN 适合站点少、业务分级简单、运维人力明确；SD-WAN 组网适合多站点、多链路和策略一致性要求高；SASE 适合在组网基础上叠加统一安全接入。站点规模和并发长期低于阈值时比较 VPN 与轻量级 SD-WAN 客户端；业务分布两个以上地域且需双链路时比较 CPE 选路质量、链路切换时间和策略下发效率；远程用户多或多云接入时评估 SASE 安全订阅、身份源集成和日志留存。先定验收指标和退出机制，再定组合；关键业务域可先上 SD-WAN 组网，办公和访客域保持原有 VPN，待试点数据稳定后扩大。

分场景建议

• 小型企业（1—3 个办公点、50—150 人、并发≤200）：以 VPN 为主，主宽带加备用链路，关键网关双机或冷备；成本集中在网关或软件许可、公网带宽和少量人工配置，实施 3—5 天。跨点时延稳定低于 150ms、丢包低于 1% 可维持 VPN；每月出现 2 次以上超过 30 分钟业务中断，或新增站点频率高于每月 1 个，再评估 SD-WAN 客户端加小型 CPE。排查按物理链路、隧道状态、路由、DNS、应用逐层检查。
• 中型企业（4—15 个站点、200—500 人、多地域）：建议 SD-WAN 组网，分支部署 W1000A、W1000A-WiFi 或 W2000 等 CPE，双链路接入；成本含 CPE 设备、节点接入、实施服务、年度运维和安全订阅，试点 2—4 周，推广 4—6 周。阈值：关键业务时延小于 150ms、丢包小于 1%、抖动小于 30ms、切换小于 3 秒；生产、办公、访客分域，集中下发 ACL 和 QoS。
• 大型企业（15 个以上站点、多业务域、多云接入）：SD-WAN 加 CPE 加集中运维，安全接入需求明显时叠加 SASE；成本以设备、节点、实施、运维、安全订阅和链路对比测算为主，评估 2—3 周，试点 3—4 周，分批推广 6—8 周。阈值：可用性 99.95%，故障定位 30 分钟内，新增站点开通 1—3 天。

扫码加顾问，按你的站点和带宽给方案

说明业务场景，顾问会给出接入方式与费用构成。

电话：400-0606-936 ｜ 173-5717-8761

回退：新方案上线前保留原 VPN 至少 7—14 天，直到五项关键指标连续稳定达标；CPE 选型考虑未来 12 个月站点和并发增长；生产、办公、访客用不同安全域和 QoS 标记；验收以业务访问体验和链路数据为准。

落地步骤与注意事项

评估阶段（1—2 周）：盘点站点、用户、应用、链路和现有 VPN 隧道，业务分生产关键、一般办公、访客/测试三级；记录近 30 天时延、丢包、抖动、中断次数和恢复时间形成基线。成本拆设备、链路、实施、运维、安全五类并折算运维人天；阈值写清：关键业务时延 150ms、丢包 1%、抖动 30ms、切换 3 秒、可用性 99.9% 或 99.95%。输出选型结论、站点优先级、回退方案和验收指标。

试点阶段（2—4 周）：选 2—3 个代表性站点，覆盖一个关键业务和一个普通办公场景；CPE 并行接入，保留原 VPN 回退，观察 7—14 天。监控链路质量、隧道状态、路由变化、应用响应、安全策略命中五项；排查按物理链路/电源、CPE 注册与隧道、路由与策略、DNS 与应用、安全策略逐层排除。验收看时延、丢包、抖动，切换是否小于 3 秒，故障定位是否在 30 分钟内完成。

推广阶段（4—8 周）：按站点优先级分批切换，每批不超过 10 个站点，批次间留 3—5 天观察期；集中控制面统一下发地址、路由、QoS、ACL 和日志策略，分支只保留必要本地策略。建立站点台账、链路台账、变更记录和告警分级，月度复盘一次。关键站点保留双上行；新增站点先做地址规划；安全策略按最小权限；合同验收写明可用性、切换时间、响应时限和退出机制。试点发现的地址冲突、路由泄露、MTU 不匹配或安全策略误拦截，应在推广前整改。