中小公司SD-WAN组网实施步骤与建议

问题为什么存在

中小公司网络从一条宽带加若干VPN起步，站点到5—30个后问题集中。ERP、视频会议、文件同步、客服系统对时延和丢包敏感；普通宽带上联波动，晚高峰丢包从0.5%升到3%时，视频花屏、ERP报表超时。传统专线开通2—8周，跨区域变更走工勘和合同流程，成本刚性，小站点难为每条业务配足带宽。VPN靠人工维护，策略、路由、账号和证书易不一致，故障定位从终端到应用要2—8小时。安全边界分散，分支上网、远程接入和SaaS访问各有一套策略，审计困难。问题涉及选路、接入、安全、运维四件事。元增长SD-WAN（OSDWAN）由客户端加CPE硬件接入，配合SASE安全接入和边缘应用加速，适合按站点分批实施。

关键判断标准

站点≤10个、无专线运维人员，可评估客户端加CPE混合接入；11—50个站点，总部双设备、分支按需CPE；50个以上，需要多节点选路和SASE策略统一。阈值建议：关键业务可用性≥99.9%，同区域端到端时延≤50ms，跨区域≤150ms，丢包≤1%，抖动≤30ms，主备链路切换≤3s，CPE上电到可用≤30分钟，单站点开通≤3天，故障定位≤30分钟。现有宽带上行丢包长期>2%，先做链路整治。成本按一次性投入和月度支出核算：一次性含CPE硬件、安装、备件；月度含订阅服务、链路费、运维人力；按3年TCO比较。安全上，分支上网、远程接入、SaaS访问是否统一到SASE，固定出口和海外静态住宅IP需求单列；业务侧标注优先级和可接受中断时长。验收用同一套指标，试点前后各测7天，取忙时和闲时数据。

方案对比

对比方案按一次性投入和月度支出核算，按3年TCO看。普通宽带加VPN适合站点少、业务容忍度高的场景，公网质量波动和策略分散会推高排查时间。传统专线适合关键站点少、业务稳定的场景，开通和变更周期长，小站点成本刚性明显。SD-WAN把CPE、选路、策略和监控集中，适合10—50个站点的中小公司分批推广；混合组网用传统专线承载高优先级业务、用SD-WAN承载一般业务和弹性站点，适合50个以上站点或关键业务较多的公司。

分场景建议

分场景按站点数、关键业务数和现有链路质量划分。每批推广控制在5—15个站点，保留回滚窗口。

• 小型（≤10个站点）：客户端加CPE混合接入，分支可选W1000A-WiFi，总部一台W2000。周期2—3周，先接总部和3—5个关键站点，宽带加4G/5G备份，切换≤3s；成本看CPE、安装、订阅，链路费单列；验收测7天，忙时丢包≤1%、时延≤50ms再推广。
• 中型（11—50个站点）：总部双CPE，分支按业务选W1000A或W2000，SASE统一上网和远程接入策略，海外静态住宅IP按需要单列。分3批，每批5—10个站点，周期3—6周；成本含CPE、安装、订阅、链路、运维人力，备件按站点数10%；上线后观察14天，故障定位≤30分钟。
• 大型（50个以上站点）：多节点选路和混合链路，关键站点保留传统专线，一般站点用宽带加CPE，SASE策略按部门和安全域拆分。周期6—10周，每批≤15个站点，先做3—5个试点；监控可用性≥99.9%、切换≤3s、丢包≤1%，备件按10%—15%。

落地步骤与注意事项

评估阶段用1—2周完成站点清单、业务流量、链路、IP规划和安全策略梳理；成本按一次性（CPE、安装、备件）和月度（订阅、链路、运维）分列，按3年TCO比较。试点阶段选3—5个代表性站点，周期2—4周，试点前后各测7天，验收阈值用可用性≥99.9%、丢包≤1%、切换≤3s、单站点开通≤3天。推广阶段每批5—15个站点，每批2—3周，先改配置后上线，保留旧链路回滚；排查顺序固定为终端与CPE电源→WAN链路与拨号→隧道与策略→路由与DNS→应用侧。备件按10%准备，告警分级到站点和业务；策略按批次验证，异常先回滚再定位。变更窗口提前24小时通知分支现场。