中小企业SD-WAN组网如何部署

问题为什么存在

中小企业 SD-WAN 的问题不是“没有链路”，而是“链路质量不可见、故障边界不清”。总部、分支、门店和移动办公同时访问 ERP、OA、文件服务器、视频会议与 SaaS 时，公网出口会出现晚高峰拥塞、丢包和抖动；软件 VPN 终端配置分散，人数一多策略难统一。传统 MPLS 开通周期长、月租高、变更不灵活，只适合少量核心站点。运维常只有 1-3 名兼职人员，缺少拓扑、告警和验收标准，只能逐台排查。部署前把业务分成关键、重要、一般三级，明确哪些流量走稳定路径、哪些走本地出口，并落到具体应用和站点；否则设备只能“能通”，无法运营。前期评估要把质量、运维和成本放在同一张表里。

关键判断标准

选型用可验收指标：可用性按站点不低于 99.9%；核心应用往返时延不高于 80ms，实时语音视频不高于 150ms；丢包率不高于 1%，抖动不高于 30ms；主备链路切换不高于 30 秒，关键站点不高于 10 秒。新站点上线 3-7 个工作日，支持零接触下发。管理侧需集中控制台、分钟级监控、分应用识别、策略编排和告警到人；策略按应用、部门、位置、时段组合。安全侧至少具备 IPsec、访问控制、日志留存、终端接入认证；有云应用或多地办公再评估 SASE，并预留身份与终端信息接入。成本按三年口径：CPE 采购或租赁、服务订阅、实施费、本地宽带、运维人力五项相加，含扩容、续费和设备替换，不能只比首年设备价。服务商需提供节点清单、SLA 口径、故障响应时限和验收报告模板。

方案对比

比较固定四个维度：成本构成、适用规模、部署周期、运维复杂度。四类方案按站点数量、关键应用比例和运维能力匹配；至少准备两个候选方案，用同一验收模板模拟真实业务流量，晚高峰持续观测后再定。

公网 VPN 初始成本最低但终端管理随人数上升；托管型 SD-WAN 以集中控制简化运维；混合组网在关键站点增加传统专线，可靠性和预算同步上升；SASE 融合安全策略与网络接入，但需持续治理身份权限。

分场景建议

小型（1-3 个站点，10-50 人）：总部一台支持双 WAN 的 CPE，分支同系列设备或软件客户端；本地宽带为主，4G/5G 备用；只对 ERP、财务、文件服务做策略路由，视频会议走本地出口并开 QoS；验收看 7 天丢包和切换记录，排障按终端—CPE—宽带—隧道—应用。中型（3-20 个站点，50-500 人）：核心站点双 CPE、双上行，分支单 CPE 但至少两条宽带；集中控制台下发模板；出口选 2 个不同 POP，关键应用时延阈值 80ms，超阈值自动切换；每月一次策略审计，新增站点 3-7 天上线。大型（20 个以上站点或 500 人以上）：按区域分层，核心站点 SD-WAN 加传统专线混合承载，分支以 SD-WAN 为主；监控到站点、链路、隧道、应用四级，关键链路切换不超过 10 秒，普通站点不超过 30 秒；每季度做容灾演练。

落地步骤与注意事项

按评估、试点、推广三步走。评估用 1-2 周，盘点站点、人数、关键应用、现有宽带、IP 规划、安全要求和历史故障，输出验收指标和成本构成；成本至少拆成 CPE、订阅、实施、本地宽带、运维五项，并确认 POP 分布、本地宽带范围、设备位置。试点选 2-3 个代表性站点，周期 2-4 周，先跑 7-14 天观察晚高峰丢包、时延、抖动和切换，验收达标再推广。推广按区域分批，每周 1-3 个站点，先核心后一般，变更放业务低峰，保留回退配置；保持模板版本一致。注意避免全网流量绕行总部，采用本地出口加策略路由；检查地址冲突、MTU、DNS 和时间同步；CPE 固件版本统一，备件覆盖核心站点；告警到人，排障顺序为终端—接入设备—本地宽带—隧道—POP—目标应用；合同写清 SLA、响应时限和退出迁移方式。每项策略变更有变更单和回退点；上线后每月复盘可用性、故障时长和带宽利用率。