傳統(tǒng)廣域網(wǎng)
在深入研究SD-WAN之前，先來回顧一下過去網(wǎng)絡(luò)通信是如何處理以及為什么采用這種方式處理的。
截止到目前，處理公司網(wǎng)絡(luò)流量的主要方法是分支機構(gòu)通過租用線路與公司數(shù)據(jù)中心或總公司聯(lián)系，通常使用MPLS。這種方式約占公司網(wǎng)絡(luò)流量的80%，其中WAN路由器是基于硬件的、專有的、昂貴且相對不靈活。
公司之所以使用這種模型，是因為它允許對路由器進行嚴格控制，并能夠提供安全、可靠的服務(wù)質(zhì)量。但是就跨國公司而言，各個國家通常都需要遵循各自的法規(guī)，因此必須經(jīng)過非常復(fù)雜的安排才能建立真正的全球網(wǎng)絡(luò)。
這就暴露出了廣域網(wǎng)的局限性：即，WAN路由器的集中管理非常困難。在許多情況下，路由器需要通過設(shè)備后面的端口進行物理訪問，并且需要使用專有的命令語言。
雖然這種情況已經(jīng)在改善了，但目前仍有很多傳統(tǒng)設(shè)備在使用。大多數(shù)WAN路由器在TCP層分離流量，因此無法將業(yè)務(wù)關(guān)鍵流量與不太緊急的流量分開，而且許多應(yīng)用程序和進程都需要無抖動的網(wǎng)絡(luò)連接。例如，VoIP語音應(yīng)用。
另一個巨大的因素是成本，促使人們尋找擺脫傳統(tǒng)WAN拓撲的方式。在傳統(tǒng)的WAN部署中，每個網(wǎng)段都需要專用的物理硬件，這通常非常昂貴。即使很小的擴容、升級或重新配置也可能帶來巨額的費用。MPLS和寬帶之間的成本差異是巨大的。思科曾發(fā)布一個公開的案例研究，聲稱用SD-WAN替代MPLS可以節(jié)省70%的網(wǎng)絡(luò)成本。
SD-WAN
隨著軟硬件的發(fā)展，現(xiàn)在已經(jīng)可以用軟件實現(xiàn)傳統(tǒng)WAN硬件設(shè)備的功能，基于軟件的設(shè)備能夠?qū)崟r分析流量并做出明智的決策。還可以使用寬帶和通用x86硬件或虛擬機(VM)創(chuàng)建大規(guī)模的overlay網(wǎng)絡(luò)，這些網(wǎng)絡(luò)可以復(fù)制傳統(tǒng)廣域網(wǎng)的所有功能，而成本只是傳統(tǒng)廣域網(wǎng)的一小部分。
SD-WAN可以創(chuàng)建成熟的專用網(wǎng)絡(luò)，增加了動態(tài)共享網(wǎng)絡(luò)帶寬的能力，還可以實現(xiàn)中央控制、零接觸配置、集成分析和按需電路配置，從而實現(xiàn)基于策略的集中式安全和管理。除此之外，SD-WAN還可以以較低的成本增加帶寬。這種配置可實現(xiàn)最佳的速度，并具有限制低優(yōu)先級應(yīng)用程序的能力。
SD-WAN允許通過中央管理控制臺對分支網(wǎng)絡(luò)進行集中管理，從而無需對WAN路由器進行物理訪問，也無需現(xiàn)場IT人員進行手動配置。它還提供了對網(wǎng)絡(luò)的更多可見性，并為IT人員和中層管理人員提供了通用的網(wǎng)絡(luò)視圖。由于網(wǎng)絡(luò)同時使用私有和公共傳輸介質(zhì)來路由流量，因此這也為傳輸介質(zhì)類型和傳輸供應(yīng)商選擇提供了更多選擇。
MPLS的操作類似于交換機和路由器，位于第2層和第3層之間，并使用包轉(zhuǎn)發(fā)技術(shù)和標簽來制定數(shù)據(jù)轉(zhuǎn)發(fā)策略。SD-WAN基于應(yīng)用層路由流量，從而確保了用戶體驗。此外，SD-WAN技術(shù)可以根據(jù)需要監(jiān)視和重新路由流量，以滿足服務(wù)水平協(xié)議(SLA)。
SD-WAN的優(yōu)勢可以概括為三類：靈活性、可管理性和低成本：
靈活性：SD-WAN可以在可用的傳輸之間進行選擇，在給定的時間為給定的應(yīng)用程序選擇最合適的傳輸，并且增加了在使用高峰期間將應(yīng)用程序重新路由到不同傳輸?shù)墓δ堋Ｋ€可以設(shè)置策略，按需選擇更昂貴或者更便宜的傳輸。最關(guān)鍵的一點是，控制帶寬分配的是SD-WAN，而不是運營商。此外，由于SD-WAN組件是基于軟件的，因此部署比較靈活，周期時間短。
可管理性：SD-WAN的中央管理控制臺允許在需要時即時進行全局更改，例如在出現(xiàn)新的安全威脅或控制成本的情況下。SD-WAN還通過使用多個傳輸/網(wǎng)絡(luò)運營商來增強網(wǎng)絡(luò)連接，如果其中一個發(fā)生故障，則可以使用另一個，并且這種故障轉(zhuǎn)移可以在幾秒鐘內(nèi)完成。此外，SD-WAN還可以通過對所有流量或流量類別進行加密來幫助提高安全性。
低成本：SD-WAN技術(shù)可以通過以下幾種方式幫助降低WAN連接的總體成本：通過刪除或更換昂貴的租用線路(MPLS)，允許集中管理和減少對IT人員的需求以及提供商用硬件部署能力。不過SD-WAN也有一些潛在的缺點。與MPLS相比，使用寬帶服務(wù)的最大缺點是寬帶更加不可預(yù)測，并且SLA無法保障。相比較而言，MPLS延遲更低和丟包少。很多公司都會選擇使用MPLS來處理關(guān)鍵業(yè)務(wù)流量，而其他情況選擇使用較便宜的寬帶和4G/5G。
SD-WAN架構(gòu)
2019年8月，MEF發(fā)布了MEF70，推出了SD-WAN的第一個標準化定義。MEF列出的組件包括SD-WANEdge、SD-WAN控制器、服務(wù)編排器，SD-WAN網(wǎng)關(guān)和用戶接口等。
(1)SD-WANEdge可以是在數(shù)據(jù)中心、總部、物聯(lián)網(wǎng)、公/私有云或其他需要網(wǎng)絡(luò)接入的地方提供SD-WAN功能的物理設(shè)備或虛擬機(VM)。它們可以替代或補充現(xiàn)有的物理WAN路由器。
SD-WANEdge設(shè)備通常比較便宜，因為它們往往是VM或運行在通用x86服務(wù)器上。而許多傳統(tǒng)的WAN路由器都是專用的、基于ASIC芯片的專有硬件，并且不可擴展，難以更新。x86芯片能夠提供與ASIC芯片差不多的速度處理網(wǎng)絡(luò)流量，其靈活性和可擴展性一定程度上彌補了性能上的損失。SD-WAN設(shè)備更容易在遠程位置部署和設(shè)置，因為它們是中央管理的，不依賴于本地IT人才。
SD-WANEdge設(shè)備可以提供其他虛擬網(wǎng)絡(luò)功能(VNF)服務(wù)，例如負載平衡，并且由于它們是軟件而不是基于硬件的，因此無需升級SD-WANEdge設(shè)備即可實現(xiàn)額外的VNF。
(2)SD-WAN控制器為SD-WAN實現(xiàn)提供集中管理。通過中央控制臺或用戶接口可以查看整個公司網(wǎng)絡(luò)。SD-WAN控制器可以在內(nèi)部部署，也可以在云中實現(xiàn)。由于它僅將網(wǎng)絡(luò)overlay和策略推送到SD-WANEdge設(shè)備，因此它實際上不會進行數(shù)據(jù)包檢查，它的網(wǎng)絡(luò)使用量是最小的。通過控制臺，IT人員可以設(shè)置策略，然后編排器將執(zhí)行這些策略。
SD-WAN控制器將生成相關(guān)報告，通過這些報告，IT人員可以對組織的網(wǎng)絡(luò)活動做出全面的決策。報告常常是SD-WAN中被忽視的一個方面，因為過去WAN實現(xiàn)往往不能提供SD-WAN控制器所能提供的詳細信息。
(3)SD-WAN編排器是虛擬化的網(wǎng)絡(luò)管理器，可以監(jiān)控流量并應(yīng)用策略和協(xié)議。SD-WAN編排器通常還包括SD-WAN控制器功能，用于設(shè)置集中式策略，然后使用這些策略為應(yīng)用程序流做出轉(zhuǎn)發(fā)決策。應(yīng)用程序流是分類以確定其用戶應(yīng)用程序或與之關(guān)聯(lián)的應(yīng)用程序分組的IP數(shù)據(jù)包。基于通用類型(例如，會議應(yīng)用程序)的應(yīng)用程序流分組在MEF-70中稱為AFG(ApplicationGroupFlows)。
由于SD-WAN仍處于起步階段，因此許多術(shù)語及其邊界仍在制定中。SD-WAN網(wǎng)關(guān)就是其中一種比較模糊的術(shù)語。在有些情況下可能會在數(shù)據(jù)中心或主辦公室中使用SD-WAN網(wǎng)關(guān)來優(yōu)化流量并提供額外的安全性，而某些方式可能會將所有網(wǎng)絡(luò)流量都路由到中心站點，流量需要經(jīng)過很長的距離才被路由回其原始位置。為了緩解這個問題，現(xiàn)在有了用于公共云和數(shù)據(jù)中心的SD-WAN網(wǎng)關(guān)。
基本上，SD-WAN網(wǎng)關(guān)為來自終端的應(yīng)用程序提供了最優(yōu)的數(shù)據(jù)流，以便在云和云之間提供網(wǎng)絡(luò)服務(wù)。分布式網(wǎng)關(guān)網(wǎng)絡(luò)可提供可擴展性、冗余性和按需靈活性。
策略
SD-WAN是一種策略驅(qū)動的結(jié)構(gòu)，其中IP數(shù)據(jù)包被劃分為AGF。AGF可以基于OSI的第2層到第7層分類。此外，AGF可以基于遠程SD-WANEdge上目標SD-WANUNI的路由的可用性來阻止或允許轉(zhuǎn)發(fā)IP數(shù)據(jù)包。
MEF針對SD-WAN提出了一套基本策略，包括加密、公有/私有、InternetBreakout、計費方法和主備份。公有/私有用于指定AGF可以使用公共或私有傳輸媒介。InternetBreakout指定是否應(yīng)將AGF轉(zhuǎn)發(fā)到Internet目的地。計費方法指定AGF是根據(jù)使用情況還是基于固定的計費模式。帶寬設(shè)置AGF的速率限制。由于MEF的標準尚未普及，目前并非所有提供商都使用這些術(shù)語，但隨著技術(shù)的成熟，未來通用的術(shù)語和定義肯定會進一步普及。
SD-WAN架構(gòu)
SD-WAN有許多不同的架構(gòu)，下面對目前正在使用的幾種不同架構(gòu)做一個介紹。
本地SD-WAN架構(gòu)：這是最簡單的實現(xiàn)方法。這種架構(gòu)下，公司的每個位置都有一個SD-WANEdge設(shè)備。通常這種架構(gòu)不需要SD-WAN網(wǎng)關(guān)，并且位置可以通過點對點或網(wǎng)狀拓撲相互連接。SD-WAN組件可以位于一個位置，也可以分布在整個組織中。這種架構(gòu)最適合使用內(nèi)部SaaS而非云來托管應(yīng)用程序的公司，能夠降低成本，且易于維護。
云SD-WAN架構(gòu)：云SD-WAN架構(gòu)允許SD-WANEdge設(shè)備連接到基于云的SD-WAN網(wǎng)關(guān)。SD-WAN提供實時流量調(diào)整、多電路負載平衡、故障轉(zhuǎn)移以及對云應(yīng)用程序的訪問。云網(wǎng)關(guān)可由各種云提供商應(yīng)用程序托管，包括Office365，Salesforce和Dropbox。企業(yè)可以通過讓關(guān)鍵的基于云的內(nèi)部實時應(yīng)用在小型MPLS管道上運行，讓其他應(yīng)用在公共互聯(lián)網(wǎng)上運行來降低成本。
云骨干架構(gòu)使SD-WANEdge設(shè)備連接到最近的網(wǎng)絡(luò)POP點，這時流量將跳到MPLS上，并且還將擁有專線的SLA質(zhì)量。大多數(shù)MPLS管道直接連接到主要的云提供商，這提高了這些應(yīng)用程序的性能和可靠性。對于那些想要擁有完整SD-WAN架構(gòu)但仍然擔心寬帶服務(wù)質(zhì)量的公司來說，這種部署方法是可以使用的。該架構(gòu)將非關(guān)鍵應(yīng)用offload到低成本寬帶網(wǎng)絡(luò)中，從而為關(guān)鍵業(yè)務(wù)應(yīng)用分配了更多帶寬，進而提高了所有應(yīng)用程序的性能。
如何選擇SD-WAN
我們在選擇SD-WAN時通常需要考慮以下特征：
路徑選擇——路徑選擇應(yīng)該是動態(tài)的，并且要基于傳輸介質(zhì)和應(yīng)用。SD-WAN應(yīng)該能夠自動區(qū)分用戶正在運行的數(shù)千種不同的應(yīng)用程序。
安全性-安全是SD-WAN的關(guān)鍵。SD-WAN安全應(yīng)包括外圍防火墻、數(shù)據(jù)傳輸加密等等。許多SD-WAN解決方案都支持第三方安全和虛擬專用網(wǎng)。
傳輸介質(zhì)-需要確保SD-WAN解決方案不僅支持您當前正在使用的傳輸介質(zhì)，而且還支持您將來可能使用的傳輸介質(zhì)。
報告-在考慮使用SD-WAN解決方案時，報告是一個經(jīng)常被忽視的因素。我們需要確保能夠擁有所需的報告功能。
還有一些其他的因素需要考慮。首先，需要確定企業(yè)是自己部署SD-WAN，還是使用其他提供商的服務(wù)，許多SD-WAN提供商都提供了完全管理的SD-WAN部署場景。其次要確保對組織進行了全面的評估，針對企業(yè)的需求確定合適的架構(gòu)。最后，SD-WAN還應(yīng)該提供高可用性和彈性。
