广域网与分支组网

让总部与分支之间连得稳、切得快、管得住、上得快。本技能给出从技术选型、双链路冗余、带宽聚合测算、应用感知路由、ZTP 上线到集中管理的完整可执行链路。

一、核心原理

分支广域网的核心是在成本与质量之间做混合：MPLS 质量高但贵，互联网便宜但质量无保障，SD-WAN 通过多链路聚合 + 应用感知路由把两者组合起来。

• MPLS：运营商私有网，SLA 保障（时延/丢包/抖动），成本高，开通慢。
• 互联网链路：成本低（每 Mbps 约为 MPLS 的 1/5~1/10），但无 QoS 保障。
• SD-WAN：在 CPE 上建 IPsec 隧道，叠加于 MPLS + 互联网 + 4G/5G 之上，按应用特征选路。

flowchart LR
    B[分支 CPE] -->|隧道1 MPLS| H[总部 Hub]
    B -->|隧道2 互联网| H
    B -->|隧道3 4G/5G| H
    B -->|SD-WAN 应用感知选路| H

• 应用感知路由：语音/视频会议等实时流量走 MPLS（低时延），普通数据走互联网（低成本）。
• 双链路冗余：每分支至少两条物理路径分离的链路，单链路故障自动切换。

二、参考架构（SD-WAN 混合广域网）

flowchart TB
    subgraph 总部
      HUB[Hub CPE<br/>MPLS + 互联网 + 专线]
    end
    subgraph 分支
      B1[分支1 CPE]
      B2[分支2 CPE]
      B3[分支N CPE]
    end
    MPLS[MPLS 网络] --- HUB
    INET[互联网] --- HUB
    B1 --- MPLS
    B1 --- INET
    B2 --- MPLS
    B2 --- INET
    B3 --- MPLS
    B3 --- INET
    CTRL[SD-WAN 控制器<br/>vManage/iMaster NCE] -.管理面.- HUB
    CTRL -.ZTP 下发.- B1 & B2 & B3

配套 ASCII 双链路冗余图（用于方案文档）：

 分支站点                    总部 Hub
 ┌──────────────┐         ┌──────────────────┐
 │ 分支 CPE      │  MPLS   │  Hub CPE          │
 │              │═════════►│  (汇聚多条隧道)    │
 │              │ 互联网   │                  │
 │              │─ ─ ─ ─ ─►│                  │
 │              │  4G/5G  │                  │
 │              │· · · · ·►│                  │
 └──────────────┘         └──────────────────┘
  应用感知路由：
  语音/视频 → MPLS（低时延 SLA）
  数据/备份 → 互联网（低成本）
  故障切换 → 自动切到其他可用链路

三、关键参数决策表

3.1 技术选型对比（真实数值）

3.2 分支带宽分级（真实数值）

3.3 应用感知路由策略（真实数值）

四、分步 SOP

1. 技术选型：MPLS/SD-WAN/互联网按成本、质量、覆盖对比。
2. 链路冗余：每分支至少双链路且物理路径分离（不同运营商/介质）。
3. 带宽测算：跑 branch_bandwidth_aggregator.py 聚合分支带宽，测算 Hub 汇聚带宽。
4. 路由设计：SD-WAN 应用感知路由 + 汇总策略，避免环路与次优路径。
5. 地址规划：分支地址段统一规划便于汇总（见 net-vpc-design / 网段规划）。
6. ZTP 上线：零配置上线，减少现场操作，控制器自动下发模板。
7. QoS 与安全：关键业务保障 + 分支边界最小权限策略。
8. 集中管理：设备集中管理，配置统一下发，监控统一告警。

五、真实配置示例

5.1 思科 SD-WAN（vManage / IOS-XE，概念）

! 应用感知路由策略：语音走 MPLS，数据走互联网
policy
 data-policy APP-ROUTE
  vpn-list VPN1
   sequence 10
    match
     app-list VOICE
    action
     set
      local-tloc-list MPLS-PATH
  ! 默认数据走互联网
  vpn-list VPN1
   sequence 20
    action accept
     set
      local-tloc-list INET-PATH

5.2 IPsec 隧道（分支 CPE，华为 VRP 概念）

# 分支到总部 Hub 的 IPsec 隧道（over 互联网）
ike proposal 1
 encryption-algorithm aes-256
 authentication-algorithm sha2-256
 dh group14
#
ipsec proposal 1
 esp encryption-algorithm aes-256
#
ipsec policy branch-to-hub 1 isakmp
 ike-peer hub-peer
 proposal 1

5.3 Fortinet SD-WAN（FortiGate）

config system sdwan
  set status enable
  config members
    edit 1  set interface "wan1" set cost 10   # MPLS
    edit 2  set interface "wan2" set cost 20   # 互联网
  end
  config service
    edit 1  set name "voice" set mode sla
      set dst "all" set priority-members 1 2
  end
end

> 完整可填空 SD-WAN 隧道/路由模板见 assets/sdwan-template.txt，参数详解见 references/wan-branch-parameters.md。

六、验证方法与达标阈值

# 分支带宽聚合
python branch_bandwidth_aggregator.py --branches "10:20,5:50" --oversub 8
# 隧道状态（华为 VRP）
display ipsec sa

七、常见故障排查表

> 更多案例见 references/wan-branch-troubleshooting.md。

八、输出规范

交付时应产出：广域网架构与选型对比表、链路清单与带宽测算、分支带宽聚合表、应用感知路由策略、地址规划表、ZTP 上线流程、QoS 与分支安全策略、集中管理方案。

九、边界与风险

• 单链路分支不满足可用性要求，必须冗余；双链路需物理路径分离（不同运营商/介质）。
• 路由协议重分发不当易形成环路，需谨慎设计汇总与过滤。
• 分支设备型号与模板需标准化以降低运维成本，避免「一分支一配置」。
• MPLS/互联网成本与 SLA 因运营商与地域差异大，本技能为量级参考。

配套资源

• 参数手册：references/wan-branch-parameters.md
• 配置对照：references/wan-branch-configs.md
• 故障案例库：references/wan-branch-troubleshooting.md
• 数据基线：assets/branch-bandwidth-baseline.csv
• 隧道模板：assets/sdwan-template.txt
• 脚本：scripts/branch_bandwidth_aggregator.py（分支带宽聚合计算器）
• 配套检查清单：《广域网与分支组网清单》