SD-WAN混合云与公网流量访问走向的多种方式

SD-WAN混合云是怎么实现的？

随着IaaS的成熟与落地，混合云的模式逐渐为市场所接受，其中的一个关键技术环节，就是如何打通企业站点与VPC间的连接。SD-WAN生于云计算的大时代中，作为新一代的企业WAN组网方案，“Cloud Ready”也自然成为了必选支持的功能。

从Enterprise-Oriented SD-WAN的角度来看，入云并不需要什么特殊的技术，还是隧道、加密、NAT穿越这些老问题，IPSec仍然是可以搞定的。不过在Cloud这一侧，除了一些超大的客户可以在资源池的机房里放硬件的CPE，绝大部分的客户都只能用纯软的CPE，部分厂商已经把产品做到了Cloud SP的market place里面，以SD-WAN VNF的形式直接按需提供给客户。如果还没上market place，客户则可以在VPC中起一个新的VM，自己动手装一个Software CPE进去。在实际的部署中，必须要搞清楚云中的路由结构，关键就是vRouter和Software CPE的位置关系，并在合适的地方去控制公网和VPN路由的分流。另外，很多大型的Cloud SP会自己提供Gateway作为不同租户入云的统一入口，不过这个Gateway的能力比较单一，接口的权限通常也不会开放给SD-WAN的控制器，因此很难纳入到SD-WAN的体系中来。

为了打通IPSec，站点侧和云侧至少要有一个公网可访问的IP地址，如果是云侧需要这个地址，就需要向Cloud SP申请一个Fixed IP。一端配本地的设备，一端配云侧的设备，在做具体部署时要为控制器选好合适的位置。

如果有通二层的需求的话，就要VxLAN或者VxLANoverIPSec，然而实际上换了封装二层也很难通起来。如果VPN的路由结构是vRouter—Software CPE两跳，那隧道出来后是没法直接接到Subnet上的。即使VPN的路由是直接走到Software CPE上，二层的流量也还是过不了安全组这一关。解决的办法，要么Cloud SP允许修改默认的VM安全策略，要么找个地方裸放CPE，从vSwitch打VxLAN到这个裸CPE上。不过目前来看，企业做混合云主要还是为了打通三层，在站点和VPC间做二层的需求是比较少见的。

SD-WAN公网的访问是如何实现的？

除了打通VPN以外，由于CPE的位置放在了站点的边缘，因此站点访问Internet的流量也是由CPE来完成处理。从LAN的策略来说，访问Internet可能需要单独做认证，这时CPE需要提供WEB认证的功能。从WAN的策略来说，Internet流量要做限制，免得一些非关键流量占用宝贵的WAN线路带宽。这就需要CPE具备识别HTTP/HTTPS流量的能力，对SaaS办公流量提高优先级，对于其他非办公流量，进行限速或者直接丢弃掉。

访问Internet有两种流量模型。

第一种是分支的Internet流量先送到总部/数据中心，经过总部/数据中心的防火墙的统一过滤后再送到Internet上，那么控制器需要向分支CPE下发一条默认路由，通过隧道指向总部的CPE，覆盖掉WAN口上可能被SP分配的默认路由。第一种方式的好处在于可以做到安全的集中部署与管理，但是流量发生了绕行，而且对总部/数据中心的带宽要求比较高。

第二种是分支直接把Internet流量送到Internet上，这种方式被称为DIA（Direct Internet Access）。DIA对于CPE的要求就比较高了，首先CPE上要有丰富的NAT能力，包括NAT/PAT、NAT Server、双向NAT等，需要支持带状态的会话能力。控制器在下发IPSec规则时，需把NAT后的流量排除在IPSec的兴趣流量以外，否则就又被送到总部去了。

部署DIA还必须要解决安全的问题，否则公网上的流量一旦对分支CPE发起攻击，不仅会对该分支造成影响，通过VPN还可以跳入总部的数据中心，这种损失是不可接受的。首先，CPE会内置一些ACL或者防火墙规则，尽量做到不同区域间隔离，其次可以通过Service Route把IPS/AV/UTM/NGFW串到路径中，实现一些高级的防护。另外，也可以把DIA的流量就近地引到云中的安全服务中（如ZScaler），实现更为专业的安全策略。

SD-WAN，不单指某种线路，其实是一种全新的网络管理方式