企业双链路 SD-WAN 组网实践：智能选路、故障切换与多 Agent 监控

一、为什么需要双链路 SD-WAN

企业分支常同时承载办公访问、视频会议、远程运维、文件同步和云上业务。传统固定主备只判断线路是否连通，无法识别“线路仍在线但延迟、抖动或丢包已经恶化”的情况。双链路 SD-WAN 的核心价值，是持续测量链路质量，并根据应用特征动态选择更合适的路径。

一个可落地的目标应包括：关键业务低时延、普通业务成本可控、链路故障自动切换、恢复过程避免频繁回切，以及所有变化能够被记录和及时通知。

二、整体组网架构

每个分支配置两条不同运营商线路，也可以采用互联网专线加 4G 或 5G 作为备份。两条线路统一接入 SD-WAN CPE，由 CPE 建立加密 Overlay 隧道，分别连接总部、数据中心或华为云中的网络枢纽。

云上可以使用 VPC 承载业务网络，通过企业路由器 ER 汇聚多个 VPC、VPN 和专线连接；存在跨区域互联需求时，再结合云连接 CC 组织云上骨干路径。分支不直接暴露内部管理端口，访问控制、路由传播和日志采集在云侧集中管理。

三、Underlay 与 Overlay 的职责划分

Underlay 是运营商提供的物理网络，负责基础连通。Overlay 是建立在物理网络之上的加密隧道和逻辑拓扑，负责业务隔离、路径控制与统一策略。

组网时应避免只看公网带宽。对每条 Underlay 线路持续采集 RTT、P95 时延、抖动、丢包率、可用带宽和连续失败次数。Overlay 控制器根据这些指标调整隧道优先级，业务系统不需要感知底层运营商线路变化。

四、应用级智能选路

不同业务对网络质量的要求不同，应按业务类型设置策略：

• 视频会议和语音：优先低抖动、低丢包线路；
• 远程桌面和运维终端：优先低 RTT 线路；
• 文件同步和备份：优先可用带宽高、流量成本低的线路；
• 核心交易或生产业务：使用稳定主路径，并保留快速故障切换；
• 普通网页访问：允许链路负载分担，提高总体利用率。

策略判断不能依赖单次探测。建议采用滑动时间窗口，只有连续多次超过阈值才触发切换；恢复后设置观察期，确认链路稳定再回切，从而减少路径抖动。

五、故障切换状态机

链路状态可以划分为正常、质量下降、故障、恢复观察四个阶段。质量下降阶段先迁移实时业务，保留低优先级流量；确认故障后再切换全部业务。链路恢复时先承载少量探测流量，经过观察期后逐步恢复业务。

对于双链路同时异常的场景，应保留最低限度的管理通道，并限制备份、软件更新等大流量任务，优先保障监控、告警和远程运维。

六、多 Agent 实时监控

在传统监控基础上，可以引入多个职责明确的 Agent：

链路探测 Agent：从分支、云上枢纽和总部发起 ICMP、TCP 与应用层探测，生成实时质量评分。

策略 Agent：读取业务优先级和链路评分，给出切换、分流或限速建议，并记录策略命中原因。

故障分析 Agent：结合隧道日志、路由变化、运营商出口和历史基线，判断问题更可能位于分支侧、运营商侧还是云侧。

成本 Agent：汇总公网带宽、流量、云连接和计算资源用量，生成每日成本趋势，避免为了降低少量时延而持续使用高成本路径。

通知 Agent：将事件推送到飞书或企业微信。告警卡片包含影响范围、当前路径、关键指标、自动处理动作、恢复时间和是否需要人工介入。

七、低成本实施顺序

1. 先在一个分支使用两条现有互联网线路完成 PoC；
2. 建立双隧道并持续测量一周，获得不同时段的质量基线；
3. 先配置视频会议、运维和文件同步三类策略；
4. 接入云监控、日志和费用数据，再部署多 Agent 分析流程；
5. 验证稳定后逐步复制到其他分支，最后再评估专线或更高规格资源。

验证阶段可以使用小规格云主机和按需带宽，先证明路径质量和自动切换效果，再决定正式规格。这样能够控制试错成本，也便于比较不同运营商和区域的实际表现。

八、验收检查清单

• 任意单链路中断时，关键业务可以在目标时间内恢复；
• 高延迟或高丢包但未断线时，策略能够识别并迁移业务；
• 链路恢复后不会频繁来回切换；
• 所有策略变更、人工操作和故障事件均有审计记录；
• 飞书或企业微信可以收到故障、恢复和每日摘要；
• 云资源与公网流量成本可以按分支和业务统计。

九、总结

双链路 SD-WAN 的重点不是简单增加一条备用线路，而是建立持续测量、应用识别、质量选路、故障闭环和成本治理能力。结合华为云的网络枢纽与监控数据，再通过多 Agent 完成探测、分析、决策和通讯软件通知，可以让多分支网络从人工排障逐步转向可观测、可自动化的运营模式。