Day36-03｜17.2.2 广域网网络架构：连接跨地域业务并控制链路风险
Day36-03｜17.2.2 广域网网络架构：连接跨地域业务并控制链路风险
对应教材：第17章 通信系统架构设计理论与实践——17.2.2 广域网网络架构
学习目标：理解广域网的组成、互联方式和典型架构；掌握专线、VPN、MPLS、互联网和 SD-WAN 等方案的特点；能够进行路由、带宽、冗余、QoS、安全和成本分析；能够在案例题中设计跨地域企业网络。
一、广域网的定位
广域网（WAN）用于连接不同城市、园区、数据中心、云平台、分支机构和移动节点。与局域网相比，广域网距离更长、链路由运营商提供、时延和丢包更难控制，故障恢复和安全边界也更复杂。
企业广域网承载办公访问、分支业务、语音视频、生产协同、数据复制、云访问和远程运维。不同业务对可靠性、带宽、延迟、安全和成本的要求不同，不能把所有流量都当成普通互联网访问。
典型结构如下：
分支局域网 → WAN 接入 → 运营商/互联网/专线 → 总部/数据中心/云 ↓ ↓ ↓ 防火墙与路由 VPN/加密/QoS 路由、冗余和安全策略
广域网架构设计的核心，是在可接受成本下，为不同地点和业务提供可用、可控、可追踪的连接。
二、广域网的组成
用户侧包括分支路由器、防火墙、SD-WAN 边缘设备、交换机和终端；接入侧包括光纤、专线、宽带、4G/5G 和卫星链路；运营商网络负责传输和路由；企业核心侧包括数据中心、云互联、出口和安全平台；管理侧包括认证、监控、配置、日志和故障处理。
广域网还涉及 DNS、NTP、身份、地址、证书和密钥服务。链路可用而认证服务失效，分支仍可能无法使用业务；因此端到端监控必须覆盖基础服务和应用。
三、常见互联方式
1. 专线
专线提供相对稳定、可预测和隔离的连接，适合核心业务、数据中心互联和高可靠场景。缺点是建设周期长、价格高、扩容和跨区域开通不够灵活。专线也不是绝对安全，仍需身份、访问控制和加密策略。
2. 互联网 VPN
通过公网建立加密隧道，部署灵活、成本较低，适合分支接入、远程办公和非核心业务。其带宽、时延、丢包和路径受公网影响，需要多链路、重试、QoS 和应用层容错。
3. MPLS
MPLS 可以利用运营商网络进行虚拟专网、路径和服务等级管理，适合多分支企业。它的质量和运维依赖运营商，成本通常高于普通互联网；企业仍需自行设计安全、访问和应用优先级。
4. SD-WAN
SD-WAN 通过集中控制和多链路智能选路，根据时延、丢包、带宽和业务策略选择路径。它可以组合专线、宽带和移动链路，提高灵活性；但控制器、边缘设备、策略和安全集成增加了治理复杂度。
5. 云互联
企业可以通过云专线、云 VPN 或互联网连接云平台。云互联要考虑路由、地址重叠、安全组、访问控制、带宽、跨区域、备份和供应商锁定。云端网络正常不等于云上应用可用。
四、拓扑结构
点到点适合两个关键地点，结构简单但扩展性弱；星型由总部或中心节点连接各分支，易管理但中心故障影响大；全网状提供多路径和低延迟，但线路与路由成本高；部分网状在关键地点之间建立多路径，普通分支通过中心接入，是常见折中方案。
多区域企业可以采用双中心、双出口和分层互联。总部、数据中心和云平台之间应根据业务流设计，而不是所有流量绕回总部。互联网访问可采用本地出口，核心数据访问通过受控路径。
五、路由与地址规划
广域网需要规划企业地址、分支网段、云网段、管理网段和 VPN 地址池，避免重叠导致路由和访问冲突。分支数量增长时，应使用可汇总的地址规划，减少路由表和策略复杂度。
路由协议和静态路由的选择取决于规模、变化和团队能力。关键链路要配置健康探测、路由收敛和故障切换；默认路由、策略路由和服务链要经过审计。路由泄露可能导致流量绕路、数据暴露和大面积不可用。
六、带宽和 QoS
带宽规划要估算终端数量、应用流量、峰值、增长、备份、视频、语音和故障后的剩余能力。数据复制和批量传输可能产生持续大流量，不能与交互交易共享无限资源。
QoS 可按业务分类、标记和排队。语音和控制通常需要低时延，交易需要可靠和稳定，备份可以延后。QoS 只能在可控链路上提供相对保障，公网拥塞仍需通过多链路、缓存、压缩和应用降级缓解。
七、可靠性与冗余
广域网冗余包括双运营商、双链路、双设备、双出口、多路径和异地中心。冗余设计要验证链路切换时间、路由收敛、会话保持、DNS、认证和应用重连。
双链路不一定提升可用性。如果两条链路共用同一光缆、同一运营商或同一设备，存在共同故障。故障切换还可能造成地址、NAT、状态和证书变化，应用需要支持重新连接和幂等。
关键业务可以采用主备或多活。主备结构简单但切换可能有中断；多活可提高连续性，但需要数据同步、流量调度、冲突处理和更高运维能力。
八、安全架构
广域网跨越不可信网络，必须保护机密性、完整性和身份。常见措施包括 IPsec、TLS、VPN、零信任访问、防火墙、入侵检测、证书、密钥轮换、分区和审计。
不同分支和业务不能因为建立 VPN 就完全互通。应按用户、设备、应用和数据执行最小权限；生产、办公、管理和访客流量分离；远程运维使用多因素认证和堡垒机；对云和第三方访问设置明确边界。
安全设备本身也要高可用，策略和证书需要备份、版本和回滚。加密会产生 CPU 和时延开销，应进行性能和峰值测试。
九、广域网运维
运维系统应监控隧道、链路、路由、带宽、时延、丢包、抖动、设备、会话、认证和应用可达性。链路探针只能证明网络层可达，仍需使用端到端业务探针验证应用。
配置中心应记录设备、策略、路由、VPN、证书和版本，支持差异、审批、备份和回滚。运营商故障要保留工单、SLA 和升级路径；关键变更前应进行影响分析和回退演练。
十、SD-WAN 架构要点
SD-WAN 通常包含控制器、管理平台、边缘设备和数据转发隧道。控制器下发拓扑、路由、安全和应用策略，边缘设备采集链路质量并执行选路。
设计时要考虑控制器高可用、边缘离线策略、策略一致性、证书、软件升级和本地转发。控制器暂时不可用时，边缘设备应保留最后可信配置和基本转发能力。应用识别和动态选路可能涉及隐私、误判和策略冲突，需要审计和人工覆盖。
十一、案例：集团分支广域网
某集团有总部、两个数据中心、三十个分支和公有云。核心交易需要稳定访问数据中心，普通办公访问互联网，视频会议要求低时延，备份可以夜间运行。架构采用双运营商接入，关键分支使用专线加宽带，普通分支使用双宽带和 5G 备份。
分支 LAN → 双 WAN 边缘 → SD-WAN 隧道 → 数据中心/云 ↓ ↓ ↓ ↓ 安全分区 QoS/选路 加密/路由 应用与数据服务
交易流量优先走质量稳定路径，视频根据实时链路选择路径，备份限速并安排窗口；访问数据中心经过安全策略，互联网流量按分支本地出口；控制器和边缘设备高可用；链路中断时使用备用路径，应用通过重连和幂等恢复。
十二、考试答题模板
题目问“广域网方案选择”，可按业务流、覆盖、带宽、时延、可用、安全、成本、运营商和扩展性比较专线、VPN、MPLS、SD-WAN 和云互联。题目问“如何提高广域网可靠性”，要写双运营商、双链路、双设备、多路径、路由收敛、应用重连和切换演练。
论文中可以写：我先按交易、办公、视频和备份划分流量等级，再采用专线、互联网和移动链路组合；通过 SD-WAN 根据时延、丢包和业务优先级选路，使用 IPsec、身份认证和安全分区控制跨地域访问；控制器和边缘设备保持高可用，断链时使用备用路径和本地策略，并通过故障、拥塞和攻击演练验证端到端服务。
十三、课后练习
练习1
专线是否等于绝对安全？
参考答案：不是。专线主要提供相对稳定和隔离的传输，仍可能配置错误、被内部越权或遭受终端攻击；需要身份、权限、加密、分区和审计。
练习2
双链路切换后应用仍不可用，可能原因是什么？
参考答案：路由、NAT、DNS、VPN、会话状态、认证或应用没有正确重连；需要验证端到端切换、地址变化、超时、幂等和服务状态。
练习3
为什么广域网需要应用级监控？
参考答案：网络设备和链路在线不代表 DNS、认证、数据库和业务接口正常；应用探针能验证真实业务可达性和端到端质量。
十四、今日复盘
广域网架构的核心是跨地域连接与风险控制。专线、VPN、MPLS、SD-WAN 和云互联各有适用边界；设计必须结合路由、带宽、QoS、冗余、安全、运维和应用恢复。高级案例题要从业务流出发，写出链路故障和网络不可信条件下的完整方案。
