互联技术选型

SD-WAN和IPsec VPN作为云园区网络解决方案出口互联的两种技术，有不同的适用场景和特性差异，在选择时，要充分考虑两种技术对场景的匹配度，选择合适的技术进行方案设计和部署。

SD-WAN和IPsec VPN特性的关键差异点如表1所示。

关于SD-WAN和IPsec VPN方案的选择，可以参考如下规则和建议：

必须选择SD-WAN技术的场景

• 分支、总部站点多链路上行，分支、总部需要多隧道建链实现多VPN隧道的主备或者负载分担。
• 需要基于应用、链路质量进行智能选路。
• 有多区域/多中心站点（每个区域相当于一个总部），需要跨区域进行分层互联的复杂互联场景。
• 园区间有多部门业务隔离的诉求，对WAN侧也需要进行隔离，需要部署多VPN的互联。

必须选择IPsec VPN技术的场景

• 小微门店仅部署AP，AP做出口网关。
• 金融、物流、办公门店等只考虑用FW做出口网关场景。
• Hub节点为第三方VPN网关。

其他建议

• IPsec VPN主要适合于中小型海量分支的互联，SD-WAN可以支持中小型分支的互联，同时也可以支持大中型园区的互联，通过动态的方式发布园区路由，在大中型园区互联场景下更具灵活性、扩展性。
• 如果仅有单链路和单总部的场景，则建议配置轻量化的IPsec VPN，同时也可以支持更多的设备类型，方便灵活组网。
• 针对多Hub节点场景（一个总部多个公网出口也为多个Hub节点），分支如果只需要和一个Hub节点建链，则可以考虑用FW的IPsec VPN方案。
• 部署SD-WAN方案时，如果同时需要高级安全如IPS、威胁分析、反病毒等，则可以通过AR下挂FW的方案实现。
• 针对FW、AR部署时，SD-WAN方案可以在满足站点规模的前提下，都可以替代IPsec VPN的方案，但实际可以根据部署的成本、代价、灵活性、扩展性，选择具体的方案。