VMware SD-WAN 4.0
您可以从 VMware 网站下载最新的技术文档：
https://docs.vmware.com/cn/。
概覽 3
VMware SD-WAN 是一個云網絡服務解決方案，使站點能夠通過專用網絡和 Internet 寬帶快速部署舊應
用程序和雲應用程序的企業級訪問。
雲提供的軟件定義 WAN 確保企業通過 Internet 和混合 WAN 實現雲應用程序性能，同時簡化部署並降低
成本。
下圖顯示了 VMware SD-WAN 解決方案組件。以下幾節更詳細地介紹了這些組件。
要熟悉基本配置和 Edge 激活，請參閱激活 Edge。
本章討論了以下主題：
n 解決方案組件
VMware, Inc. 15
n SD-WAN Edge 性能和規模數據
n 功能
n 隧道開銷和 MTU
n 網絡拓撲
n 分支站點拓撲
n 角色和特權級別
n 用戶角色列表
n 重要概念
n 支持的瀏覽器
n 支持的調製解調器
解決方案組件
本節介紹了 VMware 解決方案組件。
VMware SD-WAN Edge
這是一種精簡的“Edge”，它是從雲中以零 IT 接觸方式置備的，可以提供到應用程序和虛擬化服務的安
全且優化的連接。 SD-WAN Edges 是零接觸式企業級設備或虛擬軟件，可以提供到專用、公用和混合應
用、計算和虛擬化服務的安全且優化的連接。除了託管虛擬網絡功能 (VNF) 服務以外，SD-WAN Edges
還執行深入的應用程序識別、應用程序和每個數據包的轉向、按需修復性能衡量指標和端到端服務質量
(QoS)。可以部署 Edge 對以提供高可用性 (HA)。 Edge 可以部署在分支、大型站點和數據中心。所有其
他網絡基礎架構是在雲中按需提供的。
VMware SD-WAN Orchestrator
VMware SD-WAN Orchestrator 提供集中式企業範圍的配置和實時監控，以及協調流入和流經 SDWAN 覆蓋網絡的數據流。此外，它還在集中式和區域企業服務 Hub 和雲中提供在 Edge 之間一鍵式置備
虛擬服務的功能。
VMware SD-WAN Gateways
VMware SD-WAN 網絡包含在頂層網絡存在點和全球雲數據中心部署的網關，從而向 SaaS、IaaS 和雲
網絡服務直接提供 SD-WAN 服務以及訪問專用主幹網絡。多租戶虛擬網關是由 VMware SD-WAN 轉換
和雲服務提供商合作夥伴部署的。這些網關具有按需、可擴展且冗餘的云網絡的優勢，可以優化到雲目標
以及零安裝應用程序的路徑。
VMware SD-WAN 管理指南
VMware, Inc. 16
SD-WAN Edge 性能和規模數據
本節介紹了 VMware SD-WAN Edge 的性能和規模架構。本文根據在配置有特定服務組合的各種 Edge
上執行的測試提供了相應的建議。此外，還介紹了性能和規模數據點以及如何使用這些數據點。
簡介
這些測試代表了常見的部署方案，可提供適用於大多數部署的建議。此處的測試數據並未包含所有衡量指
標，也沒有涉及性能或規模限制。在一些實施中，觀察到的性能超出了測試結果，而在其他一些實施中，
特定服務、極小的數據包大小或其他因素可能會導致性能低於測試結果。
歡迎客戶執行獨立測試，結果可能會有所不同。但是，對於大多數部署，基於測試結果的建議已足夠。
VMware SD-WAN Edge
VMware SD-WAN Edge 是零接觸式企業級設備，可以提供到專用、公用和混合應用程序以及計算和虛擬
化服務的安全且優化的連接。除了支持其他虛擬化網絡服務外，VMware SD-WAN Edge 還通過應用基於
數據包的鏈路轉向和按需應用程序修復，執行對流量的深度應用識別、衡量底層傳輸的性能衡指標，以及
應用端到端服務質量。
吞吐量性能測試拓撲
圖 3-1. 圖 1：1 Gbps 或更低的設備吞吐量性能測試拓撲
圖 3-2. 圖 2：高於 1 Gbps 的設備吞吐量性能測試拓撲
測試方法
本小節詳細介紹了用於獲取結果的性能和規模測試方法。
性能測試方法
Edge 的測試方法使用行業對標標準 RFC 2544 作為框架來執行吞吐量性能測試。測試期間使用的流量類
型和設置的配置具有特定的變化，如下所述：
1 可以使用完全正常運行的 SD-WAN 網絡覆蓋（DMPO 隧道）測試拓撲來測量性能，以便測試 SDWAN 功能並獲取結果來決策適當 WAN 網絡大小。通過建立多個混合已知應用程序的流（連接），
使用有狀態流量執行測試。流數取決於要測試的平台模型。平台按 1 Gbps 以下和 1 Gbps 以上模型的
預期總性能進行劃分。通常，需要數百個流來充分測試和確定預期在 1 Gbps 以下執行的平台的最大吞
吐量，並使用數千個流來測試 1 Gbps 以上的平台。
流量配置文件將模擬兩個網絡流量條件：
n 大型數據包，1300 字節條件。
n IMIX，數據包大小的混合組合，平均為 417 字節條件。
這些流量配置文件將分別用於測量每個配置文件的最大吞吐量。
VMware SD-WAN 管理指南
VMware, Inc. 18
2 以 0.01% 的數據包丟包率 (Packet Drop Rate, PDR) 記錄性能結果。 PDR 標記可提供更真實的性能
結果，該結果考慮了設備的 SD-WAN 數據包管道中可能發生的正常數據包丟棄。 PDR 為 0.01% 不會
影響應用程序體驗，即使在單個鏈路部署場景中也是如此。
n 所測試的設備配置了以下 DMPO 功能：使用 AES-128 和 SHA1 進行哈希的加密 IPsec、應用程序
識別、鏈路 SLA 測量、每個數據包轉發。業務策略配置為將所有流量匹配為批量/低優先級，以防
止 DMPO NACK 或 FEC 執行以及錯誤地更改流量生成器的數據包計數跟踪。
測試結果
VMware SD-WAN Edge 性能和規模結果
性能衡量指標基於上面詳細描述的測試方法。
交換端口性能：VMware SD-WAN Edge 經過設計，可以在 LAN 和 WAN 之間部署為網關路由器。但
是，Edge 還提供了滿足各種其他部署拓撲的靈活性。例如，SD-WAN Edge 可以將其接口配置為作為交
換端口運行，從而允許在各種 LAN 接口之間切換 LAN 流量，而無需使用外部設備。
將其接口配置為交換端口的 Edge 非常適合不需要高吞吐量的小型辦公室部署，因為處理流量交換所需的
額外一層複雜性會降低系統的整體性能。對於大多數部署，VMware 建議使用所有路由接口。
注
n Edge 設備的最大吞吐量是所測試的 Edge 的所有接口之間的吞吐量總和。
n “總體流量”是進出 Edge 設備的所有流量的“匯總”。
表 3-1. 物理 Edge 設備
功能
本節介紹了 VMware SD-WAN 功能。
動態多路徑優化
VMware 動態多路徑優化包括自動鏈路監控、動態鏈路轉向和按需修復。
鏈路轉向和修復
根據應用程序的業務優先級、嵌入的應用程序網絡要求信息以及每個鏈路的實時容量和性能，將自動執行
每個數據包的動態應用程序感知鏈路轉向。在通過前向糾錯、抖動緩沖和否定確認代理對各種鏈路性能下
降問題進行按需緩解時，也會保護優先級和網絡敏感應用程序的性能。每個數據包的動態鏈路轉向和按需
緩解組合使用以提供強大的亞秒級阻止和限制保護，從而提高應用程序可用性和性能並改善最終用戶體
驗。
VMware SD-WAN 管理指南
VMware, Inc. 23
雲 VPN
雲 VPN 是用於連接 VMware 和 Non VMware SD-WAN Sites 的一鍵式站點到站點 VPNC 兼容 IPSec
VPN，同時提供站點的實時狀態和運行狀況。根據服務級別目標和應用程序性能，雲 VPN 為所有分支建
立動態 Edge 到 Edge 通信。雲 VPN 還使用 PKI 可擴展密鑰管理在所有分支之間提供安全連接。新分支
自動加入 VPN 網絡，並且可以訪問其他分支、企業數據中心和第三方數據中心（如 Amazon AWS）中的
所有資源。
多源入站 QoS
VMware 對超過 3000 種應用程序進行分類以實現智能控制。即時可用的默認設置為不同的應用程序類型
設置多源入站服務質量 (QoS) 參數，IT 人員僅需確定應用程序優先級。通過了解不同應用程序類型的網絡
要求、自動鏈路容量測量和動態流量監控，可以自動完成 QoS 配置和帶寬分配。
防火牆
VMware 提供有狀態的上下文感知（應用程序、用戶、設備）集成應用程序感知防火牆，可以精細控制子
應用程序並支持協議跳變應用程序，例如 Skype 和其他 P2P 應用程序（例如，禁用 Skype 視頻和聊天，
但允許 Skype 音頻）。安全防火牆服務可識別用戶和設備操作系統，並且能夠分隔語音、視頻、數據和合
規性流量。可以輕鬆控制企業網絡上的 BYOD 設備（如 Apple iOS、Android、Windows 和 Mac OS）
的策略。
網絡服務插入
VMware 解決方案支持在一個平台中託管多個虛擬化網絡功能，從而消除單一功能設備並降低分支 IT 複雜
性。 VMware 服務將從分支到基於雲的服務和企業區域 Hub 服務的流量鏈在一起，以提供有保證的性能、
安全性和可管理性。分支利用整合的安全和網絡服務，包括來自 Zscaler 和 Websense 等合作夥伴的服
務。通過使用簡單的即點即用界面，可以使用應用程序特定的策略在雲和本地插入服務。
激活
在 SD-WAN Edge 設備在零接觸部署中連接到 Internet 後，它們自動進行身份驗證，進行連接和接收配
置指令。它們使用 SD-WAN Edge 冗餘協議提供了高可用性部署，並與現有網絡集成以支持 OSPF 路由
協議，並且可以利用動態發現和自動化。
覆蓋網絡流量控制
SD-WAN Edge 通過 OSPF 和 BGP 從相鄰路由器中發現路由。它將發現的路由發送到網關/控制器。網
關/控制器充當路由反射器，並將發現的路由發送到其他 SD-WAN Edges。覆蓋網絡流量控制實現企業範
圍的路由可見性和控制，以簡化編排以及控制全部和部分覆蓋網絡。
OSPF
VMware 支持針對 OSPF 鄰居、OE1/OE2 路由類型和 MD5 身份驗證的入站/出站篩選器。通過 OSPF 發
現的路由將自動重新分發給雲或本地託管的控制器。
VMware SD-WAN 管理指南
VMware, Inc. 24
BGP
VMware 支持入站/出站篩選器，並且可以將篩選器設置為“拒絕”(Deny)，或者選擇添加/更改 BGP 屬
性以影響路徑選擇，即，RFC 1998 社區、MED、AS 路徑附加和本地首選項。
分段
網絡分段是一項用於企業和服務提供商的重要功能。對於最基本的形式，分段出於管理和安全原因提供網
絡隔離。最常見的分段形式是適用於 L2 的 VLAN 和適用於 L3 的 VRF。
典型的分段用例：
n 業務部門隔離：工程、人力資源等以保護安全/進行審核
n 用戶數據隔離：客戶機、PCI、企業流量隔離
n 企業在不同的 VRF 中使用重疊的 IP 地址
不過，傳統方法僅限於單個設備或兩個物理連接的設備。要擴展該功能，必須在網絡中傳輸分段信息。
VMware 啟用端到端的分段。在數據包穿過 Edge 時，將在數據包中添加分段 ID 並將其轉發到 Hub 和雲
網關，從而在 Edge 與雲和數據中心之間隔離網絡服務。這提供了將前綴劃分到唯一路由表的功能，從而
使業務策略能夠識別分段。
路由
在動態路由中，SD-WAN Edge 通過 OSPF 或 BGP 從相鄰路由器中發現路由。 SD-WAN Orchestrator
在名為“覆蓋網絡流量控制”的全局路由表中維護所有動態發現的路由。覆蓋網絡流量控制允許在“同步
覆蓋網絡流量控制”和“更改入站/出站篩選配置”時管理動態路由。如果將前綴的入站篩選從 IGNORE
更改為 LEARN，則會從覆蓋網絡流量控制中提取前綴並將其安裝到統一路由表中。
有關更多信息，請參閱第 20 章 為動態路由配置 OSPF 或 BGP。
業務策略框架
服務質量 (QoS)、資源分配、鏈路/路徑轉向和糾錯是根據業務策略和應用程序優先級自動應用的。可以根
據專用和公用鏈路、策略定義和鏈路特性定義的傳輸組來編排流量。