SDWAN的变化

企业信息化建设总是一环一环，不可能说现在有分支互联SD-WAN未来永远不会有其他需求。例如，在我看到的案例中，SaaS加速往往出现在加速前后脚和分支互联的情况下。你不能为此制定两个计划，对吧？从保护IT投资角度，未来SD-WAN方案必然会走向全场景。要说经验足够好，不完全取决于技术实现的广度，更取决于技术实现的深度。我只举一个例子，更接近业务模型的拨号选择。

现在，我们假设企业有两个关键业务：视频会议和数据备份，它们的流量模型和线路的质量要求完全不同。视频会议对带宽要求较低，但对延迟抖动包非常敏感；数据备份通常相反，需要尽可能大的带宽，但对延迟抖动包不那么敏感，容忍度较高。

在这种情况下，最合理的选择逻辑是在每条线上发送不同的检测包，然后根据不同的容忍阈值进行动态调度，以更好地保证业务质量。不幸的是，市场上的大多数分支都是互联的SD-WAN就解决方案而言，每条线路只发送固定参数ICMP探测包，即使参数可以人工设置，显然也无法匹配关键业务的质量要求，质量保证也无从谈起。

而Fortinet基于FortiGate防火墙实现的拨号测试选择允许用户为不同的业务模型设置不同的测试参数模板，然后绑定到需要参与选择的线路上。不同的业务，只要调用相应的模板返回数据，就能达到更准确、更有针对性的选择效果。

市场上大多数人SD-WAN就解决方案而言，它们的交付是不可解耦的。想部署SD-WAN？没问题，请用我们的全家桶。什么？您只需要部分设备级别SD-WAN功能？对不起，不能交付。在这种情况下，企业部署SD-WAN门槛自然变得很高，尤其是初创企业或成长型企业。

总之，全家桶虽好，一口也吃不下。

他们以前采用过MPLS VPN将分支与总部互联，然后通过各分支机构的互联网接入线路IPSECVPN网络作为备份；所有流向R&D环境和生产环境的流量都送回总部，然后从总部申请的上云专线访问。随着业务流量的增加，MPLS VPN由于采购成本高，扩容的预算申请往往是满的，扩容的预算申请也没有得到批准。另一方面，总部有应用加速专线，访问Microsoft365和ZOOM质量没问题；没有这样的待遇，投诉自然居高不下。

此外，他们以前使用的传统网络和VPN网络方案也在不断受到挑战，如内部审计和研发部门也在给出IT部门施加压力，要求在网络层面进行更严格的访问控制，以确保访问跳板机的人员权限最小化。另一个例子是远程办公室OpenVPN计划不够稳定，员工经常抱怨。承受如此大的压力，IT今年年初，该部门收到了行政部门的明确要求：减少IT运营成本。火山爆发。

不要提曲折的游戏过程，看看他们的最终选择FortinetSD-WAN分支互联方案的效果。首先，IT部门在选型测试中发现，FortinetSD-WAN基于普通企业专线/宽带的网络质量，分支互联网方案能够满足关键业务的体验要求。因此，在部署阶段，他们将分支机构的互联网接入线调整到两条，提高了充分满足带宽需求的可靠性。若试运行阶段保持稳定，MPLS VPN到期后不续约，省下的都是真金白银。

他们没有上去Orchestrator（也就是Fortinet只部署了控制器FortiManager集中管理平台。毕竟现阶段分支不多，没有复杂的流量和设备级需要调度SD-WAN就够了。另外，即使现在上了控制器，也能体验到一点加成，但与投资不成正比。需要的时候再说。

基于FortinetSD-WAN方案的SaaS加速能力，IT该部门还成功实现了分支机构Microsoft365和ZOOM流量返回总部。这些流量从总部统一到应用加速FortiGate它本身就是下一代优秀的防火墙VPN性能和兼容性也经过了长期的考验IT该部门还借此机会解决了另外两个问题。他们将以前的基础VLAN/IP该段的访问控制策略升级为基于部门应用的访问控制策略，满足了内部审计和研发部门的需求，使运维管理更加简单。远程办公计划OpenVPN切换到FortiGate的SSLVPN之后，针对断线或稳定性的投诉频率从一两天下降到一两个月。

然而，在这个过程中，他们也遇到了一些挑战。最严重的问题之一就是OA在一个大模块中，他们的认证系统也是自己开发的。数据传输采用私人协议，难以与一般业务计划连接。这也是他们以前没有打开办公网络认证平台的一个重要原因，他们在选择测试中浪费了很多时间。而Fortinet的FortiAuthenticator统一认证平台具有足够的开放接口和二次开发能力，使其能够成功地与自主开发的认证系统连接，首次将网络认证与平台认证相结合，实现单点登录。

比起SD-WAN、只有通过访问控制等地下工作，才能真正提升全体员工的上网体验IT部门站在聚光灯下。到此为止，SD-WAN该方案在分支互联网场景中体现了足够的价值IT在部门眼里，他们似乎看到了更光明的未来。

优秀的下一代防火墙VPN性能和兼容性也经过了长期的考验IT该部门还借此机会解决了另外两个问题。他们将以前为基础VLAN/IP访问控制策略升级为基于部门应用的访问控制策略，满足内部审计和研发部门的需求，使运维管理更加简单。远程办公方案OpenVPN切换到FortiGate的SSLVPN之后，针对断线或稳定性的投诉频率从一两天下降到一两个月。

然而，在这个过程中，他们也遇到了一些挑战。最严重的问题之一就是OA在一个大模块中，他们的认证系统也是自己开发的。数据传输采用私人协议，难以与一般业务计划连接。这也是他们以前没有打开办公网络认证平台的一个重要原因，他们在选择测试中浪费了很多时间。而Fortinet的FortiAuthenticator统一认证平台具有足够的开放接口和二次开发能力，使其能够成功地与自主开发的认证系统连接，首次将网络认证与平台认证相结合，实现单点登录。

比起SD-WAN、只有通过访问控制等地下工作，才能真正提升全体员工的上网体验IT部门站在聚光灯下。到此为止，Fortinet的SD-WAN该方案在分支互联网场景中体现了足够的价值IT在部门眼里，他们似乎看到了更光明的未来。