安全SD-WAN的功能架构

安全SD-WAN之所以叫 ；安全，需要从安全两个方面来考虑SD-WAN自身安全和企业网络安全。

从安全SD-WAN就自身安全而言，SD-WAN各系统的控制层，以及CPE网关设备、POP点击这些软件和硬件需要安全加固，包括操作系统安全、防漏扫描、防暴力破解和防止DDoS/CC攻击等SD-WAN的控制层就好像人的神经中枢，必须通过终端接入安全认证、授权访问等保证神经中枢的安全，不会被恶意的攻击或者病毒侵害。只有SD-WAN只有做好自身的安全防护，才能称之为基础SD-WAN企业网络基础设施安全。

(1)转发层

转发层是安全的SD-WAN网络中的网元部署层通常由总部或分支机构组成CPE网关设备，以及SD-WAN骨干网中的POP点组成。其核心功能是安全SD-WAN通过控制器发布的指令，控制器对接数据转发、配置实施、策略执行等。

(2)控制层

安全SD-WAN架构中的控制层是各级中最重要的一层，也是转发层中的所有网关设备POP集中控制大脑，负责各网关设备的认证、智能网络、远程管理、集中监控、战略统一管理等。

安全是控制层的主要组成部分SD-WAN与网关设备相关的控制器、配置管理、监控运维、数据分析等模块POP点需要交互功能，如网络设备状态采集功能、数据分析中的网络和业务数据采集功能等。控制层中的特殊功能包括IAM和SDP(软件定义安全)主要用于网关设备，POP对这些网络转发层单元进行识别和认证，并发布授权访问策略等功能。

(3)编排层

安全SD-WAN安排层主要包括两个模块：网络安排模块和安全安排模块。此外，还具有配置管理、监控操作和维护、数据分析模块的相关功能，包括定义和更新各种配置模板、统一处理监控状态采集、网络和业务数据分析模型定义等。

网络安排模块和安全安排模块需要协同进行，其主要功能是基于安全SD-WAN控制器可以支持网络和安全功能、网络链路资源、带宽资源、业务策略、访问控制策略、安全防护策略、网络流量综合可视化调度，确保企业网络关键业务系统网络访问质量，实现网络资源的精细控制、灵活调整。同时，基于安全性SD-WAN网关设备分支，POP通过故障智能切换、业务智能路径选择、质量保证等方式，实时收集和分析转发层的全路径故障检测能力Q0S提高全网的可靠性、稳定性和服务质量。

(4)开放层

安全SD-WAN架构中的开放层主要提供人机交互界面和支持应用开放的北向API，实现上层应用平台的网络能力开放。一方面，开放层为网络运营管理人员提供可视化显示的管理界面，也为不同的企业客户提供自助服务。另一方面，它可以是企业的IT系统和各种云服务系统提供网络级拓扑抽象和路由可编程调用，使上层应用平台更容易使用、管理和集成网络服务，从而提高安全性SD-WAN网络的价值。