SD-WAN 是什麼？軟體定義廣域網路的架構、技術與用途入門

SD-WAN 是什麼：一句話定義

SD-WAN 的全名是 Software-Defined Wide Area Network，中文常譯為「軟體定義廣域網路」，香港與部分華文資料也寫作「軟體定義廣域網絡」，指的都是同一件事。所謂廣域網路（WAN），是指連接不同地點的網路，例如總公司與分公司、門市與總部、辦公室與雲端服務之間的連線；而「軟體定義」指的是網路的控制邏輯不再寫死在每一台路由器裡，而是交由集中的軟體平台統一決策、統一下發。

用白話來說，傳統廣域網路像是每個據點各自請一位司機，各走各的路、遇到塞車也不知道要改道；SD-WAN 則像是一個中央調度中心，隨時看著每條路的車況，替每一台車（每一種流量）挑選最順的路線，某條路封了就立刻改走別條。這個「集中調度、多路並用、依應用選路」的概念，就是 SD-WAN 的核心。

為什麼會出現 SD-WAN：傳統廣域網路的痛點

在 SD-WAN 普及之前，多據點企業要讓各點互通，常見的做法有兩種，各有明顯的痛點：

MPLS 專線：穩定但昂貴、擴充慢

MPLS（多協定標籤交換）專線由電信業者提供，品質穩定、延遲可預期，長期是企業廣域網路的主流。但專線的月租通常遠高於一般寬頻，新增據點需要申請、施工、等待開通，彈性不足。更關鍵的是，傳統架構常把所有分點的流量先拉回總部，再由總部統一出口上網，當員工大量使用雲端服務（視訊會議、雲端 ERP、SaaS 軟體）時，流量繞遠路回總部，反而造成延遲與總部頻寬壅塞。

各點各自上網再用 VPN 串接：便宜但難管理

另一種做法是每個據點各申請一般寬頻，再用路由器建立站對站 VPN 互連。這種方式成本低，但每一台設備都要逐台設定，據點一多，設定分散、版本不一，出問題時很難集中查看。一般寬頻的品質也較難保證，一旦線路不穩，視訊與語音首當其衝，而 VPN 本身並不會自動判斷哪條線比較好，斷線後常要人工處理。

SD-WAN 正是為了同時解決「專線太貴」與「VPN 太難管」這兩個問題而出現：它可以把一般寬頻、行動網路與既有專線一起納入調度，用加密通道確保安全，再透過集中平台讓幾十、幾百個據點像一個網路一樣管理。

SD-WAN 架構：四個組成元素

理解 SD-WAN 架構，可以從以下四個部分來看。不同廠商的名稱與切分方式略有差異，但大方向相同。

Overlay 與 Underlay 是什麼

SD-WAN 常提到兩個名詞：Underlay 指的是實際存在的實體線路與網際網路，也就是電信業者提供的那些線；Overlay 則是 SD-WAN 在這些實體線路之上，用加密通道（常見為 IPsec）另外建立的一層虛擬網路。企業的應用流量走在 Overlay 上，至於底下實際是走光纖、專線還是 5G，由 SD-WAN 依即時狀況決定。這種「上層邏輯網路與下層實體線路分離」的設計，讓企業可以自由更換或增加底層線路，而不必重新設計整個網路。

控制平面與資料平面分離

SD-WAN 延續了軟體定義網路（SDN）的精神，把「決定怎麼走」的控制平面，與「實際轉送封包」的資料平面分開。控制集中在平台，轉送留在各地的邊緣設備。好處是政策只要在中央改一次，就能同步套用到所有據點；即使控制器暫時連不上，邊緣設備通常仍會依照最後收到的設定繼續運作。

SD-WAN 核心技術：它到底聰明在哪

應用識別

SD-WAN 設備能辨識流量屬於哪一種應用，例如視訊會議、語音通話、雲端辦公軟體、一般網頁或檔案備份。能分辨應用，才能對不同流量套用不同策略，這是它和傳統只看 IP 位址的路由最大的差異之一。

動態路徑選擇

設備會持續量測每條線路的延遲、抖動（Jitter）與封包遺失率，再依照事先設定的應用政策，把流量導向當下品質最符合需求的線路。例如：視訊與語音走延遲最低、最穩定的線路；大量備份或軟體更新走成本較低的線路；當某條線路品質下降到門檻以下，流量自動改道，使用者通常只會感受到短暫波動甚至無感。

鏈路聚合與自動備援

多條線路可以同時使用、分攤流量，而不是一條主線、一條閒置的備援線。當其中一條斷線，其他線路立刻接手。部分方案另提供封包複製或前向錯誤修正等機制，在線路品質不佳時提升關鍵應用的穩定度，實際支援程度依產品而定。

集中政策管理

選路規則、資安規則、頻寬優先順序與存取控制，都在管理平台統一設定，再派送到所有據點。新增一條政策不必逐台登入設備，也能避免各點設定不一致造成的問題。

零接觸部署（ZTP）

ZTP（Zero Touch Provisioning）讓新據點的設備開箱、接上網路線與電源後，自動連回管理平台下載設定並上線。總部不必派 IT 人員到現場，現場人員只需要會插線，對據點分散各縣市的連鎖業者特別實用。

加密通道與安全

各據點之間透過加密通道傳輸資料，即使走的是公共網際網路也能保障傳輸安全。許多 SD-WAN 方案也整合防火牆、網頁過濾等功能，讓網路串接與基本防護在同一台設備與同一個平台上管理。

SD-WAN 用途與適用對象

SD-WAN 的用途，歸納起來就是讓多據點的廣域連線「更穩、更省、更好管」。以下是常見的適用情境：

• 多據點連鎖業：門市、餐飲、藥局、補習班等，每個點都要連回總部的 POS、庫存或會員系統，且據點數量持續增加。
• 分公司與辦事處：總公司與各縣市或海外分公司需要穩定互通，共用 ERP、檔案伺服器與內部系統。
• 重度使用雲端應用的企業：視訊會議、雲端 ERP／CRM、SaaS 軟體佔日常工作大宗，希望分點可直接就近上雲，而不是全部繞回總部。
• 營運不能中斷的場域：有金流、線上客服或即時訂單的單位，需要多線備援確保斷線不停擺。
• IT 人力有限的組織：沒有足夠人力到各點維護，需要集中遠端管理與自動化部署。

反過來說，只有單一辦公室、沒有分點互連需求，或只有一兩個據點且線路單純的小型企業，通常用一台商用 VPN 路由器加上雙線備援就足夠，不一定需要導入 SD-WAN。

SD-WAN 與 MPLS、傳統 VPN 比較

要注意的是，SD-WAN 並不一定要「取代」MPLS。不少企業的做法是保留一條專線給最關鍵的系統，再加上一般寬頻與行動網路，由 SD-WAN 統一調度，既保有專線的穩定，又降低對專線的依賴。更多關於多分點導入的實務考量，可參考 SD-WAN 多分點導入解析；若想先比較 VPN、專線與集中管理等各種串接做法，可看 多據點網路串接指南。

SD-WAN 與 SASE 的關係

近年常與 SD-WAN 一起出現的名詞是 SASE（Secure Access Service Edge，安全存取服務邊緣）。SASE 的概念是把網路連線與資安防護整合成雲端交付的服務，除了 SD-WAN 的智慧選路，還包含雲端防火牆、安全網頁閘道、零信任網路存取等資安功能，讓不論在分公司、在家或在外地的使用者，都能用一致的安全政策連到應用程式。

可以把 SD-WAN 理解為 SASE 的網路層基礎：SD-WAN 解決「怎麼連得穩、連得有效率」，SASE 則進一步回答「連線的同時怎麼確保安全」。企業不一定要一步到位，常見路徑是先導入 SD-WAN 整合各據點連線，再視資安需求與遠端辦公比例，逐步評估 SASE 相關服務。

SD-WAN 導入步驟

1. 盤點現況：列出所有據點、每個點目前的線路種類與頻寬、既有路由器與防火牆、以及各點的使用人數。
2. 釐清關鍵應用：哪些系統最重要、對延遲最敏感（例如 POS、視訊會議、語音），哪些流量可以走較便宜的線路。
3. 規劃線路組合：建議每個據點至少兩條不同來源的線路，例如兩家不同電信的寬頻，或固網加行動網路，才能真正發揮選路與備援的效果。
4. 設計政策：訂出應用優先順序、選路規則、分點直接上雲的範圍，以及資安政策。
5. 小規模試點：先挑兩三個據點試行，驗證線路切換、應用體驗與管理流程。
6. 分批上線：依據點重要性分批導入，利用零接觸部署加速，同時保留回退方案。
7. 持續監控與調整：定期檢視平台報表，觀察線路品質與頻寬使用，調整政策與線路配置。

SD-WAN 評估清單

比較 SD-WAN 方案時，可以用下列問題逐項確認，避免只看規格表上的最大數字：

• 支援的線路介面與數量：每台邊緣設備可接幾條 WAN、是否支援 4G／5G 模組或 USB 行動網卡。
• 開啟加密通道後的實際吞吐量：加密會消耗運算效能，應看「開啟 VPN／加密後」的效能數據，並對照各點的對外頻寬。
• 應用識別能力：能辨識哪些常用應用，是否可自訂規則。
• 選路與切換機制：量測哪些指標、切換門檻能否調整、切換時對連線的影響。
• 管理平台型態：採雲端管理或自建管理平台、是否有多層級權限、報表與告警是否清楚。
• 資安整合程度：是否內建防火牆、網頁過濾、入侵防護，或能與現有防火牆搭配。
• 授權與維護模式：功能是否需要訂閱授權、授權到期後哪些功能會受影響、韌體更新與保固方式。
• 擴充性：未來據點增加時，平台與授權是否能平順擴充。

SD-WAN 入門重點整理

SD-WAN 是把廣域網路的控制交給軟體集中處理的技術，架構上由各據點的邊緣設備、集中控制器與管理平台，以及多條實體線路組成；技術上靠應用識別、動態選路、多線聚合備援、集中政策與零接觸部署，讓多據點企業的連線更穩定、更省成本、更容易管理。它最適合分點多、雲端應用多、又缺乏現場 IT 人力的企業；單點辦公室則不一定需要。導入時從盤點據點與關鍵應用開始、先試點再擴大，是降低風險最務實的方式。上伊美企業網通可協助多據點網路的現況盤點與架構規劃。