前面十几篇讲的基本都是园区和数据中心内部的事。这一篇把视角拉到外面——网络怎么连出去，以及「软件定义」到底定义了什么。
广域网：租别人的网，连自己的点
局域网是自己拉的线，广域网是租运营商已经建好的网。这个前提决定了广域网的一切特点：要花钱、带宽受限、时延不可控、可用性依赖运营商。
四种主流接入方式
| 方式 | 本质 | 优点 | 缺点 | 典型场景 |
|---|---|---|---|---|
| 专线 | 运营商给你一条独占的点对点通道 | 带宽独占、时延稳定、安全性最高 | 贵，按带宽和距离计价 | 总部与核心机房互联 |
| MPLS VPN | 在运营商骨干上跑标签转发，多客户共享 | 天然隔离、QoS 支持好、可多点到多点 | 带宽成本高、开通慢 | 多分支机构组网 |
| 以太网专线 | EPL / EVPL，把二层链路延伸到对端 | 大带宽、二层直通、配置简单 | 覆盖范围受运营商城域网限制 | 同城数据中心互联（DCI） |
| PPPoE 拨号 | 拨号拿动态地址，跑在宽带上 | 便宜、开通快 | 带宽不保证、地址动态、上下行不对称 | 小微分支、家庭办公 |
选型的本质是「拿钱换稳定」还是「拿稳定换钱」。核心业务走专线或 MPLS，边缘分支用宽带 + 互联网 VPN 兜底，中间靠 SD-WAN 做智能调度——这是现在最常见的混合方案。
广域网链路上的二层协议
广域网链路两端要跑一个二层封装协议，历史上选择很多，现在基本收敛到 PPP 系：
| 协议 | 状态 | 说明 |
|---|---|---|
| HDLC | 过时 | 思科私有实现多，各厂商不互通 |
| PPP | 标准 | 支持认证（PAP/CHAP）、多协议，广域网标准封装 |
| PPPoE | 现役 | PPP over Ethernet，宽带接入的事实标准 |
| 帧中继 / ATM | 淘汰 | 运营商老网络，已基本退网 |
PPPoE 为什么 MTU 是 1492
以太网 MTU = 1500
PPPoE 头部 = 6 (目的 MAC) + 6 (源 MAC) + 2 (类型) + 2 (PPP 协议) = 16 字节
↑ 其中 PPPoE 头 6 字节 + PPP 协议字段 2 字节 = 8 字节
所以 PPPoE 接口的 MTU = 1500 - 8 = 1492
★ 后果：不分片的最大 IP 包是 1492
如果终端还按 1500 发，包会被分片或丢弃，
典型现象就是「能 ping 通、能开网页，一传大文件就卡」
★ 解法：在 PPPoE 拨号接口上
tcp adjust-mss 1452 # MSS = 1492 - 20(IP) - 20(TCP) = 1452SDN：为什么要把控制权抽出来
传统网络的问题不是「配不了」，而是「每台设备都得单独配，配完还不知道整体对不对」：
| 传统网络的痛点 | 具体表现 |
|---|---|
| 配置是分散的 | 业务要上线，得登录十几台设备逐台敲，漏一台就出故障 |
| 没有全局视图 | 每台设备只知道自己那点路由，看不到端到端路径 |
| 厂商锁定 | 命令行语法各厂商不同，脚本换一家就得重写 |
| 变更风险高 | 改一条 ACL 就可能断网，没有事务、没有预演 |
| 响应慢 | 业务要开个新网段，走流程要几天 |
SDN 的核心动作只有一句话：把控制平面从每台设备里抽出来，集中放到一个控制器上，设备只留转发平面。
三层架构与两个接口
| 层 | 职责 | 典型形态 |
|---|---|---|
| 应用层 | 描述业务意图：「给财务部开一条到数据中心的 100M 通道」 | 编排系统、业务平台 |
| 控制层 | 掌握全局拓扑，把意图翻译成具体设备配置并下发 | iMaster NCE / Agile Controller |
| 转发层 | 只按控制器下发的表转发，不做决策 | 交换机 / 路由器 / 防火墙 |
层与层之间的两个接口是 SDN 的关键概念：
北向接口（应用层 ↔ 控制层）
RESTful API / JSON
★ 面向开发者，屏蔽设备细节，业务系统调它就能开网
南向接口（控制层 ↔ 转发层）
NETCONF / OpenFlow / PCEP / SNMP
★ 面向设备，把控制器的决策变成设备能执行的指令
东西向接口（控制器 ↔ 控制器）
多个控制器之间同步拓扑，用于跨域、大规模组网华为的 SDN 方案：iMaster NCE
华为把 SDN 控制器统一到 iMaster NCE（原来叫 Agile Controller）这一个品牌下，按场景拆成几个产品：
| 产品 | 管什么 | 典型场景 |
|---|---|---|
| NCE-Campus | 园区网络（有线 + 无线 + 准入） | 园区网自动化部署、终端准入、访客管理 |
| NCE-Fabric | 数据中心网络 | Fabric 自动化、VXLAN 编排、网络虚拟化 |
| NCE-WAN | 广域网 / SD-WAN | 分支互联、智能选路、应用体验优化 |
| NCE-IP | IP 骨干网 | SR/SRv6 流量工程、路径调优 |
园区场景下，NCE-Campus 的典型能力是「零配置开局」（ZTP）：设备上电后自动找控制器、自动下载配置，工程师不需要上门。
# 设备开箱只做这一件事：告诉它控制器在哪
# 方式一：DHCP 选项下发（最省事）
# DHCP Option 43 携带控制器的 IP
# 方式二：设备上手工指定（兜底）
controller-ip 10.1.1.10
# 之后由控制器完成：
# ① 设备自动注册、上报型号和序列号
# ② 控制器按模板下发配置（VLAN / 路由 / 认证）
# ③ 设备上线即可用
# 前提：网络要能通到控制器，且设备的证书 / 序列号已在控制器登记SD-WAN：把多条链路当成一个资源池
SD-WAN 是 SDN 思路在广域网上的落地。它要解决的核心问题是：专线太贵、宽带不稳定，那能不能两条都用，让网络自己挑？
| 能力 | 传统广域网 | SD-WAN |
|---|---|---|
| 链路使用 | 主备，备线平时闲着 | 多链路同时用，按比例或按应用分流 |
| 选路依据 | 看路由表，只看目的地址 | 看应用（能识别 4000+ 种应用）+ 链路实时质量 |
| 故障切换 | 靠路由收敛，秒级到分钟级 | BFD 探测，毫秒级切换，业务不中断 |
| 开通方式 | 上门配设备 | ZTP 零配置开局，插上电就能用 |
| 策略下发 | 逐台设备配 | 控制器统一下发，一处改全网生效 |
SD-WAN 的两个关键动作
物理链路（专线 / 宽带 / 4G）只负责「能通」
业务流量全部跑在 Overlay 隧道里：
· GRE over IPSec —— 最常用，加密 + 支持组播
· IPSec —— 纯加密，不做组播
· VXLAN over IPSec —— 大规模分支组网
★ 好处：物理链路随便换，Overlay 拓扑不变
专线断了切宽带，业务侧完全无感第一步：识别 —— 用 DPI / SA（业务感知）识别出这是什么应用
视频会议 → 对时延、抖动敏感
文件传输 → 对带宽敏感，可以容忍时延
ERP 系统 → 对丢包敏感
第二步：选路 —— 按应用特征挑链路
视频会议 → 走低时延的专线，且主备双发（抗丢包）
文件同步 → 走便宜的宽带，跑满带宽也没关系
ERP → 走 MPLS，保证质量
第三步：实时探测 —— BFD / NQA 持续测每条链路的
时延、抖动、丢包率，质量不达标立刻换路
★ 这是「智能」的来源：不是配死的策略，是动态决策SD-WAN 的边界：它不是万能的
| 别指望它做什么 | 为什么 |
|---|---|
| 让宽带变得和专线一样稳 | 底层质量决定上限，SD-WAN 只能「挑好的用」，不能「把差的变好」 |
| 替代运营商网络 | Overlay 隧道还是要跑在物理链路上，链路质量依然是地基 |
| 自动解决安全问题 | 加密和准入仍需单独设计，SD-WAN 只管转发路径 |
一句话总结：广域网是「租网」，选型是在钱和稳定之间找平衡；SDN 是「把控制权收上来」，让网络可编程；SD-WAN 是「把多条租来的链路当一个池子用」，靠应用识别和实时探测做智能选路。三者是递进关系，不是替代关系。
📌 本篇整理自 2024–2025 的「数通」学习笔记（HCIE-Datacom 方向）
合并了原始笔记中「广域网 / SDN / SD-WAN / HUAWEI-SDN解决方案」四页。
原笔记里「HUAWEI-SDN解决方案」页主要是控制器产品线截图，本文整理成 iMaster NCE 四条产品线的对照表，
并补上了 ZTP 零配置开局的实际配置片段。
PPPoE 的 MTU 1492 推导与 SD-WAN 的「Overlay + 智能选路」两段是原笔记只有结论、没有过程的部分，本文补全了推导。