一、问题的起点：一条门店链路到底该怎么选
多分支组网改造的工程决策，本质上是在三个约束下求解：单站点成本、可接受的故障恢复时间、运维人力上限。中小企业的特殊之处在于第三个约束——通常没有专职网络工程师，所有配置变更必须能被远程完成、被模板复用。
所以在讨论技术选型之前，先把需求翻译成可测量的指标：
业务需求 | 应翻译成的指标 | 常见错误翻译 |
门店要跑视频监控 | 上行带宽峰值（Mbps） | "要 200M 带宽" |
收银不能断 | 链路切换时间（s）、丢包率（%） | "要稳定" |
员工出差要访问内网 | 接入认证方式、并发隧道数 | "要能远程" |
总部要看全网状态 | 采集周期、告警时延 | "要能监控" |
这张表是后面所有选型工作的输入。跳过这一步直接比价，是项目返工的第一大原因。
二、三层模型：先分清你改的是哪一层
企业组网可以拆成三层，改造时容易混淆，导致方案错配。
Underlay（承载层）：物理链路本身，专线、宽带、5G、PON。它的属性是带宽、时延、丢包、可用率，由运营商资源决定，软件改不了。
Overlay（叠加层）：在 underlay 之上构建的隧道网络，IPSec、GRE、VXLAN。它的属性是拓扑、加密、策略，由控制器下发。
控制面（策略层）：选路策略、安全策略、QoS 策略。这是 SD-WAN 真正产生价值的地方——它决定"什么流量走哪条链路"。
工程上有一条经验：underlay 不行，overlay 救不回来。用两条质量很差的宽带做叠加，聚合带宽上去了，但单流时延和抖动不会改善，视频会议照样卡。所以改造顺序永远是：先保证至少一条链路的物理质量，再用 overlay 做冗余和调度。
三、链路选型矩阵
链路类型 | 典型上下行 | 月租量级（参考） | 时延/抖动 | 开通周期 | 适用位置 |
互联网专线（对等） | 对等，如 100M/100M | 千元级起 | 低抖动 | 15–45 天 | 总部、核心节点 |
企业宽带 | 非对等，如 500M/30M | 数百元 | 抖动较大 | 3–7 天 | 门店、分支 |
5G 切片/CPE | 视信号，50–300M | 按流量或包月 | 波动大 | 即时 | 备份、临时点位 |
MPLS VPN | 按合约 | 高 | 最低 | 30–60 天 | 强合规、跨省关键业务 |
裸光纤/PON 专线 | 可定制 | 按距离 | 极低 | 30 天以上 | 园区内、同城双活 |
选型的基本原则是分层承载，而不是全网统一：
- 核心节点（总部、数据中心接入点）用专线，保证基准质量；
- 普通门店用宽带，成本优先；
- 关键门店（旗舰店、收银密集点）宽带 + 5G 双链路，5G 只做备份不做主用；
- 跨省强合规业务单独拉 MPLS，不与其他流量混跑。
这里有个反直觉的结论：全部用专线的方案，往往比混合链路方案更容易出问题。因为预算被链路吃光，没有余量做冗余和运维，一旦某条专线故障，全网单点。
四、带宽测算：把上行算清楚
这是最容易出错的一步，也是最容易在上线后被业务部门投诉的一步。
4.1 上行峰值公式
其中 1.2 是突发余量系数。参考码率（H.265）：
分辨率/帧率 | 主码流参考码率 | 8 路合计 |
1080p@25fps | 2–4 Mbps | 16–32 Mbps |
4K@15fps | 8–12 Mbps | 64–96 Mbps |
1080p@15fps（子码流） | 0.5–1 Mbps | 4–8 Mbps |
按上表，一家装了 8 路 1080p 主码流的门店，上行需求在 20–40 Mbps。而很多企业宽带的标称是"500M"，上行只有 30M——监控一开满，收银和办公就被挤掉。这就是"升级了带宽还是卡"的真实原因。
4.2 并发与超售
工程上不必按所有摄像头同时满码流算，但要按"业务高峰期并发"算。监控的实际并发率与场景相关：白天营业时段 60%–80% 的摄像头在传有效画面，夜间可能更低。建议按 70% 折算后，再加 20% 余量。
4.3 不要忽略隧道开销
IPSec 封装会带来额外开销，MTU 也会变小（通常 1400–1420）。带宽测算时按可用带宽的 90%作为业务可用值，是相对稳妥的口径。
五、CPE 选型：看实测，不看标称
设备参数表上的"千兆转发"通常是空载、无策略、硬件快转的理想值。开启加密与 DPI 之后，实际吞吐会明显下降。
5.1 必须核对的六项参数
参数 | 为什么重要 | 核对方法 |
开启 IPSec/DPI 后的吞吐 | 这才是真实业务吞吐 | 要求书面承诺"全功能开启后不低于签约带宽的 80%" |
并发会话数（NAT 表项） | 门店终端多、监控长连接多，会话表打满会新连接失败 | 小型点位 5k 级，中型点位 20k 级以上 |
新建连接速率 | 影响页面打开、支付响应 | 要求给出 CPS 指标 |
双 WAN + 5G 切换时间 | 决定收银中断感 | 目标 <1s，最好 <500ms |
断电 Bypass | 设备挂了业务不能跟着挂 | 要求支持硬件 Bypass |
工作温度与供电 | 门店弱电间常无空调，夏季可达 45℃ | 工业级宽温，双电源或 PoE 备份 |
5.2 一个常被忽略的指标：小包性能
收银、支付、心跳类业务都是小包。设备标称吞吐按大包测，小包转发能力（pps）可能只有几分之一。门店场景应重点看 pps，而不是 Mbps。
六、智能选路的实现要点
SD-WAN 的选路能力由三个参数决定，配置时容易只调其一。
探测机制。常见做法是双向探测，周期 200ms–1s。周期太短会增加开销与误判，太长则切换迟钝。经验值是 500ms，配合连续 3 次异常才触发切换，避免瞬时抖动导致路由震荡。
切换判据。不要只看时延，要同时看丢包与抖动：
业务类型 | 时延阈值 | 抖动阈值 | 丢包容忍 |
语音 | <150ms | <30ms | <1% |
视频会议 | <200ms | <50ms | <1% |
收银/POS | <200ms | <50ms | <0.5% |
文件同步/备份 | 不敏感 | 不敏感 | <3% |
切换方式。硬切换（断链重建）会有秒级中断，软切换（双发选收）无感但耗带宽。关键业务建议配双发选收，普通业务用硬切换。
需要提醒的是：选路算法解决的是"多路径里选一条好的"，不能把一条烂链路变好。如果某个区域的所有运营商链路在晚高峰都有 150ms 抖动，任何算法都无能为力，此时的正确动作是换资源，不是调参数。
七、分支安全：接入即受控
传统做法是先组网、后加防火墙，结果是策略两套、责任两方。更合理的做法是把安全能力放进接入动作本身。
零信任接入在分支场景的最小实现包含四件事：
- 设备身份：终端证书或设备指纹，未注册设备不允许建隧道；
- 用户身份：与企业身份源对接，支持 MFA；
- 最小权限：按角色下发可访问资源，默认拒绝；
- 持续评估：接入后持续校验设备状态，异常即断。
这四项做到，分支侧就不需要再单独采购一台防火墙做南向防护，架构上少一层、责任上少一方。
八、割接：把回退方案写在前面
割接失败的项目，90% 不是技术问题，是没有回退路径。
灰度顺序：选 1 个非关键门店 → 观察 2 周 → 同城 5 个门店 → 全量。每批之间留出观察窗口，不要一次铺开。
必须准备的物料：
- 原链路配置快照（含运营商电路编号、VLAN、IP 规划）
- 新设备的离线配置包（断网状态下可加载）
- 回退判定标准（什么情况必须回退，由谁决定）
- 现场联系人清单（门店店长、施工方、运营商客户经理）
验收命令与指标（Linux 环境示例）：
验收不光看网络层指标，还要看应用侧 P95 响应时间。网络指标达标但应用仍慢的情况并不少见，通常是 DNS 解析路径或 MTU 分片导致。
九、可观测性：改造完成的标志是"能看见"
一个改造项目是否真正完成，判断标准不是"能通"，而是"出事时能在 5 分钟内定位到是链路、设备还是应用"。
最小可观测集：
维度 | 指标 | 采集粒度 |
链路 | 时延、抖动、丢包、带宽利用率 | 1 分钟 |
隧道 | 建立状态、重连次数、加密吞吐 | 1 分钟 |
设备 | CPU、内存、会话数、温度 | 5 分钟 |
应用 | 关键域名/IP 的可用性与响应时间 | 1 分钟 |
安全 | 认证失败次数、异常访问 | 事件触发 |
这些数据只有在集中平台上才能形成判断。分散在各厂商自带的界面里，故障时仍然要靠人拼图。
十、附录：上线验收清单
- 每条链路的实际上下行速率已实测并记录
- 业务高峰期（工作日 9:00–11:00、14:00–16:00）连续测试 3 个工作日
- 上行峰值利用率低于 70%
- 断链切换实测时间 <1s，业务无感
- 关键应用 P95 响应时间达标
- 全员接入认证可用，MFA 生效
- 监控平台告警可送达责任人
- 回退方案已演练一次
关于方案形态的补充
工程实践中，这类改造通常由服务型 MSP 承接交付——原因不是技术门槛，而是中小企业没有团队去做跨厂商整合与持续运维。云边云科技是这类服务商之一，方向是 SD-WAN、SASE 与多云互联的融合交付，自研 AI 网关与 AI 备线路由器用于多模型接入与流量调度。是否需要外部承接，判断标准很简单：如果内部没有人能独立完成第四节的带宽测算和第八节的割接回退，就该找外部。
