使用 SD-WAN 连接到 RISE

什么是 SD-WAN

软件定义的广域网（SD-WAN）是一种联网技术，通过软件对多路径标签交换（MPLS）、公共互联网或 AWS 骨干网络等不同网络的流量进行管理和路由，以便增强连接并提升应用程序性能。SD-WAN 主要运行于网络 OSI 模型的第 3 层（网络层），它提供了集中式控制、路由、路径选择、基于 IP 的策略，并且能够设定 SAP 等特定的关键业务应用的优先级，这使其非常适用于基于云的 RISE with SAP 环境。

尽管 SD-WAN 主要运行于第 3 层，并采用重叠网络（例如，宽带互联网），但它可将第 2 层（数据链路层）技术（例如，AWS Direct Connect）用作底层传输网络，同时使用第 3 层（网络层）技术（例如，AWS Site-to-Site VPN）。

在 SD-WAN 架构中，SD-WAN 头端设备充当集线器或集中式网络组件，而部署在分支机构、远程站点或数据中心的 SD-WAN edge devices 则作为 WAN 流量的入口和出口点。

有关更多详细信息，请参阅 Reference Architectures for Implementing SD-WAN Solutions on AWS。

场景 A：本地 SD-WAN 设备（边缘和/或头端/集线器设备）

AWS Transit Gateway Connect 可让您通过 GRE（通用路由封装）隧道将 SD-WAN 网络扩展至 AWS，而无需额外部署 AWS 基础设施。通过 Transit Gateway Connect 对等连接，您可在自己的 AWS 账户中的中转网关与本地 SD-WAN 设备之间建立 GRE 隧道，该隧道通过 AWS Direct Connect 连接作为底层传输通道进行连接。

必须将该设备配置为使用 Connect 附件通过 GRE 隧道在中转网关之间发送和接收流量。必须将该设备配置为使用 BGP（边界网关协议）进行动态路由更新和运行状况检查。

每个连接均可配置独立的路由表和 BGP 对等，这使您能够通过虚拟路由和转发（VRF）将本地网络分段扩展到 AWS。RISE with SAP VPC 将连接到 AWS Transit Gateway。

该设置提供了一种简化的方式，通过 AWS Direct Connect 将您的 SD-WAN 环境与 RISE with SAP on AWS 连接，在保持网络隔离的同时简化整体架构。

在此场景中，overlay network 为 SD-WAN（带 GRE 隧道），本地部署了头端/集线器或边缘设备，并且底层传输通道为 AWS Direct Connect。

模式 A-1：SD-WAN 设备与 AWS Transit Gateway 和 AWS Direct Connect 集成（带 AWS 登录区）

上图说明了一种模式，可让您将 SD-WAN 流量扩展并分段至 AWS，而无需额外添加基础设施。您可在自己的 AWS 账户中，以 AWS Direct Connect 连接作为底层传输，创建 Transit Gateway Connect 附件。

来自 RISE with SAP VPC 的出站流量：

流至 RISE with SAP VPC 的入站流量：

模式 A-2：SD-WAN 设备与 AWS Transit Gateway 和 AWS Direct Connect 集成（无 AWS 登录区）

上图说明了一种模式，可让您将 SD-WAN 流量扩展并分段至 AWS，而无需额外添加基础设施。在 RISE with SAP 中，您可以请求 SAP 创建 Transit Gateway Connect 附件，并将 Direct Connect 连接用作底层传输载体。如果需要，客户可以利用由 SAP 管理的 Direct Connect 网关（DXGW）。

来自 RISE with SAP VPC 的出站流量：

流至 RISE with SAP VPC 的入站流量：

场景 B：AWS 中的 SD-WAN 设备（边缘和/或头端/集线器设备）

在此场景中，SD-WAN 网络的虚拟设备部署在 AWS 的 VPC 中。随后，您可以使用 VPC 附件作为 SD-WAN 虚拟设备与 AWS 账户中的 Transit Gateway 之间的 Transit Gateway Connect 附件的底层传输载体。与场景 A 类似，Transit Gateway Connect 附件支持 GRE，与 VPN 连接相比，可提供更高的带宽性能。它支持 BGP 以实现动态路由，无需配置静态路由。此外，它与 Transit Gateway Network Manager 集成，可通过全局网络拓扑、附件级性能指标及遥测数据来实现高级可见性。

在本地和 AWS 之间，overlay network 是采用 GRE 或 IPSec 隧道的 SD-WAN，其中前端/集线器部署于 AWS 内部，底层传输可以是互联网、MLPS 或 Direct Connect。以下是此场景下的架构模式：

注意：以下各部分中介绍的各种网络模式仅适用于 AWS 上现有的或新的登录区设置。有关直接通过由 SAP 管理的 AWS 账户部署和连接 SD-WAN 设备，请参阅“模式 A-2”。

模式 B-1：AWS 中的 SD-WAN 设备与 AWS Transit Gateway Connect 集成（带 AWS 登录区）

上图说明了一种模式，即借助连接附件将 SD-WAN 网络与 Transit Gateway 集成，并将 SD-WAN 网络的（第三方）虚拟设备置于 AWS 的设备 VPC 中。通常会在分支机构和本地数据中心部署 SD-WAN 边缘设备，以构建全网状拓扑。

来自 RISE with SAP 的出站流量：

流至 RISE with SAP 的入站流量：

模式 B-2：AWS 中的 SD-WAN 与 AWS Site-to-Site VPN 集成

上图说明了一种模式，即借助 AWS Site-Site VPN 连接将 SD-WAN 网络与 Transit Gateway 集成，并将 SD-WAN 网络的（第三方）虚拟设备置于 AWS 的设备 VPC 中。当您的第三方虚拟设备不支持 GRE 时，可以使用此方案。通常会在分支机构和本地数据中心部署 SD-WAN 边缘设备，以构建全网状拓扑。

来自 RISE with SAP 的出站流量：

流至 RISE with SAP 的入站流量：