SD-WAN是连接公网与私网的智能桥梁，需通过策略驱动实现“对外可控、对内高效、互通安全”；内网IP统一分段、互不重叠，公网IP按角色分级使用，SD-WAN控制器统一编排路径并精细控制安全策略。
公网与私网规划必须分开设计、协同运作，SD-WAN 是连接两者的智能桥梁，不是简单叠加，而是通过策略驱动实现“对外可控、对内高效、互通安全”。
内网IP统一分段，避免路由冲突
所有分支、总部、IDC、云资源都需分配互不重叠的私有网段。例如：
- 总部用 10.10.0.0/16，再按办公网（10.10.10.0/24）、服务器区（10.10.20.0/24）、管理网（10.10.254.0/24）细分
- 上海分公司用 10.20.0.0/16，东京用 10.30.0.0/16，IDC用 10.40.0.0/16
- 云上VPC也纳入统一规划，比如阿里云VPC设为 172.16.0.0/16，提前预留扩展空间
关键点：不同站点绝不能复用同一网段，否则SD-WAN隧道建立后，流量会因目的地址模糊而错发或丢弃。
公网IP按角色分级使用，不求多但求稳
公网IP不用于内部通信，只服务于三类刚需场景：
- 核心出口节点（如总部、IDC）配固定公网IP，保障远程运维、第三方系统对接、SSL证书绑定等稳定性需求
- 多链路分支（如连锁门店）可使用动态公网IP，由SD-WAN自动完成NAT穿透和隧道保活，无需申请固定IP
- 业务发布端（如官网、API服务）通过防火墙/NAT映射+端口转发暴露，不直接把内网服务器绑公网IP
特别提醒：4G/5G路由器、蒲公英等轻量设备默认支持无公网IP组网，靠中继服务器打洞建隧道，大幅降低对固定公网IP的依赖。
SD-WAN控制器统一编排内外路径
公网和私网的边界在SD-WAN边缘设备（CPE）上交汇，控制器负责把两者逻辑打通：
- 员工访问ERP、文件服务器等内部系统——走SD-WAN内网隧道，全程不经过公网，延迟低、安全性高
- 分支摄像头回传视频流——通过SD-WAN QoS策略优先调度，即使走普通宽带也能保障带宽，无需拉专线
- 总部访问云数据库——SD-WAN自动选择最优路径（如直连云厂商POP点），同时加密传输，不暴露真实私网地址
此时，公网IP只是“接入互联网的凭证”，私网IP才是“业务通信的身份”，SD-WAN让二者各司其职，又无缝协作。
安全策略按网段精细控制
利用SD-WAN内置的访问控制能力，把公网暴露面压缩到最小：
- 管理网段（如10.10.254.0/24）仅允许总部指定IP段+双因素认证访问
- 访客WiFi网段禁止访问任何内网资源，只放行互联网出口
- 服务器区禁止主动外连，只响应来自办公网、ERP应用网段的特定端口请求
这些策略在控制器里图形化配置，比传统防火墙ACL更直观，且能随站点上线自动同步，避免人工遗漏。
