SD-WAN 与 MPLS 怎么选：成本、延迟、上云与迁移决策全对照

每次被问"我们该上 SD-WAN 还是继续用 MPLS"，我都不先回答，而是反问一句：你最在意的是哪一类流量？因为这两个东西从根上就不是同一个层面的对手——MPLS 是运营商给你拉的"专用物理管道"，SD-WAN 是在你已有各种链路（宽带、4G/5G、甚至 MPLS 本身）之上套的一层"智能调度软件"。把它们当成"新旧替代"是选型最容易翻车的地方。这篇文章不堆参数，直接用成本账、延迟对照、上云决策树和迁移路径，把取舍讲清楚。

1. 先别问"哪个好"，先问"哪类流量"

选型的第一个错误，是把技术当成人有没有"先进性"。MPLS 跑了二十多年企业广域网，今天依然在金融交易、工业控制、合规医疗这些场景里不可替代；SD-WAN 火起来是因为SaaS和分支暴增，传统专线扛不住成本和弹性。所以正确的问法是按流量切：

实时性要求极高的流量（语音、视频会议、交易指令）：优先 MPLS 或带强 SLA 的专线 underlay。
占大头的 SaaS / 云流量（Office 365、Salesforce、各类 SaaS）：SD-WAN 的本地出口（local breakout）价值最大。
普通办公、文件、邮件：SD-WAN 跑宽带完全够，没必要烧 MPLS 的钱。
合规要求私网隔离的特定系统：保留专用电路或 MPLS。

一句话：流量分型定基调，技术只是实现手段。

2. 架构本质：Underlay 专线 vs Overlay 智能选路

MPLS 工作在第 2.5 层，用标签（label）代替 IP 做转发，流量全程在运营商私网里走，不经过公网。它给的是一条"确定性管道"：带宽独享、路径固定、延迟可预测。代价是这条管道要提前向运营商订，扩容改路由都慢。

SD-WAN 是 overlay，它不管底层是宽带还是专线，只在这些链路上建加密隧道，再用"应用感知路由"决定每条流走哪条路。比如把 Teams 视频甩到当前延迟最低的那条链路，把 ERP 走最稳的那条。它的弹性来自软件：新站点接入宽带即可，不用等运营商铺线。

关键认知：SD-WAN 的底座质量决定了天花板。底层全是劣化宽带，软件再聪明也救不回微秒级交易；但底层有 MPLS + 宽带双链路，SD-WAN 就能把两者优势合起来用。

3. 成本对照：专线账单 vs 宽带账单

这是老板最关心的。MPLS 按 Mbps 计费且含 SLA，单价高，跨区域尤甚；开通还要运营商施工，常见 60–90 天。SD-WAN 用廉价宽带和 LTE 当主力，开通是天级甚至小时级。

成本项	MPLS 专线	SD-WAN（宽带为主）
每 Mbps 单价	高，含 SLA 溢价	低，商用宽带价格
开通周期	60–90 天	数天，零接触部署
带宽扩容	需运营商介入	加条宽带即扩
云流量	绕回总部回程，隐性浪费	本地出口直连云
硬件	专用接入设备	通用 x86 / 虚拟设备

实际账面上，多数企业把 MPLS 部分替换为宽带后，广域网费用能降 20%–40%。注意：别按厂商宣传的 50% 上限做预算，保留优质 underlay 的那部分钱省不掉。另外隐性成本也得算——MPLS 的回程让云访问变慢，员工效率损耗也是钱。

4. 延迟与抖动：MPLS 的护城河在哪

延迟这块 MPLS 确实稳。专线路径固定、无公网拥塞，抖动（jitter）可以做到近乎为零，丢包接近于无。这对 VoIP、视频会议、尤其是高频交易这类"差几毫秒就不行"的负载是硬需求。

SD-WAN 走公网，单条链路延迟和抖动会波动。但它有两张牌：一是多链路 active-active，一条抖了立刻切另一条，故障切换能做到亚秒级；二是前向纠错（FEC）和包复制（packet replication）补偿丢包——主备两条路同时发同一包，收到任意一个就够，把丢包体验抹平。

结论：如果你的负载容忍几十毫秒波动，SD-WAN 完全够；只有"抖动必须压到微秒、丢包必须近零"的极端场景，才必须留在 MPLS 或强 SLA 专线。

5. 上云与 SaaS：SD-WAN 的杀手锏

这是 SD-WAN 相对 MPLS 最直观的胜利点。MPLS 设计在"以总部数据中心为中心"的时代，云流量会被先绕回总部再出去（backhauling），白白加一截延迟。SD-WAN 的 local breakout 让分支直接连云，SaaS 访问速度常常快 3–5 倍。

更实用的是应用感知：SD-WAN 能识别 Teams、Zoom、Salesforce 的流量，给它们单独打标记、单独选路、单独限流，保证关键 SaaS 不被大文件下载挤掉。对"云优先"的企业，这一条基本就锁定了 SD-WAN 的必要性。

6. 安全与合规：私网隔离 vs 端到端加密

MPLS 的安全感来自"我根本不出公网"，运营商私网隔离天然把外部威胁挡在外面，合规审计也好做。但它默认不加密，流量在运营商内网是明文流转（虽不像公网那样暴露），且安全能力是运营商打包给的，自己控制力弱。

SD-WAN 走公网，必须自己把安全栈补齐才算完整：隧道加密（IPsec/SSL）、NGFW、ZTNA 零信任接入、SWG 安全网关，合起来就是 SASE 框架。补齐全了，SD-WAN 的加密是端到端的，反而比 MPLS 更彻底。危险的是"只上了 SD-WAN 没配安全"的半吊子——这恰恰是很多翻车案例的根因。合规上，涉及数据不出境、强隔离的行业（如部分医疗、金融核心），MPLS 或专用电路仍是更省心的选择。

7. 容灾与故障切换：闲置备线 vs 多活多路径

MPLS 想做冗余，传统做法是再买一条昂贵的闲置备用专线。平时它空转烧钱，真故障了才接管，切换还可能有几秒中断。

SD-WAN 的冗余是软件内置的：它同时 active-active 管理多条不同运营商的链路，任何一条 ISP 挂了，流量亚秒级重路由到健康链路，零售 POS、监控这类关键系统全程不掉线。等于用"买宽带的钱"换到了"传统要买专用备线才有的多活容灾"。这也是为什么分布式零售、餐饮连锁几乎一边倒选 SD-WAN。

8. 真实选型决策树

把前面几节压成一张可执行的决策树，照着走基本不会错：

你的主要流量是什么？
├─ 微秒级交易 / 工业实时控制
│   └─ 留在 MPLS 或强 SLA 专线（不要省这块钱）
├─ SaaS / 云应用占大头（>50%）
│   └─ SD-WAN 本地出口，价值最大
├─ 多分支、分布散、要快速开新点
│   └─ SD-WAN 零接触部署，天级上线
├─ 合规强隔离、数据不出私网
│   └─ 保留 MPLS / 专用电路
└─ 混合（以上都有）
    └─ 混合组网：MPLS 跑核心，SD-WAN overlay 跑其余

再补三条经验法则：分支少于 10 个且全在内网互访，传统方案可能更简单；站点对延迟极端敏感就别拿 SD-WAN 单链路硬扛；宽带质量烂的偏远点，先修 underlay 再谈 SD-WAN。

9. 迁移路径：怎么从 MPLS 平滑切到 SD-WAN

别搞"某周末割接、一刀切"。正确姿势是并行、渐进、先验证后动流量：

在现有 MPLS 旁边把 SD-WAN 控制器和分支设备部署起来，两条网络并存。
初期让 MPLS 当主用，SD-WAN 旁路跑镜像流量，验证链路质量和策略是否正确。
把 SaaS 和办公流量先切到 SD-WAN 的本地出口，实时业务暂留 MPLS。
观察一段时间，确认 SD-WAN 路径稳定后，再逐步把更多流量迁过去。
最后才缩容或退订多余的 MPLS 电路，避免"切完才发现某业务离不开专线"的被动。

全程业务始终有链路兜底，核心是先接好质量探针（延迟/丢包/抖动）再动流量，凭数据说话而不是凭感觉切。

10. 上线后的巡检与防退化纪律

SD-WAN 最怕"配完就忘"。overlay 调度本来就对底层质量敏感，链路一劣化，没有巡检就会悄悄退化成"比 MPLS 还差还贵"的摆设。三条纪律必须写进运维手册：

质量基线常态化：把每条路径的延迟、丢包、抖动探针接进 Prometheus + Grafana，设阈值告警；每周跑一次基线脚本，劣化超 20% 立即排查链路或切出口。
策略命中留痕：保留策略匹配日志，出间歇性断流时，靠日志定位是哪条规则命中错，而不是盲猜。
季度回看账单与 SLA：每季度核对实际节省是否达预期、运营商 SLA 是否兑现，防止"名义上省了、实际某条优质 underlay 悄悄涨价"吃掉收益。

这三条不是可选项，是 SD-WAN 不掉链子的底线。没有巡检的 SD-WAN，迟早退化。

FAQ

SD-WAN 和 MPLS 能共存吗，还是必须二选一？能共存，而且多数中大型企业正是混合组网：总部与核心数据中心之间保留 MPLS 跑实时业务，分支机构和零售点用 SD-WAN overlay 跑普通办公和 SaaS。SD-WAN 完全可以拿现有 MPLS 当作其中一条 underlay 链路来用，两者不是互斥关系。都说 SD-WAN 能省 30%–50% 广域网费用，这个账怎么算？省钱主要来自三块：用廉价宽带/LTE 替代部分高价 MPLS 专线、消除云流量绕回总部的回程、用虚拟设备替代专用硬件。但要注意，若站点对延迟极其敏感仍需保留优质 underlay，实际节省通常在 20%–40%，别按宣传上限做预算。实时音视频和交易系统，SD-WAN 扛得住吗？单看底层公网链路，SD-WAN 的抖动和丢包确实不如 MPLS 稳。但它靠两条手段兜底：一是多链路 active-active，一条抖动就切另一条；二是前向纠错（FEC）和包复制补偿丢包。绝大多数 VoIP 和视频会议场景体验可达标，只有微秒级交易这种极端需求才必须留在 MPLS。从 MPLS 迁到 SD-WAN，会不会业务中断？不会，标准做法是并行部署：先在现有 MPLS 旁边把 SD-WAN 跑起来，初期让 MPLS 当主用、SD-WAN 旁路验证，再逐步把 SaaS 和办公流量切过去，最后才缩容或退订 MPLS 电路。整个过程业务始终有链路，关键是先接好质量探针再动流量。安全上 SD-WAN 是不是比 MPLS 更危险？ MPLS 靠运营商私网隔离，默认不出公网，天然隔离感强；SD-WAN 走公网链路，必须自己补安全栈（IPsec/SSL 加密 + NGFW + ZTNA + SWG）才算完整。加密本身 SD-WAN 反而更彻底（端到端），危险的是"只上了 SD-WAN 没配安全"这种半吊子部署。