50家门店同时访问总部ERP，SD-WAN应该怎么部署？

50 家门店同时打开 ERP，传统 MPLS 专线贵、新开一家要等几周，还分不清"ERP 订单"和"员工刷视频"——这正是 SD-WAN 要解决的多分支企业核心痛点：一套软硬一体的智能组网方案。

总部机房：SD-WAN 控制器和两台冗余汇聚网关通常部署在这里。

一、先把架构理清楚：总部做大脑，门店做边缘

部署时先理清两件事。总部做"大脑"：一台 SD-WAN 控制器统管全网策略，再放两台高性能汇聚网关，分别终结 MPLS 与 IPSec 互联网隧道、互为冗余。门店做"边缘"：每店一台轻量级 CPE，接入"主用本地光纤宽带 + 4G/5G 备份"两条异构链路；统一硬件型号与配置模板，50 家新店通过零接触部署（ZTP）自动拉取配置、十几分钟即可上线。

每家门店的 SD-WAN 边缘设备把多条链路的流量统一调度。

二、让 ERP "优先通行"：应用感知 + QoS

50 家店的带宽不能让无关流量挤掉 ERP。控制器里要把 ERP、POS、支付接口打上高优先级，把视频监控、系统更新、访客 Wi-Fi 压到低优先级甚至限速。SD-WAN 每秒钟都在测每条链路的时延、抖动、丢包——主链路时延超过 50 ms、或丢包率超过 1% 持续 3 秒，就把 ERP 流量切到备份链路，且会话保持不掉。实测切换 1–3 秒，远快于传统路由协议 30–90 秒的收敛——收银不中断、订单不丢失；而对 Teams、O365 这类 SaaS 流量，SD-WAN 还能直接从最近的云端 POP 点"本地突围"，比回传总部再出去省 30%–50% 时延。

三、安全不能省：加密 + 隔离 + SASE

门店往往是企业防护最薄弱的环节，三件事要做。所有门店到总部的流量走 IPSec / AES-256 加密，与办公、访客物理隔离；每店划独立 VLAN，把收银 / 办公 / 监控 / 顾客 Wi-Fi 彻底分开，总部核心交换机配 ACL 限制门店只访问 ERP 必需资源；与 SASE / ZTNA 融合，把 NGFW、安全 Web 网关放到最近云端 POP 点统一检查，策略跟着人员身份走、不再依赖 IP——尤其在零售门店员工流动性大、访客 Wi-Fi 风险高的场景里，这层"零信任"几乎是标配。

四、价值：成本降一半，运维看得见

收益是双重的。成本端：把部分 MPLS 换成"宽带 + 5G"混合，整张广域网费用通常能降 40%–60%。管控端：50 家店的链路质量、设备状态、告警全部集中到一块面板，过去靠店长报修，现在总部在仪表盘上一眼定位是哪家店、哪条链路、什么时段抖动超标，可远程调整 QoS。

50 家门店的连接最终汇聚成一张可观测、可调度的智能网络。