SD-WAN (Software-Defined WAN, mạng diện rộng định nghĩa bằng phần mềm)

1. Tổng quan

SD-WAN là kiến trúc WAN áp dụng tư tưởng tách mặt phẳng điều khiển·dữ liệu của SDN (mạng định nghĩa bằng phần mềm) cho mạng diện rộng (WAN), gộp các đường truyền khác nhau như Internet·LTE/5G·MPLS thành một overlay logic duy nhất và điều khiển tập trung bằng phần mềm đường đi của lưu lượng theo chính sách nhận biết ứng dụng (application-aware). Điểm khác biệt so với WAN truyền thống dựa trên router là nó tự động chọn đường tối ưu dựa trên chính sách và chất lượng liên kết thời gian thực, bất kể loại·chất lượng của đường truyền vật lý (underlay).

Bối cảnh căn bản khiến SD-WAN ra đời là đích đến của lưu lượng doanh nghiệp đã chuyển từ trung tâm dữ liệu trụ sở chính sang đám mây·SaaS. Trước đây, lưu lượng của chi nhánh phần lớn hướng tới các ứng dụng trong trung tâm dữ liệu trụ sở, nên cấu trúc hub-and-spoke nối chi nhánh với trụ sở bằng đường thuê riêng MPLS đắt tiền là hợp lý. Tuy nhiên, khi công việc chuyển sang SaaS như Microsoft 365·Salesforce và đám mây công cộng, “hiện tượng trombone” ngày càng nghiêm trọng: lưu lượng lẽ ra có thể đi thẳng ra Internet lại bị kéo về trụ sở (backhaul) rồi mới gửi tiếp ra đám mây. Điều này đồng thời làm tăng độ trễ (latency) và chi phí đường truyền.

Thêm vào đó là chi phí cao và thời gian cấp phát dài (vài tuần~vài tháng) của đường MPLS, cùng gánh nặng vận hành phải quản lý từng router chi nhánh bằng CLI riêng lẻ, khiến nhu cầu “dùng đường Internet giá rẻ ổn định như MPLS, nhưng quản lý tập trung bằng phần mềm” ngày càng tăng. SD-WAN coi đường truyền là băng thông đã được hàng hóa hóa (commoditize), đặt lên trên đó các đường hầm overlay được mã hóa, và giải quyết vấn đề này bằng cách vòng tránh theo thời gian thực các liên kết chất lượng kém, và gán liên kết tốt cho các ứng dụng quan trọng. Kết quả là đồng thời hướng tới giảm chi phí đường truyền, rút ngắn thời gian khai trương chi nhánh và cải thiện trải nghiệm truy cập đám mây.

2. Cấu trúc khái niệm và đặc tính cốt lõi

Giống như SDN, SD-WAN tách chức năng thành các mặt phẳng quản lý (management)·điều khiển (control)·dữ liệu (data)·điều phối (orchestration). Sơ đồ khái niệm dưới đây cho thấy controller/orchestrator trung tâm kiểm soát các thiết bị biên (edge) của nhiều chi nhánh như thế nào, và overlay logic được hình thành trên đường truyền vật lý (underlay) ra sao.

graph TB
    ORCH["Orchestrator/mặt phẳng quản lý<br/>(chính sách·cấp phát·giám sát)"] --> CTRL
    CTRL["Controller (mặt phẳng điều khiển)<br/>Phân phối đường đi·chính sách"] -.kênh điều khiển.-> E1
    CTRL -.kênh điều khiển.-> E2
    CTRL -.kênh điều khiển.-> EDC
    subgraph BRANCH1["Chi nhánh A"]
      E1["SD-WAN Edge (CPE)"]
    end
    subgraph BRANCH2["Chi nhánh B"]
      E2["SD-WAN Edge (CPE)"]
    end
    subgraph DC["Trung tâm dữ liệu/cổng đám mây"]
      EDC["SD-WAN Gateway"]
    end
    E1 == "Đường hầm overlay (IPSec)" === E2
    E1 == "Đường hầm overlay" === EDC
    E2 == "Đường hầm overlay" === EDC
    E1 --- UL1["Internet / LTE / MPLS (Underlay)"]
    E2 --- UL1
    EDC --- SAAS["SaaS/đám mây công cộng"]

Đặc tính của kiến trúc SD-WAN được tóm tắt theo bốn trục. Thứ nhất là tách mặt phẳng (decoupling). Việc tính toán đường đi·phán đoán chính sách do controller được tập trung hóa về logic đảm nhận, còn thiết bị biên (CPE) tập trung vào vai trò mặt phẳng dữ liệu chuyển tiếp gói tin theo chính sách đó. Khác với cách cấu hình riêng lẻ cho từng router chi nhánh, chỉ cần định nghĩa chính sách ở một nơi là được phân phối đồng loạt tới hàng trăm chi nhánh, nên vận hành trở nên đơn giản. Ví dụ, trong “cấp phát không chạm (ZTP)” khi mở một chi nhánh mới, nhân viên hiện trường chỉ cần cắm nguồn và đường truyền cho CPE, thiết bị sẽ tự đăng ký với orchestrator, tải chính sách về và có thể cung cấp dịch vụ trong vòng vài chục phút.

Thứ hai là nhận biết ứng dụng (Application-aware). SD-WAN dùng kỹ thuật DPI (kiểm tra gói tin sâu) và nhận dạng gói đầu tiên (first-packet classification) để xác định lưu lượng thuộc ứng dụng nào, và gán đường đi theo SLA của từng ứng dụng (ngưỡng cho phép về độ trễ·mất gói·jitter). Lưu lượng nhạy cảm với jitter như thoại·hội nghị truyền hình được đưa vào liên kết chất lượng tốt, còn lưu lượng không nhạy cảm với độ trễ như sao lưu dung lượng lớn thì đưa vào liên kết rẻ. Khác với định tuyến truyền thống quyết định đường chỉ dựa vào 5-tuple (IP·cổng nguồn·đích, giao thức), SD-WAN lấy cả ngữ nghĩa (semantics) ứng dụng — “phiên này là lưu lượng làm gì” — làm căn cứ phán đoán. Vì vậy, chính sách không được mô tả như “dải 192.168.x.x sang liên kết 1” mà bằng ngôn ngữ kinh doanh như “lưu lượng Microsoft 365 là SLA A, lưu lượng sao lưu là SLA C”, và khi đường truyền thay đổi cũng không cần viết lại chính sách.

Thứ ba là tách overlay/underlay (Overlay/Underlay). Bất kể đường truyền vật lý (underlay) là Internet hay MPLS, một đường hầm logic được mã hóa (overlay) được hình thành trên đó và đường đi được điều khiển ở mức overlay này. Nó giảm phụ thuộc vào nhà mạng·loại đường truyền, cho phép tự do cấu hình đa đường truyền·đa nhà mạng.

Thứ tư là khả năng quan sát tập trung·nhất quán chính sách (Centralized visibility). Chất lượng liên kết·mức sử dụng ứng dụng·vi phạm chính sách của mọi thiết bị biên được tập hợp về dashboard của orchestrator, giúp quan sát·điều khiển toàn bộ WAN của doanh nghiệp trên một màn hình. So với cách truyền thống thu thập log từng thiết bị rồi phân tích thủ công, điều này tăng đáng kể tốc độ ứng phó sự cố. Ví dụ, khi độ trễ đường Internet của một chi nhánh tăng đột biến, quản trị viên có thể xác định liên kết gây ra từ dashboard và điều chỉnh chính sách để vòng tránh ngay mà không cần truy cập từng router.

Ngoài ra, thoát cục bộ (local breakout) là chức năng tiêu biểu tạo ra giá trị thực chất của SD-WAN. Đó là việc đưa lưu lượng SaaS·Internet phát sinh tại chi nhánh đi thẳng ra Internet từ đường truyền của chi nhánh mà không backhaul về trụ sở, loại bỏ tận gốc hiện tượng trombone đã nêu ở trên. Tuy nhiên, khi đó mỗi chi nhánh trở thành một điểm vào Internet nên đòi hỏi kèm theo kiểm soát bảo mật phân tán, và chính điểm này dẫn tới thảo luận về SASE.

3. Các yếu tố công nghệ cốt lõi và quy trình xử lý lưu lượng

Giá trị của SD-WAN rốt cuộc đến từ công nghệ mặt phẳng dữ liệu quyết định theo thời gian thực “gửi gói tin nào, qua liên kết nào, theo tiêu chí chất lượng nào”. Các yếu tố công nghệ chính như sau.

Yếu tố công nghệ	Mô tả	Hàm ý thực tiễn
Chọn đường động (DPS)	Liên tục đo độ trễ·jitter·mất gói của từng liên kết để chọn đường tối ưu theo thời gian thực	Vòng tránh không gián đoạn khi chất lượng đường truyền giảm
Nhận dạng ứng dụng	Phân loại ứng dụng bằng DPI·first-packet·chữ ký đám mây	Áp dụng chính sách khác biệt theo ứng dụng
FEC/nhân bản gói	Bù mất gói bằng sửa lỗi tiến·gửi kép gói quan trọng	Đảm bảo chất lượng thoại trên đường Internet kém
Mã hóa overlay	Đảm bảo tính bí mật·toàn vẹn bằng đường hầm IPSec giữa các edge	Dùng an toàn đường Internet thay cho MPLS
SLA ứng dụng	Định nghĩa·áp đặt ngưỡng trễ·mất gói cho phép theo ứng dụng	Tự động chuyển liên kết dựa trên chính sách

Chọn đường động (DPS) là trái tim của SD-WAN. Thiết bị biên liên tục gửi các gói thăm dò (probe) trên từng liên kết bằng BFD (Bidirectional Forwarding Detection) v.v., đo độ trễ khứ hồi·jitter·mất gói theo chu kỳ vài mili giây~vài trăm mili giây. Khi tỷ lệ mất gói của một liên kết vượt ngưỡng SLA ứng dụng (ví dụ: mất gói lưu lượng thoại vượt 1%), phiên sẽ được chuyển ngay (failover) sang liên kết khác mà không bị ngắt. Người dùng thay vì bị rớt cuộc gọi chỉ gặp suy giảm chất lượng trong chốc lát hoặc thậm chí không nhận ra.

Ở đây, cách đặt ngưỡng SLA quyết định chất lượng vận hành. Nếu ngưỡng quá nhạy, đường đi dao động (flapping) ngay cả với biến động nhỏ và trở nên bất ổn; nếu quá kém nhạy, suy giảm chất lượng sẽ bị bỏ mặc. Do đó, cốt lõi thực tiễn là thiết kế đồng thời ngưỡng cho phép của từng yếu tố trễ·jitter·mất gói và độ trễ (hysteresis, độ trễ khi quay lại) phù hợp với đặc tính ứng dụng.

FEC (Forward Error Correction) và nhân bản gói là các kỹ thuật dùng phần mềm để bù đắp sự bất ổn bẩm sinh của đường Internet. Ở những đoạn mất gói thường xuyên, gói thời gian thực quan trọng được gửi đồng thời trên hai liên kết (duplication) để dù một gói bị mất thì gói kia vẫn đến qua đường khác, hoặc thêm gói parity (FEC) để khôi phục một phần mất mát mà không cần truyền lại. Kỹ thuật này đặc biệt hiệu quả với lưu lượng thời gian thực, nơi truyền lại gây ra độ trễ. Tuy nhiên, các kỹ thuật này kéo theo chi phí tiêu thụ thêm băng thông (nhân bản tới 2 lần), nên nguyên tắc là chỉ áp dụng có chọn lọc cho số ít ứng dụng có SLA nghiêm ngặt chứ không phải mọi lưu lượng. Tức là việc bù chất lượng của SD-WAN không phải là “làm tốt vô điều kiện” mà là kết quả của phán đoán chính sách “tập trung tài nguyên vào những gì quan trọng”.

Mã hóa overlay là tiền đề để dùng an toàn đường Internet giá rẻ thay cho MPLS. Tự động thiết lập·làm mới (bao gồm trao đổi khóa) đường hầm IPSec giữa các thiết bị biên, đảm bảo tính bí mật và toàn vẹn cho lưu lượng doanh nghiệp đi qua Internet công cộng. Khi hàng trăm chi nhánh kết nối full-mesh với nhau, số đường hầm tăng vọt, nên controller dùng phương thức theo yêu cầu (on-demand) chỉ tạo động những đường hầm cần thiết để giảm gánh nặng quản lý.

Sơ đồ quy trình chi tiết dưới đây thể hiện quá trình một gói tin phát sinh tại chi nhánh đi qua nhận dạng·khớp chính sách·chọn đường·đóng hầm để được chuyển đến đích.

flowchart TD
    P["Thiết bị đầu cuối chi nhánh gửi gói tin"] --> ID["Nhận dạng ứng dụng<br/>(DPI/first-packet)"]
    ID --> POL["Khớp chính sách<br/>(tra SLA·độ ưu tiên theo ứng dụng)"]
    POL --> MEAS["Đo chất lượng liên kết thời gian thực<br/>(trễ·jitter·mất gói)"]
    MEAS --> DEC{"Có liên kết đáp ứng SLA?"}
    DEC -->|"Có"| BEST["Chọn liên kết tối ưu"]
    DEC -->|"Không (tất cả đều kém)"| REMEDY["Bù bằng FEC/nhân bản gói rồi dùng liên kết tốt thứ hai"]
    BEST --> ENC["Đóng gói vào đường hầm overlay IPSec"]
    REMEDY --> ENC
    ENC --> FWD["Chuyển tới edge/gateway đích"]
    FWD --> MON["Báo cáo telemetry kết quả<br/>về orchestrator"]

Điều đáng chú ý trong luồng này là quyết định đường đi không phải định tuyến tĩnh chỉ nhìn IP đích, mà kết hợp tại mỗi thời điểm 3 yếu tố “là ứng dụng gì × chất lượng từng liên kết hiện tại ra sao × chính sách yêu cầu gì”. Đây là điểm cốt lõi phân biệt SD-WAN với dự phòng đa đường truyền đơn thuần (load balancing).

Mặt khác, SD-WAN được chia thành ba loại triển khai chính tùy theo vị trí đặt edge·gateway, và được lựa chọn phù hợp với mức độ trưởng thành đám mây và mẫu lưu lượng của tổ chức.

• Loại tại chỗ (On-premises): Đặt CPE vật lý tại chi nhánh·trung tâm dữ liệu và chỉ điều khiển overlay giữa các chi nhánh bằng phần mềm. Phù hợp với tổ chức có tỷ trọng truy cập đám mây thấp và muốn tận dụng tài sản đường truyền hiện có, nhưng lợi ích cloud on-ramp bị hạn chế.
• Loại hỗ trợ đám mây (Cloud-enabled): Ngoài edge tại chỗ còn liên kết trực tiếp với cổng đám mây (on-ramp) của các nhà cung cấp IaaS/SaaS lớn. Đường truy cập đám mây được tối ưu nên hiệu năng SaaS được cải thiện.
• Loại cung cấp từ đám mây (Cloud-delivered): Chức năng gateway được cung cấp như dịch vụ tại các PoP toàn cầu do nhà cung cấp vận hành. Có lợi cho môi trường người dùng từ xa·đa điểm, và khi thêm SSE sẽ mở rộng ngay thành dạng SASE.

Việc lựa chọn loại triển khai gắn liền với thiết kế điểm breakout “sẽ ra Internet·đám mây từ đâu”, và vì nó quyết định không chỉ hiệu năng mà cả vị trí kiểm soát bảo mật, nên phải được chốt từ giai đoạn đầu của kiến trúc.

4. So sánh — WAN truyền thống (MPLS)·SD-WAN·SASE

Để hiểu vị trí của SD-WAN, phải xem xét đồng thời WAN MPLS truyền thống và quan hệ với khái niệm cấp trên là SASE. Bảng dưới đây so sánh cả ba, kèm giải thích lý do tạo ra khác biệt.

Tiêu chí	WAN MPLS truyền thống	SD-WAN	SASE
Điều khiển đường đi	Tĩnh/giao thức định tuyến theo từng router	Chính sách tập trung·động nhận biết ứng dụng	Bao gồm SD-WAN + tích hợp bảo mật
Đường truyền	Chủ yếu đường thuê riêng MPLS	Kết hợp Internet·LTE·MPLS	Hội tụ vào PoP đám mây
Chi phí/khai trương	Đắt·vài tuần~vài tháng	Rẻ·vài chục phút (ZTP)	Thuê bao
Bảo mật	Thiết bị riêng (tường lửa, v.v.)	IPSec cơ bản, bảo mật là phần bổ sung	Nội tại hóa bảo mật (ZTNA·SWG, v.v.)
Truy cập đám mây	Backhaul về trụ sở (trombone)	Thoát cục bộ tại chi nhánh	Đường tối ưu dựa trên PoP

Khác biệt căn bản giữa MPLS và SD-WAN nằm ở chỗ đảm bảo chất lượng bằng “hợp đồng đường truyền” hay bằng “điều khiển phần mềm”. MPLS được nhà mạng đảm bảo SLA bằng hợp đồng nhưng đổi lại đắt và kém linh hoạt. SD-WAN gộp nhiều đường truyền rẻ bằng phần mềm để đảm bảo chất lượng về mặt thống kê. Do đó, thay vì nói SD-WAN thay thế hoàn toàn MPLS, thì cấu hình lai giữ lưu lượng xương sống cốt lõi trên MPLS và cho lưu lượng thông thường·đám mây thoát cục bộ (local breakout) ra Internet thường là giải pháp thực tế.

Quan hệ giữa SD-WAN và SASE được hiểu chính xác nhất là quan hệ bao hàm. SASE là kiến trúc cấp trên hợp nhất “SD-WAN (kết nối) + SSE (Security Service Edge)” tại biên đám mây. Nếu chỉ triển khai SD-WAN, khi chi nhánh đi thẳng ra Internet sẽ tạo ra khoảng trống do mất điểm kiểm tra bảo mật mà tường lửa biên từng đảm nhiệm. Ý tưởng của SASE là lấp khoảng trống này bằng dịch vụ bảo mật đám mây, nên trong thực tế việc triển khai SD-WAN thường được tiến hành như bước đầu tiên hướng tới SASE.

Trong các tình huống áp dụng thực tế, có báo cáo cho thấy doanh nghiệp tài chính·bán lẻ vận hành nhiều chi nhánh đặt CPE SD-WAN tại mỗi chi nhánh, tách lưu lượng cốt lõi như POS·thanh toán sang MPLS/đường thuê riêng và lưu lượng web·SaaS của nhân viên sang Internet, giúp giảm 30~50% chi phí đường truyền. Doanh nghiệp sản xuất đa quốc gia gắn lưu lượng hội nghị truyền hình (ví dụ: Microsoft Teams) vào SLA ứng dụng, cấu hình tự động chuyển liên kết khi jitter xấu đi, qua đó giảm khiếu nại về chất lượng cuộc họp.

Các cơ quan công·logistics có nhiều cơ sở trên cả nước cũng là đối tượng hưởng lợi tiêu biểu. Khi một cơ quan vốn quản lý hàng trăm điểm bằng CLI router riêng lẻ triển khai SD-WAN, việc khai trương điểm mới được rút ngắn từ vài tuần xuống vài chục phút (ZTP), thay đổi chính sách được phân phối đồng loạt từ trung tâm, giảm đáng kể công việc lặp lại của nhân lực vận hành. Tuy nhiên, cần lưu ý rằng lợi ích này chỉ hiện thực khi chính sách·tiêu chuẩn được thiết kế tỉ mỉ từ trước, và nếu chỉ đưa chức năng vào mà không thiết kế thì vận hành có thể trở nên phức tạp hơn do xung đột chính sách và thiếu khả năng quan sát.

5. Chuyên sâu — Xu hướng mới nhất và tiến hóa kiến trúc

Gần đây SD-WAN đang tiến hóa theo hướng từ giải pháp độc lập bị hấp thụ thành trục kết nối của SASE/SSE. Gartner đưa ra khái niệm SASE năm 2019 và SSE năm 2021, xác định sự hội tụ giữa mạng và bảo mật là dòng chảy thị trường, và các nhà cung cấp lớn đang tái cấu trúc sản phẩm SD-WAN thành một phần của nền tảng SASE. Tức là vấn đề ban đầu của SD-WAN là “kết nối chi nhánh” đang được mở rộng thành khung rộng hơn “kết nối an toàn dựa trên danh tính dù truy cập từ bất cứ đâu”.

Về mặt kỹ thuật, các xu hướng mới đáng chú ý như sau.

• Vận hành tự trị dựa trên AIOps (self-driving WAN): Phân tích dữ liệu chất lượng liên kết·hiệu năng ứng dụng·trải nghiệm người dùng bằng học máy để dự đoán trước sự cố và tự động tối ưu chính sách.
• Nâng cao cloud on-ramp: Kết nối trực tiếp bằng gateway gần kề với backbone của các nhà cung cấp IaaS/SaaS lớn để rút ngắn đường truy cập đám mây.
• Kết hợp DEM (Digital Experience Monitoring): Vượt qua các chỉ số mạng, đo cả khả năng phản hồi ứng dụng mà người dùng thực tế cảm nhận, chuyển tiêu chí phán đoán vận hành từ “chất lượng đường truyền” sang “trải nghiệm người dùng”.
• Đưa đường truyền 5G/vệ tinh vào underlay: Mạng 5G chuyên dụng·vệ tinh quỹ đạo thấp được đưa vào như lựa chọn đường dự phòng·đường chính mới, mở rộng khả năng kết nối cho các điểm khó có đường truyền hữu tuyến.

Điểm chung của các xu hướng này là SD-WAN đang dịch chuyển trọng tâm từ “công nghệ gộp đường truyền” sang “engine chính sách đảm bảo ứng dụng và trải nghiệm người dùng”.

Từ góc độ kỳ thi, các hướng ra đề dự kiến là (1) quan hệ và khác biệt giữa SDN và SD-WAN, (2) 4 mặt phẳng của SD-WAN và khái niệm overlay/underlay, (3) chọn đường nhận biết ứng dụng và các kỹ thuật bù chất lượng như FEC, (4) ưu nhược điểm so với MPLS và chiến lược chuyển đổi lai, (5) liên kết với SASE·ZTNA. Khi xây dựng bài làm, nếu triển khai theo mạch “vì sao ra đời (chuyển đổi đám mây·giới hạn của MPLS) → hoạt động thế nào (tách mặt phẳng·đường đi động) → liên kết với gì (SASE·zero trust)” thì có thể đảm bảo tính hoàn chỉnh logic.

6. Những điểm cần cân nhắc và hàm ý

Từ góc nhìn Kỹ sư chuyên nghiệp, triển khai SD-WAN không đơn thuần là thay đường truyền mà là thiết kế lại toàn bộ mô hình vận hành WAN, nên phải cân nhắc đồng thời những điểm sau.

• Thiết kế chủ động cho khoảng trống bảo mật: Thoát cục bộ cho phép chi nhánh đi thẳng ra Internet giúp cải thiện hiệu năng nhưng xóa bỏ điểm kiểm tra bảo mật biên. Ngay từ giai đoạn đầu triển khai phải thiết kế kèm bảo mật đám mây (SWG·ZTNA) hoặc lộ trình SASE, cân bằng để hiệu năng và bảo mật không xung đột.

• Chiến lược chuyển đổi lai và trade-off: Thay vì loại bỏ hoàn toàn MPLS, chuyển đổi theo giai đoạn — giữ hệ thống xương sống cốt lõi trên đường thuê riêng và chuyển lưu lượng thông thường·đám mây sang Internet — sẽ giảm rủi ro. Trade-off giữa giảm chi phí (Internet) và SLA được đảm bảo (MPLS) phải được phán đoán theo tiêu chí mức độ quan trọng của ứng dụng.

• Phụ thuộc nhà cung cấp và năng lực vận hành: Controller·orchestrator·CPE thường bị gắn vào hệ sinh thái của một nhà cung cấp duy nhất nên có rủi ro lock-in. Phải đảm bảo đồng thời việc tuân thủ tiêu chuẩn (ví dụ: tiêu chuẩn dịch vụ SD-WAN của MEF), khả năng tương tác đa nhà cung cấp/đa đám mây, và năng lực tổ chức (mạng + tự động hóa) phù hợp với vận hành lấy phần mềm làm trung tâm.

• Hệ thống đo khả năng quan sát và SLA: Lợi ích của SD-WAN đến từ khả năng quan sát tập trung, nên phải xây dựng kèm hệ thống đo định lượng hiệu năng ứng dụng·trải nghiệm người dùng (DEM, Digital Experience Monitoring) thì mới kiểm chứng được hiệu quả cải thiện thực tế và liên tục cải tiến chính sách.

• Triển vọng và công nghệ liên kết: SD-WAN được dự báo sẽ kết hợp với SASE·zero trust·điện toán biên·mạng 5G chuyên dụng và trở thành “lớp kết nối của thời đại ứng dụng phân tán”. Vận hành tự trị kết hợp AIOps và nâng cao cloud on-ramp sẽ là điểm tạo khác biệt.

Tài liệu tham khảo

• Gartner, "The Future of Network Security Is in the Cloud" (2019) — https://www.gartner.com/en/documents/3956841
• MEF, "SD-WAN Service Attributes and Services (MEF 70.1)" — https://www.mef.net/resources/mef-70-1-sd-wan-service-attributes-and-services/
• Cisco, "What Is SD-WAN?" — https://www.cisco.com/c/en/us/solutions/enterprise-networks/sd-wan/what-is-sd-wan.html
• Fortinet, "What is SD-WAN?" — https://www.fortinet.com/resources/cyberglossary/sd-wan

---

Tóm tắt một câu: SD-WAN là kiến trúc WAN áp dụng tư tưởng tách mặt phẳng của SDN cho mạng diện rộng, gộp các đường truyền Internet·LTE·MPLS thành overlay được mã hóa và điều khiển tập trung bằng phần mềm đường đi theo chính sách nhận biết ứng dụng và chất lượng liên kết thời gian thực, nhằm cải thiện chi phí·tính linh hoạt·trải nghiệm truy cập đám mây, và mở rộng thành SASE khi hội tụ với bảo mật.