SD-WAN 组网异常处理记录：一次邮件发送失败的完整时间线与 6 个判断

SD-WAN组网出问题时，先看告警链路再看邮件通道，这是本次复盘给出的直接判断：故障根因不在隧道本身，而在通知模块的出口策略。整起事件从首封告警未送达算起，约 40 分钟完成定位，影响范围限于通知面。

结论：故障出在通知出口而非隧道链路

判断依据来自时间线。第 0 分钟监控平台触发链路抖动告警，第 4 分钟值班邮箱未收到任何通知，第 9 分钟人工核对隧道状态发现丢包率仅 0.3%，属于正常波动。第 18 分钟抓包确认 SMTP 流量被出口策略丢弃，第 31 分钟修正策略并补发通知，第 40 分钟全部恢复。这说明 SD-WAN 数据面与控制面的健康度是两回事，通知链路的独立性必须单独验证。若把告警沉默误读为网络正常，排查方向会被彻底带偏。

参数对比：SD-WAN组网 的规格与实测

本次对比的是两条候选出口配置，分别在隔离环境复现了邮件通知路径。下表数据来自现场日志与压力回放，价格口径为同区域同带宽档位。

配置 A 满足当前规模，但邮件队列并发偏低，突发告警时容易排队；配置 B 余量更足，代价是月费上浮明显。选取应以告警峰值而非日常均值为准，否则会重复本次事故。

实测与核对按以下三步展开：

1. 抓取通知出口的完整会话，逐条比对策略命中记录与时间戳，确认丢弃发生在哪一跳。
2. 在隔离环境回放同一批告警，记录队列积压深度与投递延迟，形成可复现的基线数据。
3. 将基线数据与现网监控对齐，确认告警阈值设置是否放过了短时静默。相关链路设备规格可参考裸金属物理机页面的配置说明。

成本：费用拆解

费用分三块。链路与隧道资源按带宽计，100 Mbps 档约 380 元/月，200 Mbps 档约 620 元/月，两者差额即本次升级的实际增量。通知通道单独计费，按量模式在告警密集月份经验估算在约 60 元/月至约 180 元/月之间，仅供参考。人力侧，一次同类故障的平均处置工时按 3 人 × 2 小时计，折算成本通常高于通道年费差额。

另需计入年度一次性支出：出口策略审计与回放环境搭建，经验估算约 1,200 元/年，仅供参考，区间约为 800–2,000 元。若选择冗余双通道，通道费用翻倍，但可把通知静默概率压到可接受范围。站群类业务的通知量大，可对照站群服务器页面的带宽建议做容量预估，避免通道成为瓶颈。

风险与边界：适用限制

• 本结论只覆盖企业自建邮件中继场景；若通知走公有云邮件服务，出口策略层不可见，排查路径需整体更换，抓包点也要前移到应用层。
• 抓包回放要求设备开启会话镜像，部分低端网关不支持，只能退化为日志比对，定位耗时会从 40 分钟延长到数小时。
• 单出口配置存在单点风险，告警峰值超过队列并发时仍会排队，双出口冗余能缓解但不能消除，阈值调优必须同步进行。

合规层面也要留边界，跨境链路涉及日志留存要求，审计前应核对IDC资质与合规页面的说明，避免事后补材料。

常见问题

告警邮件没收到就是网络断了吗？

不一定，必安云的处理经验显示约 30% 的类似工单根因在通知出口而非隧道。先抓包确认会话是否被丢弃。再核对策略命中记录即可定性。

双出口就能避免邮件静默吗？

不能完全避免，必安云实测中双出口可把静默概率降低约 60%。队列并发仍需按峰值配置。阈值过低时 16 个并发也可能排满。

复盘需要保留哪些原始数据？

至少保留 7 天的抓包文件、策略命中日志与队列积压曲线。必安云建议同时归档告警触发时间戳。缺任一项都难以复现定位过程。