广域网扩展中常见的协议类型
在企业网络部署中，广域网（WAN）扩展是个绕不开的话题。当你需要把总部和多个分支机构连通，或者把数据中心和云环境打通时，选对协议直接影响到网络的稳定性和传输效率。
广域网扩展并不是只靠一种技术实现的，它依赖多种协议协同工作。这些协议各有用途，有的负责数据封装，有的负责路径选择，还有的解决加密和压缩问题。
MPLS：老牌但依然能打
多协议标签交换（MPLS）是传统广域网中最常用的协议之一。它不依赖IP路由跳转，而是通过标签快速转发数据包，延迟低、路径可控。很多运营商提供的专线服务背后就是MPLS在支撑。
比如你公司在五个城市有办公室，运营商用MPLS把它们串成一个虚拟私有网络（VPN），员工访问总部系统就像在本地局域网一样快。
IPSec：安全隧道的主力
当走公网做扩展时，IPSec就成了标配。它工作在网络层，能对整个IP数据包进行加密和认证，常用于站点到站点的VPN连接。
典型场景比如分公司通过路由器建立IPSec隧道连接总部防火墙，所有业务流量都经过加密传输，防止被窃听或篡改。
配置IPSec时常见参数包括：
encryption-algorithm AES-256
authentication-method pre-shared-key
diffie-hellman group 14
lifetime 28800 secondsGRE：简单的封装工具
通用路由封装（GRE）本身不加密，但它可以封装各种协议的数据包，让它们穿越不支持原生协议的网络。常和IPSec搭配使用，先GRE封装再IPSec加密。
比如你要把运行OSPF的两个站点通过公网连通，但公网路由器不认识OSPF报文，这时用GRE把OSPF包打包成普通IP包就能顺利传输。
SSL/TLS：应用层的好手
随着远程办公普及，基于SSL/TLS的VPN也越来越多。像OpenVPN、FortiClient这类工具就是利用443端口建立加密通道，穿透性强，适合移动用户接入。
它不像IPSec那样需要复杂配置，普通员工用自己的笔记本连上公司资源，就跟连了Wi-Fi一样自然。
SD-WAN：新派整合者
现在的SD-WAN设备其实不是单一协议，而是一套组合拳。它底层可能同时跑着IPSec、BGP、OMP（Overlay Management Protocol），自动根据链路质量切换线路。
比如早上视频会议卡顿，SD-WAN检测到电信线路丢包严重，自动把流量切到联通线路，全程无需人工干预。
一些厂商的控制面协议如Cisco的OMP，用来管理overlay网络中的路由分发：
<control-policy OMP_POLICY>
sequence 10
match route 192.168.10.0/24
set tunnel-group TUNNEL_GROUP_A
sequence 20
match application video-conference
set preference priority-high</control-policy>其他辅助协议
BGP用于大规模网络间的路由通告，特别是在多出口环境中做路径控制；OSPF虽然主要是局域网用，但在大范围WAN部署中也会作为内部路由协议出现；DHCP和NAT则解决地址分配和转换问题，确保跨站点设备能正常通信。
实际排错时经常遇到的问题是协议协商失败。比如两边IPSec的加密算法不匹配，或者GRE隧道接口没启用，都会导致“看着通，其实不通”的情况。这时候抓包看IKE阶段是否完成，或者检查tunnel source和destination是否写反，往往能快速定位。