推荐搜索词
SD-WAN 跨境组网会被认定为 VPN 经营吗 企业采购 SD-WAN 合法吗 SD-WAN 跨境线路需要什么资质 SD-WAN 和国际专线有什么区别 国内 IP-VPN 许可证能做跨境 SD-WAN 吗 SD-WAN 涉嫌非法经营怎么审查 SD-WAN 底层线路合规
产品叫 SD-WAN，法律仍会追问数据从哪里走
企业采购 SD-WAN，合同上常见的说法很漂亮。全球组网、智能选路、应用加速、链路聚合、统一运维，几页产品说明就能把分支机构、云平台和海外办公室连在一起。碰到刑事或行政调查，产品名称能够说明使用了哪类技术，却不能单独回答企业经营了什么。
SD-WAN 跨境组网会不会被认定为经营 VPN，取决于真实数据路径和商业交付。供应商只出售设备、控制软件和网络管理服务，企业另行从有相应资格的经营者取得底层线路，数据在获准范围内连接企业自己的站点，风险判断通常围绕软件集成和企业内部组网展开。供应商若自行租用普通带宽或云服务器，把多家客户的跨境数据集中送出境外，还按带宽、站点或期限收费，业务便可能接近未经许可提供国际数据传送或相关跨境电信服务。
技术资料对 SD-WAN 的描述也支持这种拆法。MEF 将它作为一种覆盖连接服务，依靠一个或多个底层连接传送 IP 数据，并按应用与策略决定转发行为。IETF 公开材料同样把 SD-WAN 描述为运行在底层连接之上的覆盖网络，底层可能包括 MPLS、直接二层连接和公共互联网。覆盖网负责识别和选路，真正承载数据的仍是下面那些线路。
中国电信监管规则按电信业务种类、业务覆盖范围和国际通信出入口管理经营活动，并没有因为产品被叫作 SD-WAN 就另开一条判断通道。电信业务分类目录列有互联网国际数据传送业务、国际数据通信业务和国内互联网虚拟专用网业务。工信部门公开办事材料还明确提醒，国内 IP-VPN 经营者不得经营或变相经营国际 IP-VPN 业务，也应防止用户利用国内 IP-VPN 网络无证经营其他电信业务或进行公共互联网信息浏览。
审查一套 SD-WAN 跨境方案，最省力的办法是挑一个数据包，跟着它从境内分支机构走到境外终点。它先进入哪台边缘设备，经过哪家接入网络，在哪个节点形成加密隧道，从哪个国际通信出入口离境，最后落到企业私有系统还是公开互联网。每走一步，合同、后台和账单都应找到对应材料。
数据包离开员工电脑以后先到哪台设备
SD-WAN 项目通常会在分支机构部署边缘设备。它可能是一台物理设备，也可能运行在服务器或云环境中。员工访问境外 ERP 时，数据先到这台设备，设备按照策略识别应用，再决定走宽带、移动网络、MPLS 或专线。
这一步看起来还没有碰到国际出口，却能回答供应商控制到什么程度。设备由企业购买并管理，策略由企业网络部门批准，供应商只负责安装和升级，控制关系较接近企业自建网络。设备属于供应商，客户只能在门户中购买站点和带宽，供应商随时可以增加境外节点并改变路由，服务控制更集中在供应商一侧。
边缘设备的配置不能只看界面名称。WAN1、WAN2 或智能链路这些标签不会说明底层资源是谁提供的。要继续核对接口连接的运营商、账号、线路编号和公网地址。接口接入企业自行购买的本地宽带，与接入供应商统一采购的跨境专线，法律关系不同。
有些供应商把设备免费送给客户，收入全部放在月度服务费里。免费硬件并不影响交易判断。客户付款后取得的主要内容若是持续跨境连接、流量额度和线路保障，设备只是交付载体。若客户购买的是控制软件和运维服务，底层带宽全部由客户自行签约，费用结构又会朝另一方向解释。
设备有没有直接上网功能也很重要。一个分支机构可能同时需要访问总部私网和普通互联网。策略可以让办公系统流量进入企业覆盖网，其他流量从本地运营商直接访问互联网。也可能把全部数据送往境外网关，再从境外访问公网。两种方案在界面上都叫智能选路，跨境承载范围却相差很大。
案件材料里应保留原始配置和版本。调查当天的策略，可能已经不同于两年前的交付版本。设备升级、供应商远程变更和客户自行修改，都要按时间记录。只提取当前配置，容易把后来的整改状态当成全部经营期间。
控制器看到的是策略，数据是否经过控制器要另查
SD-WAN 常有集中控制器。管理员在控制器里创建站点、下发路由、设定应用优先级，还能查看延迟、丢包和链路状态。控制器掌握很大管理权，不表示所有业务数据都会经过控制器服务器。
控制面与数据面需要分开。控制面负责身份、路由和策略。数据面承担用户数据的实际传送。有些架构由控制器告诉两端设备怎样建立隧道，数据随后在两个边缘设备之间直接传送。另一些架构会经过供应商的中转网关，数据路径更集中。
这种区别会影响经营事实。供应商托管控制器，为客户设备下发策略，可能主要提供软件和网络管理。供应商同时提供中转节点、底层带宽和跨境出口，并对每一条客户流量负责，交付内容会增加电信传送特征。
调查人员可以从会话表、隧道端点和路由记录中区分两者。控制器 IP 出现在设备日志里，只能说明设备与控制平台通信。要证明业务数据经过控制器或网关，还要看目的地址、路由下一跳、隧道封装和流量统计。
平台宣传也要与技术事实对应。有的供应商宣传全球骨干网，客户以为数据进入供应商自有网络，实际每个站点只是在公共互联网之间建立 IPsec 隧道。有的宣传基于互联网优化，后台却把数据先集中到供应商租用的境外专线。宣传用语和数据路径发生冲突时，审查应以配置、线路合同和实际流量为准。
控制器的部署地点还会带来另一个问题。控制器位于境外，不等于企业所有业务流量都跨境。设备可能只向境外控制器发送状态和策略请求，用户数据仍在境内或点对点传输。反过来，控制器位于境内，也不能说明业务数据没有经过境外网关。
覆盖网下面铺着什么线路，才是这篇文章的中心
SD-WAN 的一个常见优势，是能把多种底层连接组合起来。分支机构可以同时接入家庭宽带、企业互联网专线、4G 或 5G，以及 MPLS 或国际专线。覆盖网根据质量和策略选择路径。
技术上可以组合，不代表各种线路具有相同的经营许可和使用范围。供应商如果只在客户已经合法取得的线路上部署覆盖网，合同应清楚列明客户自备底层连接。客户应能拿出各条线路的合同、服务号码和付款记录。
供应商代购底层线路时，需要追到真正提供资源的经营者。代理采购可以是项目服务，也可能形成资源转售。要看供应商与上游之间是什么合同，它是否有权向终端客户提供相应服务，许可证业务种类和覆盖范围能否覆盖实际交付。
底层是公共互联网时，仍要继续看跨境部分怎样实现。两地企业设备通过各自合法互联网接入建立加密隧道，用于连接企业内部资源，是一种技术结构。供应商向社会客户提供境外云网关，所有客户经网关访问境外公网，并按套餐收费，是另一种业务结构。两者都可能使用 IPsec，也都可能出现在 SD-WAN 控制台里。
底层是国内 IP-VPN 时，许可证范围尤其容易被误读。国内互联网虚拟专用网业务许可解决国内业务，不能直接推出可以经营国际 IP-VPN。工信部门办事材料明确要求经营者不得经营或变相经营国际 IP-VPN 业务。项目一旦连接境外站点，应继续核对国际数据传送或国际数据通信方面的经营资格和线路来源。
底层是国际专线时，还要看承租人、对端和用途。国际通信出入口局管理办法要求专线在规定业务范围内用于点对点通信，仅供用户内部使用，不得用于经营电信业务。供应商把一条企业自用专线切给多个无关联客户，覆盖网技术不会消除转租转售问题。
混合底层最容易留下证据缺口。主线路来自合格运营商，备用线路却是供应商临时搭建的境外云节点。平时数据合规，故障时自动切换到另一条未经说明的跨境路径。审查不能只看主线路报价，还要导出故障切换策略和历史路径。
一个数据包怎样离开境内，应当画到国际通信出入口
企业网络图常画到云网关就停了。云网关之后的数据怎样跨境，图上没有。对普通运维来说，这也许够用。对电信业务和刑事风险审查来说，最关键的一段恰好被省略。
应当继续寻找出口。边缘设备把隧道发到哪个公网 IP，IP 属于哪家网络，境内端和境外端分别由谁控制。数据是否经过依法设置的国际通信出入口，供应商与有资格经营者之间有没有对应合同。
一条路径可能经过多个自治系统和云平台。路由追踪能够提供线索，不能单独证明完整法律关系。公网路由会变化，隧道内部的实际转送也未必全部显示。需要把路由结果与运营商交付文件、IP 归属、云资源账单和设备配置合在一起。
跨境出口由基础电信企业提供时，供应商还可能只是集成方。客户直接与运营商签订国际专线合同，运营商建立用户档案，供应商负责把线路接入 SD-WAN 控制台。这类结构要看集成方有没有改变线路用户和用途。
供应商以自己名义租线，再向多家客户提供跨境站点，审查方向会变化。每名客户支付站点费或带宽费，供应商承诺国际链路质量，客户无法接触上游运营商，可能形成转售或无证经营问题。
境外云服务器也不能被写成出口依据。云厂商出售计算资源和公网地址，不代表购买者取得了在境内经营国际电信业务的许可。供应商在境外部署网关，只说明流量的一个落点。境内如何把客户数据送到这个落点，仍需回答。
还有一种结构，供应商让客户自己在境外云账户中创建网关，软件只做自动部署。此时云资源和账号由客户控制，供应商的作用可能更接近软件工具。若供应商统一控制全部云账户、按月向客户收费并负责持续换线，经营参与程度会增加。
终点是企业私网还是公开互联网，会改变业务面貌
数据从境内出去以后，终点可能是境外办公室、企业数据中心、云上私有网络、SaaS 服务，也可能是一般公网。终点范围应与客户需求和合同约定对应。
境内分支连接境外总部内网，双方站点由同一企业或真实集团控制，访问目标是固定私有网段，容易呈现企业闭合组网。供应商仍需有合法服务路径，客户内部使用也不能弥补线路来源问题，但用户范围和用途较为清楚。
访问境外 SaaS 时，目标地址可能随服务变化。企业可以通过应用识别、域名列表和策略组控制范围。供应商若把常用 SaaS 加速作为服务内容，应说明数据走哪条底层线路，以及服务面向企业专用账号还是一般公网访问。
直接访问公开互联网会让产品更接近网络接入。客户连接 SD-WAN 后获得一个境外公网出口，可以访问与企业业务无关的网站，供应商还宣传固定境外 IP、地区切换和不限应用，交付对象就很难只用企业组网解释。
本地互联网出口是另一个常见功能。分支机构访问国内网站时，流量在本地直接出去。只有访问企业私网或指定境外应用的数据进入覆盖网。这种分流能够减少跨境范围，也会在策略和日志中留下清楚记录。
供应商若在境外设置安全网关，对企业流量进行防火墙、恶意网站拦截和访问控制，仍要判断它是否同时提供跨境传送。安全功能不会让底层传送消失。合同把全部费用写成安全服务费，也应按实际交付拆分。
用户能否自行修改终点同样重要。企业管理员只能从已批准站点中选择，与客户随时新增任意境外网关不同。平台开放自助节点市场、按地区显示延迟并按流量扣费，会增强商品化连接特征。
数据路径可以按七个位置逐一核对
一套跨境 SD-WAN 方案，至少可以标出七个位置。
第一处是业务终端。谁发起访问，设备属于员工还是外部客户。账号能否与真实人员和企业关系对应。
第二处是分支边缘。设备由谁提供，谁掌握管理员权限。接口接入哪条底层线路。
第三处是覆盖隧道。隧道两端在哪里，采用什么封装。加密只保护内容，不能说明线路来源和经营许可。
第四处是控制平台。谁创建站点，谁下发策略，平台能否修改客户路径和访问范围。
第五处是中转网关。用户数据是否必须经过供应商节点，节点由谁购买和维护。多个客户是否共享同一资源池。
第六处是国际出口。数据通过哪家有资格经营者和哪份合同跨境，是否经过依法设置的国际通信出入口。
第七处是最终目标。数据进入企业私网、指定 SaaS 或公开互联网。客户能否自行改变终点和发展下级用户。
七处不需要全部由同一家公司掌握。企业可以买设备，运营商提供线路，集成商负责控制平台，境外总部管理目标系统。审查要把每家公司放到实际位置，随后确认它取得什么费用。
三份合同经常同时存在，不能只看客户手里的那份
SD-WAN 项目通常不止一份合同。客户与集成商签解决方案合同，集成商与运营商签线路合同，运营商还可能通过境外合作网络完成连接。只拿第一份合同看，底层关系容易丢失。
客户合同应拆出设备、软件许可、控制平台、运维、底层线路和跨境服务。价格可以合并报价，审查时仍要弄清每项服务的提供者和履行方式。
上游线路合同要核对采购主体、业务种类、站点、带宽和用途。集成商以客户名义代办，与集成商先统一购买再分配，权利结构不同。供应商提供一张上游发票，不能替代合同授权。
许可证也不能只看首页。经营者名称、许可证编号、业务种类、业务覆盖范围和有效期都要核对。供应商有 IDC、ISP 或国内 IP-VPN 许可，不表示它获得国际数据传送或国际数据通信业务经营资格。
合同中的服务等级协议也会透露交易。供应商只保障控制器和设备响应，与供应商承诺跨境链路带宽、时延和可用性，责任范围不同。后者说明供应商对传送质量承担更多义务。
故障工单能够验证合同。客户报设备无法下发策略，供应商重启控制器，属于软件运维。客户报某国线路拥堵，供应商切换境外出口并增加带宽，说明它实际控制跨境传送资源。
发票名称也要和履行相互印证。技术服务费、云服务费和网络管理费都可能包含多项内容。名称无法把持续提供的带宽变成软件，也不能把单纯设备维护变成电信业务。
五种采购结构放在一起看会更清楚
客户自购线路，供应商交付设备和软件
企业分别与合格经营者签国内和国际线路合同。SD-WAN 供应商出售边缘设备、控制平台许可并提供部署服务。企业网络部门决定站点和策略，供应商不向企业提供带宽，也不控制国际出口。
这类项目的重点是软件、设备和运维是否与合同一致。企业仍需核对线路用途和内部使用范围。供应商若未经授权接触客户数据或改变路由，会产生其他合规问题，但不能只因使用 SD-WAN 名称就认定它经营跨境电信业务。
供应商代理采购合规线路并做统一运维
供应商代客户向有相应资格的运营商采购线路，客户身份和用途如实登记，上游合同允许代理服务。供应商的费用包括项目管理和运维。
这里要查看代理权限、上游交付对象和资金结算。客户是否能够核验线路，供应商有没有把一条线路切给多个未登记客户，决定项目是否越过代理边界。
供应商把国内 IP-VPN 延伸到境外站点
供应商持有国内互联网虚拟专用网业务许可，利用国内网络连接企业分支。后来客户提出接入海外仓，供应商直接增加境外云网关，继续按国内站点模式收费。
国内许可不能自动覆盖国际业务。应追查海外仓流量经过什么国际通道，供应商是否取得相应经营资格，上游是否知道最终用途。合同继续沿用国内产品名称，不能解决范围变化。
供应商在公共互联网上搭建多租户跨境网关
每个客户安装边缘设备，数据通过加密隧道进入供应商境外网关。供应商维护共享节点，客户按站点、带宽和期限付费，连接后可访问境外公网。
这种结构具有较强的跨境连接经营特征。还需查明线路来源、用户范围、许可、收费规模和市场影响。若达到刑事案件标准，才继续审查非法经营罪构成。
主线路合规，备用路径来源不明
合同写明国际专线，供应商为提高可用性，又在后台加入公共互联网加境外云节点。线路故障时，客户数据自动切到备用网关。客户可能不知道备用路径。
这类项目需要按时间统计备用路径的启用情况，并确定谁设计、批准和维护。主线路合规不能覆盖另一条实际承载跨境数据的路径。
技术测试要回答路径问题，不要只做速度比较
很多企业验收 SD-WAN，只测延迟、丢包和下载速度。刑事与合规审查需要另一套测试重点。
先导出路由表和策略。哪个应用进入哪条线路，故障时按什么顺序切换。策略应与合同中的站点和用途对应。
再查隧道端点。境内设备与哪些 IP 建立会话，这些地址归谁，云账户由谁控制。端点变化要按日期保存。
随后做流量验证。访问企业私网、指定 SaaS 和普通境外网站时，分别经过什么路径。测试应使用合法授权的环境，不要为了取证擅自扫描或进入他人系统。
控制流量和业务流量要分别观察。设备联系控制器的请求不能替代业务数据路径。DNS、认证、遥测和日志上传也可能走不同线路。
故障切换需要单独测试。在主线路断开后，数据从哪条接口出去，是否进入未登记的境外网关。测试结果应保留时间、配置版本和操作人。
最后把技术结果翻译成合同语言。底层线路供应者、跨境出口、用户范围和终点用途，都要能在合同或授权文件中找到。技术报告只写隧道正常和链路可用，无法回答经营边界。
费用应当沿着设备、软件、运维和传送分别归集
SD-WAN 订单常把多个项目合成一笔月费。经营数额审查若把全部收入直接当成跨境电信业务收入，可能忽略真实的软件和设备价值。供应商把全部收入都记成软件费，也可能遮住持续传送服务。
设备费用可以看采购发票、资产编号和交付数量。一次性软件许可可由授权期限、版本和功能说明支持。控制平台订阅对应站点管理和策略下发。运维费应有工单与人员投入。
底层线路费要对应上游账单、站点和带宽。供应商在上游价格之外收取差价，或者把多个客户放入共享资源池，应继续核对许可和转售授权。
跨境网关费若随流量、带宽或地区增加，可能反映传送服务。单纯云服务器成本与向客户提供跨境连接仍有区别。服务器费回答资源花了多少钱，客户费回答供应商卖了什么。
退款和停服期间需要核减。客户因线路不能使用获得退款，订单状态与银行流水应对应。内部充值、代理结算和终端付款也要避免重复计算。
软件、设备和线路捆绑销售时，可以参考独立报价、同类客户合同和实际成本拆分。没有独立价格，不能任意挑一个有利比例。鉴定或审计应公开拆分依据，并允许当事人核对原始数据。
进入非法经营罪审查以后仍要逐项完成构成判断
电信业务经营许可管理办法明确规定，经营电信业务应依法取得经营许可证。电信条例和相关规则也管理国际通信业务、国际出入口与专线使用。发现供应商超范围经营或使用不合规线路，可能先产生行政责任。
刑法第二百二十五条要求违反国家规定、非法经营、扰乱市场秩序和情节严重。案件不能用产品叫 VPN 或 SD-WAN 代替这些要件。也不能用一次线路配置错误直接替代持续经营行为。
行为类型要先确定。供应商是出售设备和软件，提供网络托管，代理有资质经营者销售服务，还是自行向客户提供国际数据传送。不同业务对应的许可和证明路径不同。
主观认识也要分岗位。销售人员看到产品名称，未必知道底层出口。网络架构师设计多租户境外网关，掌握的信息可能更多。公司负责人批准按带宽收费，财务人员按单入账，个人行为和认识需要分别查明。
数额要对应涉嫌非法经营的部分。设备销售、合法软件许可和真实运维收入有证据支持时，应从整体合同中辨认。正常收入不能因为与线路捆绑就全部失去性质。
市场危害也要有材料。客户数量、线路规模、持续时间、上游资源使用和监管处置，都可能影响情节判断。最高检公开研究强调，适用非法经营罪兜底条款应有明确法律依据和相当社会危害性，不能把一般行政违法直接当作犯罪。
企业被调查后应保留能重建数据路径的材料
第一类材料是网络图和版本。保存原始拓扑、设备配置、路由策略、控制器备份和变更记录。每份材料注明导出时间和软件版本。
第二类材料是线路文件。国内宽带、MPLS、IP-VPN 和国际专线分别对应合同、账单、服务编号与上游经营者。不要只留集成商总报价。
第三类材料是云资源。境内外网关的云账户、实例、IP、付款和管理员日志，可以说明节点由谁控制以及何时运行。
第四类材料是用户和站点。客户企业、分支机构、设备序列号、账号和授权人员应能对应。测试站点、停用站点与正式站点分开。
第五类材料是资金和订单。每份订单拆出设备、许可、运维和线路服务。付款、退款、代理结算和上游成本按同一期间整理。
第六类材料是工单。设备故障、策略下发、线路拥堵、出口切换和扩容申请，会说明供应商日常究竟维护什么。
第七类材料是电子数据的来源。后台导出方式、操作人员、哈希值和时区应保留。截图要带上下文，路由和抓包文件要能与测试设备对应。
数据路径可能随策略自动变化。企业应避免只做一张静态图。把主线路、备用线路和历史变更按日期排列，才能解释某个阶段的数据从哪里走。
搜索者常问的具体问题
SD-WAN 跨境组网会被认定为 VPN 经营吗
SD-WAN 是技术和产品名称，结论取决于真实交付。供应商只提供设备、软件和运维，底层跨境线路由客户从有资格经营者处取得，网络服务于企业内部站点，通常应按实际业务分别审查。供应商自行提供跨境出口、共享境外网关并持续向客户收取带宽或站点费用，经营跨境电信服务的特征会增强。
有国内 IP-VPN 许可证能做跨境 SD-WAN 吗
不能直接推出。工信部门公开办事材料明确要求国内 IP-VPN 经营者不得经营或变相经营国际 IP-VPN 业务。跨境部分需要继续核对国际业务资格、线路来源和国际通信出入口。
用公共互联网建立企业跨境隧道一定违法吗
不能只凭底层写公共互联网得出结论。应核对谁建立隧道、连接哪些企业站点、是否内部使用、供应商提供什么服务，以及跨境通信是否符合监管要求。面向多家客户提供境外公网出口，与单一企业连接自有站点的事实不同。
SD-WAN 供应商只是代理运营商线路会有风险吗
需要查看代理授权、上游经营资格、客户登记和费用。代理销售本身不表示供应商可以改变线路用途、切分资源或超出许可范围经营。
控制器在境外是否说明全部流量都跨境
不能。控制器可能只承载策略和状态信息。要通过路由、隧道端点和流量记录确认用户数据是否经过控制器或境外网关。
主线路合规，备用云节点会影响结论吗
会影响实际路径判断。备用节点只要真实承载过跨境数据，就应核对来源、用途和控制人。自动切换不能让这段路径从审查中消失。
SD-WAN 合同全部收入都会算非法经营额吗
不能机械全部计入。设备、合法软件许可、真实运维和涉嫌跨境传送服务应按证据拆分。拆分依据包括独立报价、采购成本、工单和上游账单。
企业采购 SD-WAN 前最应要求供应商提供什么
至少要求完整网络拓扑、底层线路提供者、许可证业务种类和覆盖范围、跨境出口说明、上游授权、故障切换路径，以及设备和平台的控制权限清单。
审查结束时，应当能把一个数据包讲完整
产品页面上的 SD-WAN 可以覆盖很多技术组合。法律审查要把组合拆开。员工电脑发出数据，边缘设备识别应用，控制器下发策略，覆盖隧道选择底层线路，跨境数据经过国际出口，最后到达企业系统或公网。
每一步都能找到提供者、控制人、合同和费用，项目性质才有依据。任何一段长期写着由合作伙伴提供，却找不到许可证和上游合同，都是需要继续追查的地方。
企业采购这类服务时，可以要求供应商现场演示三条路径。访问境内网站怎样走，访问境外企业系统怎样走，主线路断开以后又怎样走。演示结果和书面方案一致，后面的合规管理才有基础。
主要参考资料
- 工信部关于外贸企业办公自用跨境联网的公开答复
- 工信部关于清理规范互联网网络接入服务市场的通知
- 电信业务经营许可管理办法
- 工信部门公布的电信业务分类目录与许可办事材料
- 工信部门关于国内互联网虚拟专用网业务准入要求的公开说明
- 国际通信出入口局管理办法
- MEF 关于 SD-WAN 服务属性的技术标准
- IETF 关于 SD-WAN 覆盖连接和底层网络的公开技术材料
- 最高人民检察院关于审慎适用非法经营罪兜底条款的研究文章
本文用于一般法律信息交流，不替代对具体 SD-WAN 架构、合同和案件材料的法律意见。