混合场景有两个问题需要考虑和解决：

1.路由问题

上互联网的流量需要走默认路由，而VPN出口有时候只可以访问总部的内网资源，需要把这些流量路由从SD-WAN接口组里分离开来，这是一个比较难处理的点。

解决办法1：写明细路由可以解决，写明细的默认路由和明细的VPN流量，需要SD-WAN调度的流量全部通过SD-WAN规则去匹配然后根据算法选择出接口。

解决办法2：VPN的部分选择使用写明细路由，上互联网的默认路由可以利用SD-WAN接口成员组中的接口下配置“priority”属性，将VPN接口的属性调整为100，这样SD-WAN的默认路由将不会将流量转发到VPN隧道上去。将路由分离开来，然后再用SD-WAN规则去匹配相应的流量进行调度。（下面会演示这一种方式的SD-WAN部署）

2.策略问题

上互联网的策略需要做SNAT，而VPN的流量大部分场景下不需要做NAT，策略也需要将这两种流量区分开来，这是例外一个需要解决的点。

解决办法：需要定义内网的IP地址对象，通过策略明细的匹配出VPN的流量，并不做NAT，将此策略放置于最前面，优先继续匹配处理，而上互联网的策略则至于SD-WAN的最后面，优先处理VPN流量不做NAT，而上互联网的流量则最后匹配做SNAT，这样的方式将二者分离开来。

拓扑图：

分支在上一个章节“VPN&MPLS场景”上增加了一个PPPOE的互联网出口，互联网为双出口、VPN1、VPN2、MPLS，五个出接口全部加入到SD-WAN接口成员里面：

分支FGT增加PPPOE的配置：

命令行调整 VPN1/VPN2/VPN3接口的路由优先级：

路由的部分已经解决。

现在来处理策略的部分，去往VPN的流量是不需要做SNAT的，而去互联网的流量是需要做SNAT的。

先添加IP地址对象，定义分支本地的IP地址网段和总部服务器IP地址网段：

先配置VPN业务网段的策略，放置于最前面：

 

策略问题也顺序解决！

配置SD-WAN健康检查：

一个去往总部服务器的 VPN1/VPN2/MPLS接口的健康检查。

通过SD-WAN检查检测可以知道各个出口的具体质量情况。

接下来就是按照各自的业务需求配置SD-WAN规则了：

需求1：去往总部网段的服务器 Server 172.16.10.200 UDP 9090业务需要满足SLA目标 延迟200ms、丢包1%，同时需要按照cost优先走MPLS（Port13）、VPN2、VPN1这样的出口顺序。

按照需求我们选择：Lowest Cost（SLA）方式进行SD-WAN负载

调整VPN1/VPN2/MPLS的接口Cost值，MPLS cost 为 100、VPN2 cost为200、VPN3 cost的为300

这样Lowest Cost（SLA）将会按照接口cost的顺序 优先选择MPLS（port13）、VPN1、VPN2进行选择，同时都需要满足SLA目标值。

查看SD-WAN规则选择结果：

制造MPLS接口 延迟为250ms超过SLA目标值200ms，查看SD-WAN规则出口的切换：

查看相关流量的出接口变化：

需求2：Microsoft-Office365的业务需要强制走WAN1出去，其他去往互联网的流量进行默认的源IP负载均衡即可。

按照需求我们需要选择“Manual（手动选路）”来强制Microsoft-Office365走固定IP的出口WAN1

SD-WAN规则调用了Office相关的应用程序和Internet服务注意事项：

业务测试结果：

其他互联网将会按照默认路由进行源IP的负载均衡处理。