零成本自建企业级SD-WAN！用Panabit手搓iWAN实战

我们前面提到过，最开始了解到Panabit，是因为他的SD-WAN产品（误以为是外国货？这家国产SD-WAN神器竟能免费白嫖，附Panabit免费版体验全记录）；现在发现，其SD-WAN的技术基础是iWAN，那肯定要研究一下iWAN。

按照官网介绍，iWAN可以分为3种角色：iWAN服务端、iWAN客户端和iWAN管理端，对应SD-WAN网络中的POP、CPE与控制器三种角色。其中iWAN服务端和iWAN客户端均可以通过Panabit来实现，而iWAN管理端则一般使用PanaCloud云平台。PanaCloud云平台负责管理所有CPE与POP点设备，对所有设备进行统一运维，包括隧道配置下发、整网拓扑管理、隧道状态维护等。这么看来，抛开PanaCloud云平台，我们用Panabit应该也能手搓一个简易SD-WAN网络。

从配置页面来看，iWAN位于虚拟专网分类下，那一定程度上讲，iWAN也是VPN隧道；既然如此，建立隧道肯定需要IP地址，那网络模式肯定是要使用网关模式。

比较有意思的是，Panabit还支持应用商店，这里有一个【拓扑图构建】的应用，我们就用它来画一下本次实验的拓扑图。

对于iWAN来说，设备角色分为服务端和客户端，本次实验中，我们期望将Panabit1配置为服务端，将Panabit2配置为客户端。

首先，我们要完成两台Panabit的上线配置，服务端Panabit1的网络配置如下：    

客户端Panabit2的网络配置如下：

客户端需要能够访问到服务端的WAN口IP地址，在客户端侧使用系统自带的网络检测工具探测一下服务端是否可达。    

接下来，我们先配置iWAN服务端。在【虚拟专网】下的【iWAN服务】中的【服务列表】页签，点击【添加】按钮，弹出【添加iWAN服务】对话框，配置很简单，需要补充服务器名称、服务器网关、认证方式和地址池等信息。    

这里，我们首先要找到地址池配置。在【对象管理】下的【账号管理】模块，切换到【组织架构】页签，这里显示的地址池都是空的，应该不能使用。

点击【添加用户组组】，我们创建一个给iWAN服务用的用户组iWAN，看上去跟配置openVPN的服务端有点像（在Ubuntu系统手撸一个自动搭建openVPN服务端的SHELL脚本）。    

对应本地认证的认证方式，我们还要点击【添加本地账号】来创建一个iWAN客户端账号。这个配置还挺丰富，可以限制账号的有效期、同时在线用户数、绑定IP等信息，就是不知道如果允许3个客户端同时在线时绑定IP地址还有效吗？    

配置完地址池和本地账号之后，回到【iWAN服务】页面，完成服务端的创建。    

细心观察的话，可以看到后面还有一个【服务映射】的页签，创建好iWAN服务之后，这里自动将8000端口映射到了刚创建的iWAN服务上。

确认了一下，iWAN服务默认使用UDP端口8000，通过服务映射是不是可以同时启用多个iWAN服务了？

到这里，iWAN服务端就搭建好了，我们继续配置iWAN客户端。在客户端Panabit2的WEB页面，在【虚拟专网】下的【iWAN客户端】模块，点击【添加】来创建一个iWAN客户端。    

这里填入跟服务端匹配的服务器IP、服务器端口、iWAN账号和密码，令人意外的是，这里的加密竟然是个可选项，还支持二层转发。先使用默认配置，剩下的后面再测试。

提交之后，iWAN客户端上线成功，并且获取到了指定的IP地址10.13.1.3。

这时候，我们就能使用iWAN客户端测试iWAN服务端是否可达了。    

测试通过之后，就可以在【路由/NAT】模块中添加iWAN客户端和服务端之间的内网路由了。首先是iWAN服务端一侧，必填项是策略序号、源/目地址和执行动作。    

如果是目的路由，仅填入目的地址即可，如果同时填入源目地址，那就是策略路由了；执行动作选择【路由】，路由线路选择【iWAN】，下一跳填入iWAN客户端的IP地址。

对应的，完成iWAN客户端侧的路由配置。    

此时，在两端的内网主机上进行测试，是无法互通的。差了官方的配置手册，经过多次测试验证，发现这个系统比较奇葩，竟然需要手工添加直连路由；也就是说，Panabit作为内网的网关，他可以直接访问局域网内的终端，但是没有路由条目，如果其他设备要访问进来，还得单独添加到LAN侧的路由。    

我就说，怎么追踪路径，发现请求流量没有转发到内网，而是直接扔到了WAN接口上。

此时再进行测试，就能正常互通了。    

但貌似也不太正常，为什么呢？分明中间过了隧道，为啥显示一跳就到了？

***推荐阅读***

误以为是外国货？这家国产SD-WAN神器竟能免费白嫖，附Panabit免费版体验全记录

Panabit竟能无缝整合Ubuntu？用5MB升级包在Ubuntu极速安装Panabit

从崩溃到3G带宽！Panabit三种部署模式性能实测，这个坑千万别踩

48核+96GB内存！EVE-NG 6.2低配版安装实录，网络工程师必看！

告别重装！Ubuntu 22.04直升24.04教程，零数据丢失的终极方案

小白也能玩转VPP！Ubuntu 24.04使用APT极速部署VPP

CentOS迁移指南：在Ubuntu上从零编译部署VPP+DPDK，解锁Ubuntu网络性能！

从单网卡到全局，3种方法教你精准拿捏Ubuntu的IPv6

IPv6隧道搭建指南：用WireGuard轻松玩转IPv4/IPv6混合网络

基于IPv6配置openVPN实战：告别双栈难题，一步打通IPv6隧道！

无需公网IPv4！手把手教你配置基于IPv6的WireGuard安全隧道

手把手教你玩转IPv6 PPPoE：Ubuntu拨号+VSR服务器配置全解析

运营商不会告诉你的秘密：企业级路由器能通过多拨叠加带宽，轻松跑满千兆！

目前来看，ollama量化过的DeepSeek模型应该就是最具性价比的选择

哪怕用笔记本的4070显卡运行DeepSeek，都要比128核的CPU快得多！