阿里云专有网络VPC对接使用完全指南：从基础连接到混合云互联

1. VPC基础概念与核心组件

专有网络VPC是阿里云上用户独享的私有网络空间，与传统数据中心中的局域网类似，用户可以在VPC内自由定义IP地址范围、划分网段、配置路由表和网关。每个VPC都拥有独立的隧道号，不同VPC之间隧道号不同，天然实现了二层逻辑隔离。VPC是地域级别的资源，不同地域的VPC默认无法直接通信。

一个完整的VPC由三个核心组件构成：

• 路由器（vRouter）：VPC的网络枢纽，负责连接VPC内的各个交换机，也是VPC连接其他网络的网关设备。
• 交换机（vSwitch）：组成VPC的基础网络设备，用于连接云资源实例如ECS、RDS等。
• 私网网段：在创建VPC时需要以CIDR地址块形式指定，决定了VPC内可分配的IP数量。

需要先登录阿里云控制台，点击：阿里云控制台

2. VPC创建与网络规划

2.1 通过控制台创建VPC

登录专有网络VPC控制台后，在顶部菜单栏选择目标地域，点击创建专有网络。配置VPC名称、IPv4网段（推荐使用RFC 1918私有地址如192.168.0.0/16、10.0.0.0/8等），可选择启用IPv6或添加用户侧网段。同时可创建一个或多个交换机，指定其所属可用区及子网CIDR（必须属于VPC网段）。创建成功后系统自动分配VPC ID、虚拟路由器和默认路由表。

2.2 CIDR地址规划原则

CIDR网段选择直接影响网络的扩展性和互通能力。阿里云VPC支持RFC 1918标准私网网段：10.0.0.0/8（约1677万IP）、172.16.0.0/12（约104万IP）、192.168.0.0/16（约6.5万IP），也支持自定义私网地址段。网段掩码长度建议设置在16到28位之间。

规划时应遵循三个核心原则：

• 为每个VPC分配足够大的CIDR块以预留未来扩展空间
• 不同VPC网段绝对不能重叠，否则跨VPC互通时会引发路由冲突
• 混合云场景下VPC网段必须与本地数据中心网段错开

2.3 交换机多可用区设计

交换机是VPC内的子网划分单元，同一VPC内不同交换机之间默认内网互通。为实现高可用容灾，建议至少使用两个交换机并部署在不同可用区。当某个可用区发生故障时，其他可用区的实例可继续提供服务。此外，应按业务模块划分交换机，如Web层、应用层、数据层分别部署在不同子网中，实现业务隔离与权限管控。

3. 路由表与安全组配置

3.1 路由表管理

创建VPC后系统自动生成一张系统路由表并添加系统路由来管理VPC流量。用户可创建自定义路由表并与特定交换机绑定，实现更精细的流量管理。VPC对等连接创建后需在两端VPC路由表中添加自定义路由条目，下一跳指向对等连接实例。NAT网关配置时需为每个NAT网关创建子网路由表并关联出站服务器所在交换机，配置默认路由。

3.2 安全组配置

安全组是VPC中最重要的访问控制手段之一，充当虚拟防火墙的角色。安全组仅能在所属的VPC下使用，在创建ECS实例时，指定的虚拟交换机和安全组必须属于同一个VPC。ECS实例或者弹性网卡可以关联一个或多个安全组，但必须至少关联一个。配置安全组时应遵循最小权限原则，仅开放业务必需的端口和协议。

3.3 网络ACL（访问控制列表）

网络ACL是一种为VPC提供网络层流量控制的免费安全服务，通过设置入方向和出方向规则，可实现子网级别的无状态访问控制。网络ACL相较于安全组更加前置，入方向流量先用网络ACL过滤掉非法流量，有助于节省后面的处理资源。建议将网络ACL与安全组结合使用，构建分层防护体系。

4. VPC对内互联方案

4.1 VPC对等连接

不同VPC默认网络隔离，无法互通。通过创建对等连接，并为两端VPC分别配置路由，可以实现VPC私网互通。对等连接功能支持同账号/跨账号、同地域/跨地域VPC互连，配置前请确保两端VPC的网段不重叠。

配置流程：

• 前往专有网络控制台 - VPC对等连接，在页面上方选择VPC所在的地域，单击创建对等连接
• 根据两端VPC实例所属的账号和地域，选择接收端账号类型和接收端地域类型
• 同账号VPC：系统会自动接受请求并建立连接
• 跨账号VPC：需要使用接收端账号前往控制台接受连接请求
• 双向路由配置：为两端VPC分别配置指向对端VPC的路由

选型建议：VPC对等连接适用于2个VPC点对点直连场景；若涉及3个及以上VPC，推荐采用转发路由器TR方式。VPC对等连接不具备路由传递能力。

4.2 云企业网CEN

云企业网CEN是阿里云提供的一款覆盖全球的网络互联产品，可实现VPC、VBR、云服务等网络实例之间的互联互通。当需要互联的VPC数量超过3个，或者需要跨地域互联时，云企业网是更优的选择。

配置要点：

• 创建云企业网实例
• 将VPC分别连接到其所属地域的转发路由器TR
• 跨地域场景需购买带宽包并为地域间分配带宽
• 在转发路由器之间建立跨地域连接

多云环境下，可通过将VPC与专线网关ECR均连接至转发路由器TR，结合BGP动态路由实现全网高效互联。

5. VPC对外互联方案

5.1 NAT网关实现公网访问

阿里云NAT网关分为两种类型：公网NAT网关和VPC NAT网关。公网NAT网关可以绑定弹性公网IP（EIP）实现公网访问，适用于VPC内ECS实例访问互联网或对外提供服务的场景。VPC NAT网关不支持绑定EIP，主要用于私网地址转换。

配置流程：

• 创建公网NAT网关并绑定EIP
• 配置SNAT条目：将VPC内的私网IPv4地址转换为EIP，实现多服务器共享EIP访问公网
• 配置DNAT条目：将内网服务暴露到公网

5.2 VPN网关构建混合云

VPN网关提供IPsec-VPN和SSL-VPN两种连接方式。IPsec-VPN适用于站点到站点的连接，可将本地数据中心或其它云与阿里云VPC连接。SSL-VPN适用于个人设备（笔记本电脑、手机）接入VPC。

配置流程：

• 创建VPN网关实例
• 创建用户网关，将本地网关设备的公网IP注册到阿里云
• 创建IPsec连接并配置
• 在VPC内配置指向IDC侧的路由

高可用设计：可使用专线为主、IPsec-VPN为备的混合组网架构。当专线故障后，自动切换至VPN备链路，降低单链路故障导致的业务中断风险。

5.3 高速通道专线接入

高速通道（Express Connect）通过物理专线在本地数据中心IDC和云上VPC之间建立高速、稳定、安全的私网通信通道。与通过公网传输的VPN方案不同，高速通道的数据传输过程完全在物理层隔离，可信可控。

核心组件：

• 物理专线连接：从本地机房到阿里云接入点的专用物理线路
• 边界路由器VBR：连接物理专线与阿里云网络的关键逻辑组件
• 专线网关ECR：全球混合云专线组网的转发服务组件

配置要点：VBR支持静态路由和BGP动态路由两种配置方式。建议使用BGP作为专线互联协议，使用BFD增加BGP协议的收敛时间。

6. PrivateLink私网连接

PrivateLink为跨账号、跨VPC的服务提供了安全、灵活且高可用的私有网络连接。作为服务使用方，无需配置NAT网关、对等连接或云企业网等复杂组件，即可访问部署在其他VPC中的服务。

两个核心角色：

• 服务提供方：在自己的VPC中创建终端节点服务，并将后端的负载均衡实例关联为服务资源
• 服务使用方：在自己的VPC中创建终端节点，指定要连接的终端节点服务名称

终端节点创建后，PrivateLink会在使用方VPC的指定可用区内创建弹性网卡并分配私网IP，这些IP会被聚合成一个默认的服务域名。使用方VPC内的ECS实例通过访问该域名或弹性网卡IP即可访问服务。

客户价值：

• 私网安全访问：所有流量均通过私有网络传输，无需暴露于互联网
• 简化网络架构：无需配置对等连接或云企业网
• 解决IP地址冲突问题

7. 共享VPC多账号管理

共享VPC允许将VPC的交换机在多账号间进行共享，不用为每个账号单独配置VPC，极大减少了VPC的使用数量，降低多账号场景下的网络运维复杂度。

配置流程：

• 使用资源目录管理多账号
• 创建共享单元，添加需要共享的VPC资源和资源使用者
• 选择要共享的VPC所属地域

8. 自动化配置示例

8.1 使用Terraform创建VPC

resource "alicloud_vpc" "example" {
  vpc_name   = "example-vpc"
  cidr_block = "10.0.0.0/16"
}

resource "alicloud_vswitch" "example" {
  vpc_id     = alicloud_vpc.example.id
  cidr_block = "10.0.1.0/24"
  zone_id    = "cn-hangzhou-g"
}

8.2 使用Terraform创建VPC对等连接

resource "alicloud_vpc_peer_connection" "example" {
  vpc_peer_connection_name = "example-peer"
  vpc_id                   = "vpc-xxxxx"
  accepting_vpc_id         = "vpc-yyyyy"
  accepting_region_id      = "cn-shanghai"
}

8.3 使用阿里云CLI创建VPC

aliyun vpc CreateVpc \
  --RegionId cn-hangzhou \
  --CidrBlock 10.0.0.0/16 \
  --VpcName "example-vpc"

8.4 使用阿里云CLI创建交换机

aliyun vpc CreateVSwitch \
  --ZoneId cn-hangzhou-g \
  --CidrBlock 10.0.1.0/24 \
  --VpcId vpc-xxxxx \
  --VSwitchName "example-vswitch"

9. 网络监控运维与故障排查

9.1 监控与告警

建议配置以下监控项：

• VPC流量监控
• 专线带宽使用率
• VPN连接状态
• NAT网关流量

9.2 故障排查方法

• 使用路径分析功能：分析过程不发送真实数据包，不会影响业务运行
• 检查路由表配置：确认自定义路由条目是否正确添加
• 验证安全组规则：确认所需端口是否已开放
• 使用容灾演练确定故障检测和恢复能力

10. 常见问题解答

问1：VPC对等连接和云企业网CEN有什么区别？如何选择？

答：VPC对等连接适用于2个VPC点对点直连场景，配置简单，同地域内免费。云企业网CEN适用于3个及以上VPC互联或跨地域互联场景，支持路由传递和更复杂的网络拓扑。如果未来业务可能扩展，建议直接使用云企业网。

问2：VPC网段规划时需要注意什么？

答：网段掩码长度建议16到28位。不同VPC网段不能重叠。混合云场景下VPC网段必须与本地数据中心网段错开。建议为每个VPC分配足够大的CIDR块以预留扩展空间。

问3：NAT网关的SNAT和DNAT有什么区别？

答：SNAT（源地址转换）实现VPC内无公网IP的ECS访问互联网。DNAT（目的地址转换）将内网服务暴露到公网。两者可以同时配置在同一NAT网关上。

问4：PrivateLink和对等连接有什么区别？

答：对等连接需要两端VPC路由可见，且要求网段不重叠。PrivateLink不需要双方路由可见，通过服务名称进行连接，从根本上解决了IP地址冲突的问题。

问5：混合云场景下，专线和VPN如何选择？

答：专线提供高带宽、低延迟、高安全性的连接，适合对网络质量要求极高的业务，但施工周期较长（1-3个月）。VPN部署快速、成本较低，但网络质量受公网影响。建议核心业务使用专线，可搭配VPN作为备份链路。

问6：如何实现VPC内ECS访问互联网但不想分配公网IP？

答：使用公网NAT网关并配置SNAT条目。创建公网NAT网关并绑定EIP，然后配置SNAT规则，将VPC内的私网IP转换为EIP进行公网访问。这样多个ECS可以共享一个EIP访问互联网，既节省成本又便于统一管理出口IP。