阿里云专有网络VPC对接使用完全指南：从基础连接到混合云互联

1. VPC基础概念与核心组件

专有网络VPC是阿里云上用户独享的私有网络空间，与传统数据中心中的局域网类似，用户可以在VPC内自由定义IP地址范围、划分网段、配置路由表和网关。每个VPC都拥有独立的隧道号，不同VPC之间隧道号不同，天然实现了二层逻辑隔离。VPC是地域级别的资源，不同地域的VPC默认无法直接通信。

一个完整的VPC由三个核心组件构成。路由器是VPC的网络枢纽，负责连接VPC内的各个交换机，也是VPC连接其他网络的网关设备。交换机是组成VPC的基础网络设备，用于连接云资源实例如ECS、RDS等。私网网段在创建VPC时需要以CIDR地址块形式指定，决定了VPC内可分配的IP数量。

需要先登录阿里云控制台，点击：阿里云控制台

2. VPC创建与网络规划

2.1 通过控制台创建VPC

登录专有网络VPC控制台后，在顶部菜单栏选择目标地域，点击创建专有网络。配置VPC名称、IPv4网段（推荐使用RFC 1918私有地址如192.168.0.0/16、10.0.0.0/8等），可选择启用IPv6或添加用户侧网段。同时可创建一个或多个交换机，指定其所属可用区及子网CIDR（必须属于VPC网段）。创建成功后系统自动分配VPC ID、虚拟路由器和默认路由表。

2.2 CIDR地址规划原则

CIDR网段选择直接影响网络的扩展性和互通能力。阿里云VPC支持RFC 1918标准私网网段：10.0.0.0/8（约1677万IP）、172.16.0.0/12（约104万IP）、192.168.0.0/16（约6.5万IP），也支持自定义私网地址段。网段掩码长度建议设置在16到28位之间。规划时应遵循三个核心原则：为每个VPC分配足够大的CIDR块以预留未来扩展空间；不同VPC网段绝对不能重叠，否则跨VPC互通时会引发路由冲突；混合云场景下VPC网段必须与本地数据中心网段错开。

2.3 交换机多可用区设计

交换机是VPC内的子网划分单元，同一VPC内不同交换机之间默认内网互通。为实现高可用容灾，建议至少使用两个交换机并部署在不同可用区。当某个可用区发生故障时，其他可用区的实例可继续提供服务。此外，应按业务模块划分交换机，如Web层、应用层、数据层分别部署在不同子网中，实现业务隔离与权限管控。

3. 路由表与安全组配置

3.1 路由表管理

创建VPC后系统自动生成一张系统路由表并添加系统路由来管理VPC流量。用户可创建自定义路由表并与特定交换机绑定，实现更精细的流量管理。VPC对等连接创建后需在两端VPC路由表中添加自定义路由条目，下一跳指向对等连接实例。NAT网关配置时需为每个NAT网关创建子网路由表并关联出站服务器所在交换机，配置默认路由条目将访问公网流量引向NAT网关。

3.2 安全组规则配置

安全组是VPC中的虚拟防火墙，用于控制进出云资源的网络流量。配置安全组时应遵循最小权限原则，只允许必要的端口和协议。入方向规则控制外部访问实例的流量，出方向规则控制实例对外访问的流量。安全组规则支持按IP地址、IP段、安全组、前缀列表等多种方式设置源或目标。生产环境中应将不同角色的实例（如Web服务器、应用服务器、数据库）放入不同安全组，分别配置严格的访问控制策略。

4. VPC互联方案

4.1 VPC对等连接

VPC对等连接是两个VPC之间建立的直接网络连接，使两个VPC内的资源可以通过私网IP地址直接通信。前往专有网络控制台的VPC对等连接页面，根据两端VPC实例所属的账号和地域选择接收端账号类型和接收端地域类型。创建对等连接后必须在两端VPC的路由表中添加指向对方VPC网段的自定义路由条目。对等连接配置的静态路由优先于云企业网的动态路由。

4.2 云企业网CEN

云企业网是阿里云提供的一款全球网络互联产品，可实现跨地域VPC、VBR之间的私网互通。创建云企业网实例后，将需要互联的VPC分别连接到其所属地域的转发路由器，并在转发路由器之间建立跨地域连接。CEN会自动学习分发已连接网络实例的路由，无需手动配置。相比VPC对等连接，CEN更适合多VPC、多地域的复杂互联场景。

5. VPC公网访问方案

5.1 NAT网关配置

NAT网关是VPC内ECS实例访问公网或对外提供服务的核心组件。阿里云NAT网关分为公网NAT网关和VPC NAT网关两种类型。公网NAT网关绑定弹性公网IP后提供SNAT和DNAT两大功能。SNAT让VPC内多个无公网IP的ECS共享一个或多个EIP访问互联网。DNAT允许公网用户通过NAT网关绑定的EIP和指定端口访问VPC内ECS的服务。

配置公网NAT网关的典型步骤：在各出站服务器所在可用区创建交换机和NAT网关，绑定EIP并配置SNAT规则；为每个NAT网关创建子网路由表并关联出站服务器所在交换机，配置默认路由条目将访问公网流量引向NAT网关。单个EIP提供的SNAT端口数量有限，当会话数量过多时建议增加EIP数量。

5.2 弹性公网IP绑定

弹性公网IP是独立的公网IP地址资源，可动态绑定到ECS实例、NAT网关、负载均衡等云资源。通过Terraform可将EIP绑定至弹性网卡或ECS实例。对于需要固定公网IP的单一服务，直接绑定EIP是最简单的方式；对于多台ECS共享公网出口的场景，应使用NAT网关的SNAT功能。

6. 混合云连接方案

6.1 VPN网关

VPN网关通过IPsec-VPN将本地数据中心与VPC加密连接起来。VPN网关默认包含两个网关实例形成主备双机热备，主节点故障时自动切换到备节点。创建VPN网关实例时需要关联VPC并指定两个不同可用区的交换机，用于建立双隧道IPsec-VPN连接以实现可用区级容灾。IPsec-VPN配置的第一步是创建VPN网关实例。SSL-VPN则支持个人电脑或移动设备通过客户端软件安全接入VPC。

6.2 高速通道专线

高速通道物理专线可在本地IDC和阿里云之间建立高质量、高可靠的内网通信通道。通过租用运营商专线将本地数据中心连接到阿里云接入点，建立专线连接。物理专线接入网络质量好、带宽高，适合对网络质量有高要求的场景。配置流程包括申请物理专线端口、完成本地设备到阿里云接入点的物理连接、创建边界路由器VBR、配置路由等步骤。专线网关ECR与转发路由器TR结合BGP动态路由可实现全网高效互联。

7. 高级特性与最佳实践

7.1 共享VPC多账号管理

共享VPC允许企业将VPC的交换机在资源目录内的多个账号间共享。通过资源共享服务，可将一个账号下的VPC交换机资源共享给一个或多个目标账号使用。这极大减少了VPC的使用数量，降低了多账号场景下的网络运维复杂度。资源所有者创建共享单元并添加需要共享的VPC资源和资源使用者，资源使用者即可查看和使用共享的交换机。

7.2 PrivateLink私网连接

PrivateLink为跨账号、跨VPC的服务提供安全、灵活且高可用的私有网络连接。服务使用方无需配置IPv4网关、NAT网关、转发路由器等组件，即可使VPC或本地数据中心与部署在其他VPC中的服务进行通信。

7.3 网络ACL与安全组分层防护

网络ACL是VPC子网级别的无状态访问控制服务，目前免费使用。流量进入VPC会先到达交换机，网络ACL相比安全组和云防火墙更加前置。入方向流量先经网络ACL过滤非法流量，有助于节省后续处理资源。安全组则是有状态的实例级防火墙。两者结合可形成从子网到实例的分层防御体系。

8. 自动化配置实践

8.1 Terraform配置VPC

Terraform是基础设施即代码的常用工具。以下示例展示如何通过Terraform创建VPC、交换机和绑定EIP。

resource \"alicloud_vpc\" \"main\" {\n  vpc_name   = \"my-vpc\"\n  cidr_block = \"10.0.0.0/16\"\n}\n\nresource \"alicloud_vswitch\" \"main\" {\n  vpc_id     = alicloud_vpc.main.id\n  cidr_block = \"10.0.1.0/24\"\n  zone_id    = \"cn-hangzhou-g\"\n}\n\nresource \"alicloud_eip\" \"main\" {\n  bandwidth = \"5\"\n}\n\nresource \"alicloud_eip_association\" \"main\" {\n  allocation_id = alicloud_eip.main.id\n  instance_id   = alicloud_instance.main.id\n}

8.2 阿里云CLI配置VPC

阿里云CLI提供命令行方式管理VPC资源。创建VPC的命令示例：

aliyun vpc CreateVpc --RegionId cn-hangzhou --CidrBlock 10.0.0.0/16 --VpcName my-vpc

创建交换机：

aliyun vpc CreateVSwitch --ZoneId cn-hangzhou-g --CidrBlock 10.0.1.0/24 --VpcId vpc-xxxxx

创建VPC对等连接：

aliyun vpc CreateVpcPeerConnection --Name my-peering --VpcId vpc-aaaaa --AcceptingVpcId vpc-bbbbb --AcceptingRegionId cn-shanghai

9. 监控运维与故障排查

9.1 网络监控

阿里云提供网络智能服务NIS辅助实现网络质量可视化、网络流量可视化和网络运维可视化。通过VPC控制台的流量镜像功能可复制网络流量进行安全分析。云监控服务可对VPC内的网络指标设置告警规则，及时发现异常。

9.2 常见故障排查

SNAT无法访问公网时，检查NAT网关是否已绑定EIP、SNAT规则是否配置正确、路由表中是否有指向NAT网关的默认路由。DNAT无法被公网访问时，检查DNAT条目配置的端口映射是否正确、安全组是否允许对应端口的入站流量。VPC对等连接不通时，检查两端VPC路由表中是否已添加指向对方网段的自定义路由条目。VPN连接失败时，检查VPN网关状态、IPsec配置参数（预共享密钥、加密算法等）是否与本地设备一致。

10. 总结

阿里云专有网络VPC提供了完整的云上网络构建能力。从基础的VPC创建、网段规划、交换机划分，到路由表与安全组配置，再到VPC对等连接、云企业网实现VPC互联，NAT网关实现公网访问，VPN网关和高速通道实现混合云连接，构成了企业级云上网络的完整技术栈。共享VPC简化多账号管理，PrivateLink实现跨VPC私网服务访问，网络ACL与安全组形成分层防护体系。合理的网络规划、规范的配置管理和持续的监控运维，是保障VPC网络稳定安全运行的关键。

常见问题解答

问：VPC创建后能否修改CIDR网段？
答：VPC创建后主网段不支持修改。但可以通过添加附加IPv4网段来扩展网络范围。因此建议在创建时预留足够的IP地址空间。

问：VPC对等连接和云企业网CEN有什么区别？
答：VPC对等连接适用于两个VPC之间的简单互联，需手动配置路由。云企业网CEN适合多VPC、多地域的复杂互联场景，支持自动路由学习与分发。对等连接的静态路由优先级高于CEN的动态路由。

问：VPC内的ECS如何访问互联网？
答：有三种方式：为ECS直接绑定弹性公网IP；通过NAT网关的SNAT功能让多台ECS共享EIP访问公网；通过IPv4网关配置路由实现公网访问。生产环境推荐使用NAT网关方式，既节省公网IP又便于统一管理。

问：本地数据中心如何连接到阿里云VPC？
答：有两种主流方案。VPN网关通过IPsec-VPN建立加密连接，成本较低、部署快捷。高速通道物理专线提供高质量、高带宽的内网通道，适合对网络质量要求高的场景。两者也可组合使用实现主备链路的高可用架构。

问：安全组和网络ACL有什么区别？
答：网络ACL作用于交换机级别，是无状态的子网流量控制。安全组作用于实例级别，是有状态的防火墙。网络ACL在流量进入VPC时更前置处理，两者结合可形成从子网到实例的分层防护。

问：如何实现多账号下的VPC网络统一管理？
答：可通过共享VPC功能将VPC的交换机在资源目录内的多个账号间共享。也可将不同账号的VPC加入同一个云企业网实例实现跨账号VPC互通。两种方式结合可构建多账号环境下的统一网络架构。