第4章网络互联互通

4. 网络互联互通：VPC对等连接、云专线、VPN网关、跨云DNS解析方案

跨云协同，说白了就是让不同云上的资源能“说上话”。

我刚开始做多云项目时，最头疼的就是网络。两个VPC之间隔着一道墙，数据传不过去，业务就转不起来。今天咱们聊聊怎么把这堵墙打通。

4.1 VPC对等连接：最简单的互联方式

VPC对等连接，就是让两个VPC直接通信。像两个邻居之间开了扇门。

我个人习惯用它做同区域、同账号的VPC互联。配置简单，延迟低，还不用额外花钱。

核心要点：

两个VPC的CIDR不能重叠
需要配置路由表，指向对端VPC
安全组和网络ACL要放行对应流量

举个例子，我在阿里云上有两个VPC，一个跑前端服务，一个跑数据库。用对等连接一配，前端直接访问数据库内网IP，延迟不到1ms。

# 阿里云VPC对等连接配置示例
# 创建对等连接
aliyun vpc CreateVpcPeerConnection \
  --VpcId vpc-uf6o8d2dj4sj4x1qn5q1z \
  --PeerVpcId vpc-uf6o8d2dj4sj4x1qn5q2z \
  --PeerRegionId cn-hangzhou

# 添加路由
aliyun vpc CreateRouteEntry \
  --RouteTableId vtb-uf6o8d2dj4sj4x1qn5q1a \
  --DestinationCidrBlock 172.16.0.0/16 \
  --NextHopType VpcPeer \
  --NextHopId pcc-uf6o8d2dj4sj4x1qn5q1b

注意：跨区域的对等连接不支持。如果你要连不同区域的VPC，得用云企业网或者专线。

4.2 云专线：稳定可靠的物理连接

云专线，就是拉一根物理光纤，从你的机房直连到云上。

我曾经帮一家金融客户做混合云，业务要求99.99%的可用性。VPN根本扛不住，最后上了专线。嗯，效果立竿见影，延迟稳定在2ms以内。

对比项	云专线	VPN
带宽	最高100Gbps	通常1Gbps以内
延迟	稳定，<1ms	波动大，5-20ms
可靠性	99.99%	99.9%
成本	高	低

配置专线时，我建议你注意这几点：

先跟运营商确认物理线路可达
配置BGP动态路由，避免手动维护路由表
做冗余链路，一条断了另一条自动接管

4.3 VPN网关：灵活的低成本方案

VPN网关，适合预算有限或者临时需要互联的场景。

说白了，就是在公网上建一条加密隧道。我做过一个跨国项目，AWS和阿里云之间就用VPN互联。虽然延迟高了点，但胜在便宜，一个月才几百块。

我的经验：VPN网关的配置其实不难，但要注意IPsec参数的一致性。我遇到过好几次两边参数对不上，隧道死活建不起来。

# AWS VPN配置示例
# 创建客户网关
aws ec2 create-customer-gateway \
  --type ipsec.1 \
  --public-ip 203.0.113.12 \
  --bgp-asn 65000

# 创建VPN连接
aws ec2 create-vpn-connection \
  --type ipsec.1 \
  --customer-gateway-id cgw-12345678 \
  --vpn-gateway-id vgw-87654321

4.4 跨云DNS解析方案

网络通了，还得让服务能找到彼此。这就靠DNS了。

跨云DNS解析，我常用的方案有三种：

自建DNS服务器：在云上部署BIND或CoreDNS，做递归解析
云厂商DNS服务：比如阿里云PrivateZone、AWS Route53 Resolver
混合方案：自建DNS做转发，云厂商DNS做权威

我个人推荐第三种。为什么呢？

你想想看，自建DNS灵活，但维护成本高。云厂商的DNS稳定，但跨云解析时可能不支持。混合方案取长补短，既灵活又稳定。

避坑指南：我曾经在阿里云和腾讯云之间做DNS解析，发现两边默认的DNS服务器互相不认。后来我在阿里云上部署了一个CoreDNS，配置了转发规则，指向腾讯云的PrivateZone。问题就解决了。

# CoreDNS配置示例
.:53 {
    # 本地解析
    kubernetes cluster.local in-addr.arpa ip6.arpa {
        pods insecure
        fallthrough in-addr.arpa ip6.arpa
    }
    
    # 转发到腾讯云PrivateZone
    example.com {
        forward . 10.0.0.2:53
    }
    
    # 转发到阿里云PrivateZone
    aliyun.internal {
        forward . 100.100.2.136:53
    }
    
    # 公网解析
    forward . 8.8.8.8 114.114.114.114
}

4.5 整体架构图

下面这张图，展示了跨云网络互联的核心逻辑。

这张图里，阿里云和腾讯云通过VPN隧道互联，同时DNS服务之间做了转发。这样，两个VPC里的资源既能网络互通，又能通过域名互相访问。

总结一下：

同区域VPC互联，用对等连接，简单高效
混合云场景，上专线，稳定可靠
临时或预算有限，用VPN，灵活便宜
跨云服务发现，靠DNS，别忘了配转发

好了，网络互联这块就聊到这儿。记住，没有最好的方案，只有最适合你的方案。选型时多想想业务需求、预算和运维能力，别盲目追求高大上。

公众号:蓝海资料掘金营，微信deep3321

📚 课程目录

4. 网络互联互通：VPC对等连接、云专线、VPN网关、跨云DNS解析方案

4.1 VPC对等连接：最简单的互联方式

4.2 云专线：稳定可靠的物理连接

4.3 VPN网关：灵活的低成本方案

4.4 跨云DNS解析方案

4.5 整体架构图