混合云互联方案

让云上云下互联带宽够、有冗余、路由可控、能快速切换。本技能给出从选型、带宽测算、双链路冗余、IPsec/BGP 参数规划到路由收敛、故障切换验证的完整可执行链路。

一、核心原理

混合云互联是在云 VPC 与线下数据中心之间建立安全、可控、有冗余的通信通道，常见三种方式：

• IPsec VPN：跑在公网上，加密隧道，成本低、开通快，但受公网质量影响（时延/抖动）。
• 专线（Direct Connect / Express Connect）：运营商独占物理链路，低时延、高质量、高成本，需数周开通。
• 云联网（CCN / Transit Gateway）：多 VPC + 线下全网状互联的中枢，路由可传递。

flowchart LR
    DC[线下数据中心] -->|主链路 专线| CVR[云虚拟网关/云联网]
    DC -->|备链路 IPsec VPN| CVR
    CVR --> VPC1[生产 VPC]
    CVR --> VPC2[灾备 VPC]
    DC -->|BGP 路由通告| CVR

• 双链路冗余：主用专线 + 备用 VPN，物理路径分离，主故障自动切换。
• BGP：动态路由，自动收敛；AS 规划用私有 AS 号（64512~65534），避免冲突。

二、参考架构（专线主 + VPN 备，BGP 双活）

flowchart TB
    subgraph 线下
      R1[核心路由器<br/>AS 65001]
    end
    subgraph 云
      VG[云虚拟网关<br/>云侧 AS 65000]
      VG --> VPC[VPC 10.0.0.0/16]
    end
    R1 -->|主：专线 VLAN 101| VG
    R1 -->|备：IPsec VPN over 公网| VG
    R1 <-->|BGP| VG

配套 ASCII 冗余链路图（用于方案文档）：

 线下数据中心                          云上 VPC
 ┌──────────────┐                  ┌────────────────┐
 │ 核心路由器     │   专线(主,低时延)   │  云虚拟网关      │
 │ AS 65001     │══════════════════►│  AS 65000      │
 │              │  IPsec VPN(备)    │                │
 │              │─ ─ ─ ─ ─ ─ ─ ─ ─►│        │       │
 └──────────────┘   (走公网,加密)    └────────┼───────┘
                                              │
                                        ┌─────▼─────┐
                                        │  VPC 子网  │
                                        │ 10.0.0.0/16│
                                        └───────────┘
  BGP 路由通告：线下 172.16.0.0/12 ⇄ 云上 10.0.0.0/16

三、关键参数决策表

3.1 互联方式对比（真实数值）

3.2 IPsec 参数推荐（真实数值）

3.3 BGP / AS 规划

四、分步 SOP

1. 带宽测算：按峰值与增长测算专线/VPN 带宽，留余量。
2. 链路冗余：两条物理路径分离的链路（主专线 + 备 VPN）。
3. IPsec 参数：跑 ipsec_param_validator.py 校验加密/认证/DH 参数强度。
4. BGP/AS 规划：确定两侧 AS 号与通告网段，仅通告必要网段。
5. 冲突排查：云上线下网段无重叠（见 net-vpc-design）。
6. 切换验证：断开主链路，验证自动切换与收敛时间。
7. 加密与合规：跨域传输满足合规要求（跨境需评估）。

五、真实配置示例

5.1 IPsec VPN（strongSwan，线下侧）

# /etc/ipsec.conf
conn cloud-vpn
    keyexchange=ikev2
    left=203.0.113.10          # 线下公网 IP
    leftsubnet=172.16.0.0/12   # 线下网段
    right=198.51.100.20        # 云 VPN 网关公网 IP
    rightsubnet=10.0.0.0/16    # 云上 VPC 网段
    ike=aes256-sha256-modp2048!
    esp=aes256-sha256!
    auto=start

5.2 阿里云 VPN 网关（云侧，概念）

# 创建 VPN 网关 + IPsec 连接（Console/API 等价）
aliyun vpc CreateVpnGateway --VpcId vpc-xxx --Bandwidth 100 \
  --VpnGatewayName hybrid-vpn
# IPsec 连接参数：IKEv2 / AES-256 / SHA256 / DH14

5.3 专线 + BGP（云虚拟网关，概念）

! 线下核心路由器 BGP 配置（思科 IOS-XE 风格）
router bgp 65001
  neighbor 169.254.0.2 remote-as 65000   ! 云侧虚拟网关
  network 172.16.0.0 mask 255.240.0.0    ! 仅通告线下必要网段
  neighbor 169.254.0.2 route-map OUT out
!
route-map OUT permit 10
  match ip address prefix-list ADVERTISE

> 完整可填空互联参数模板见 assets/ipsec-template.txt，参数详解见 references/hybrid-connectivity-parameters.md。

六、验证方法与达标阈值

# IPsec 参数校验
python ipsec_param_validator.py --ike ikev2 --enc aes-256 --auth sha256 --dh 14 --psk "xK9#mP2$vL8@qR5&wT3!"
# VPN 隧道状态（strongSwan）
ipsec status
# 专线 BGP 邻居
show ip bgp summary

七、常见故障排查表

> 更多案例见 references/hybrid-connectivity-troubleshooting.md。

八、输出规范

交付时应产出：互联架构图与带宽测算表、选型对比表、IPsec 参数清单、BGP/AS 规划与通告策略、故障切换测试记录、加密与合规说明、中断应急预案。

九、边界与风险

• 单条专线不算冗余，必须有物理路径分离的第二条（通常备 VPN）。
• 路由全通告会造成泄漏风险，必须收敛为必要网段。
• 数据跨境需做合规评估，加密与审计要求随行业不同。

配套资源

• 参数手册：references/hybrid-connectivity-parameters.md
• 配置对照：references/hybrid-connectivity-configs.md
• 故障案例库：references/hybrid-connectivity-troubleshooting.md
• 数据基线：assets/connectivity-comparison-baseline.csv
• 互联模板：assets/ipsec-template.txt
• 脚本：scripts/ipsec_param_validator.py（IPsec 参数校验器）
• 配套检查清单：《混合云互联方案清单》