阿里云-VPC网络架构设计.pdf

潘志新 阿里云 云网络高级解决 方案专家 自主规划 IP 子网和路由 网络可视化实现快速排障 连接内外网及服务伙伴 不同 VPC 之间网络完全隔离，防火墙引流 VPC -A Region -A 10.0.0.0/24 10.0.1.0/24 Available zone -1 Available zone -2 ECS 2408:4005:200:2b01::/64 • • • 10.0.2.0/24 private subnet 172.16.0.0/24 private subnet SLB ECS ENI ECS public subnet HAVIP • • • • • • VPC -B VPC Peering Transit -Router Region -B Transit -Router VPC VBR VPC On -Premises IPv4/IPv6 GW internet NATGW Interface Endpoint privatelink Endpoint Service VPC SLB • • VPC flow log SLS logstore Traffic Mirroring Source Target 10.0.2.0/24 subnet On -Premises extended VPC -A OSS ç VPC A VPC B 对等连接 Internet IPv4 网关 Public vSwitch Public vSwitch Private vSwitch Private vSwitch NAT 网关 ECS VPN 网关 VPC C 终端节点服务 私网连接 OSS 网关终端节点 ECS 公网 云服务 私网 VBR 专线 接口终端节点 On -premises TR VBR 专线 On -premises IPv6 网关 20 13 -201 7 VPC & VPC PEER 连接互通 201 7 -202 1 CEN 让 组网 更简单 202 1 - Transit Router 让 网络 更简单，让功能更强大 VPC 10.0.0.0/16 Public vSwitch1 10.0.1.0/24 Private vSwitch2 10.0.2.0/24 vSwitch1 10.0.1.0/24 10.0.2.0/24 100.64.0.0/10 0.0.0.0/0 IPv4gw -123 vSwitch2 10.0.1.0/24 10.0.2.0/24 100.64.0.0/10 VPC 10.0.0.0/16 vSwitch 10.0.2.0/24 EIP IPv4 网关 /IPv6 网关 EIP • ECS 绑定 EIP 即可访问公网，不受路由限制 • VPC 缺省访问公网的方式，操作简单体验佳 • 公网集中控制，公网网关作为公网流量集中控制点 • ingress routing ，公网入 VPC 方向流量引流防火墙 SLB SLB Endpoint • 终端节点类型： 1 ）接口终端节点 2 ）反向终端节点 3 ）网关终端节点 • 支持通过安全组和 NACL 控制 Endpoint ENI 的访问策略 ENI • 通过 SLB （ CLB/NLB/ALB ）提供标准的内网服务能力 • SLB 挂多可用区 RS 实现的多可用区高可用 • 能够获取客户端源 IP 、 VPC 等信息 Endpoint Service VPC A vSwitch 1 NAT 网关 ECS SLS vSwitch Flowlog 流量分析 & 监控 合规 & 审计 网络问题排查 • 采集报文特征信息（五元组） • 1 ， 5 ， 10 分钟多钟采集间隔 • 适用流量监控，日志留存，流量统计 ENI/SLB 镜像流量 业务流量 筛选 条件 筛选 条件 ECS ECS ENI ENI 镜像源 公网入侵检测：自研或三方软件 检测公网出入报文。 网络排障：针对传输报文的深度 分析，例如丢包、重传、乱序等 用户运维 • 采集报文全量数据（包含传输内容） • 采集实时流量 • 适用深度报文检测和流量审计 功能规划：子网路由 /IPv6/ 防火墙 架构规划： VPC 内组网 /VPC 间组网 安全规划：安全组 /NACL/ 公共 VPC 互联网服务区 接入层子网 接入层子网 SLB VSwitch EIP NAT 共享流量包 共享带宽 VRouter 云防火墙 +DDos+WAF 运维管理区 运维管理子网 安全管理子网 SLB VSwitch VSwitch 业务 A 区 应用层子网 中间件子网 数据库子网 SLB VRouter VSwitch VSwitch 业务 B 区 应用层子网 中间件子网 数据库子网 SLB VRouter VSwitch VSwitch 云企业网转发路由器 VBR 总部 /IDC VBR 专线 VRouter IP 规划： VPC 地址 /16 ； vsw 地址 /24 THANKS