通过云专线和云连接实现云下多IDC与云上多区域VPC互通_云连接 CC_最佳实践_华为云

(1)

云连接

最佳实践

文档版本 01

发布日期 2022-01-30

(2)

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

商标声明

和其他华为商标均为华为技术有限公司的商标。

本文档提及的其他所有商标或注册商标，由各自的所有人拥有。

注意

您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或暗示的声明或保证。

由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。

(3)

1 跨区域 VPC 互通

应用场景

某公司的北京分部和香港分部需要进行私网通信和数据传输，华为云给出的解决方案是通过云连接，将北京和香港两个区域的VPC建立连接，使得两地的数据中心网络可以互访，同时可无障碍的访问VPC之上的业务系统。具体实现方式可参考图1-1。

图1-1 跨区域 VPC 互通

方案设计

配置步骤概述 1. 跨境申请 2. 创建云连接实例 3. 加载网络实例 4. 购买带宽包 5. 配置域间带宽

6. 查看路由信息验证相关配置

表1-1 资源信息表

区域 VPC 子网自定义网段

北京-北京四 VPC-01 subnet-1(192.168.

1.0/24) 192.168.44.0/24 云连接

最佳实践 1 跨区域 VPC 互通

(5)

区域 VPC 子网自定义网段中国-香港 VPC-e725 subnet-

e730(192.168.0.0/

24)

192.168.11.0/24

前提条件

跨境申请步骤1 线下资料准备

1. 登录管理控制台。

2. 在系统首页，选择“网络 > 云连接”。

3. 在左侧导航栏中选择“云连接 > 跨境申请管理”。

4. 进入跨境申请管理页面，单击“下载跨境资质申请资料模板”。

5. 打印《华为云连接服务跨境专线业务服务协议》、《跨境业务办理授权书》、

《中国联通专线业务信息安全承诺书》，填写对应的内容，并加盖企业公章。

6. 在线上跨境申请时需要提交营业执照盖章扫描件、经办人身份证盖章扫描件、

《华为云连接服务跨境专线业务服务协议》签字盖章扫描件、《跨境业务办理授权书》盖章扫描件、《中国联通专线业务信息安全承诺书》签字盖章扫描件等。

步骤2 线上跨境申请

1. 登录管理控制台。

2. 在系统首页，选择“网络 > 云连接”。

3. 在左侧导航栏中选择“云连接 > 跨境申请管理”。

4. 进入跨境申请管理页面，单击“跨境申请”。

5. 在跨境申请页面中，填写对应的企业信息和经办人信息，并上传营业执照盖章扫描件、经办人身份证盖章扫描件、《跨境业务办理授权书》盖章扫描件、《华为云连接服务跨境专线业务服务协议》签字盖章扫描件、《中国联通专线业务信息安全承诺书》签字盖章扫描件。

6. 单击“提交”。

提交之后跨境申请的状态为“审核中”，审核需要1个工作日，当状态为“已授权”时，显示跨境申请完成。

----结束

操作步骤

1. 创建云连接实例 a. 登录管理控制台。

b. 在服务列表中，选择“网络＞云连接”。

c. 在左侧导航，选择“云连接＞云连接实例”。

d. 单击“创建云连接”。

e. 如图1-2所示输入相关信息，单击“确定”，创建云连接。

云连接

(6)

图1-2 创建云连接

2. 加载网络实例

a. 选择已创建的云连接实例“cloudconnect-001”，单击名称进入网络实例页面。

b. 单击“加载网络实例”。

c. 按照表1-2填写对应参数后，单击“确定”。

表1-2 加载网络实例参数

参数说明取值

帐号加载的网络实例的帐号类

型。

这里选择同帐号。

同帐号

区域需要连接的VPC所在区域。北京-北京四中国-香港实例类型虚拟私有云（VPC）/虚拟

网关（VGW）

需要加载到云连接实例中实现互通的实例类型。

这里选择虚拟私有云

（VPC）。

虚拟私有云

（VPC）

VPC 需要加载到云连接实例中实

现网络互通的VPC名称。

当实例类型选择虚拟私有云时，需要配置此参数。

北京：VPC-01 香港：VPC-e725 云连接

(7)

参数说明取值 VPC CIDRs 需要加载到云连接实例中实

现网络互通的VPC内的网段路由。

当实例类型参数选择虚拟私有云时，需配置以下两个参数：

● 子网

● 其他网段：其中包含自定义网段的配置

子网：

北京：subnet-1(192.168.

1.0/24) 香港：subnet- e730(192.168.0.0/

24)

其他网段：

北京：192.168.44.0/24 香港：192.168.11.0/24

图1-3 加载网络实例

d. 在弹出加载成功的对话框中单击“继续加载”，按照表1-2填写对应参数后，

单击“确定”，完成网络实例加载。

3. 购买带宽包

云连接默认跨区域互通带宽为10kbps，仅用于测试连通性。为了实现相同大区不同区域或不同大区之间的互通，用户需要先购买带宽包，绑定到对应的云连接实例中，并配置域间带宽以保证业务正常使用。

a. 在服务列表中，选择“网络 > 云连接”。

b. 在左侧导航栏，选择“云连接 > 带宽包管理”。

c. 进入带宽包管理页面，单击“购买带宽包”。

云连接

(8)

d. 在购买带宽包页面中，根据表1-3填写对应参数，单击“立即购买”。

表1-3 购买带宽包参数

参数说明取值

计费模式包年/包月

用户根据需要选择购买时长，按照年或月为单位进行购买。

包年/包月

带宽包名称带宽包的名称。

长度为1~64个字符，只支持数字、字母、中划线、下划线、

点。

bandwidthPackge-804 7

计费方式按宽带计费按宽带计费

互通类型互通大区的类型。

支持大区内互通/跨大区互通大区内互通指配置域间带宽的区域在同一个大区内。

跨大区互通指配置域间带宽的区域在不同的大区内。

跨大区互通

互通大区需要实现互通的区域，即配置域间带宽时涉及的区域。

中国大陆亚太带宽带宽是所有基于该带宽包配置的

域间带宽总和，请根据网络情况提前做好规划。

单位Mbit/s。

5

购买时长按照用户需求，选择对应的购买时长。

可支持自动续费。

1个月

企业项目企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。

default

云连接实例选择需要绑定的云连接名称。

支持绑定/暂时不绑定。

绑定

e. 在订单确认页面再次确认购买带宽包的信息，单击“去支付”。

f. 单击“确认付款”。

在带宽包列表中可查看带宽包信息，如果“状态”为“正常”，表示购买成功。

4. 配置域间带宽

a. 登录管理控制台。

云连接

(9)

b. 在服务列表中，选择“网络 > 云连接”。

c. 在左侧导航，选择“云连接＞云连接实例”。

d. 在云连接列表中，单击已创建的云连接实例名称，进入云连接实例详情页面。

e. 在云连接实例详情页面中，单击“域间带宽”页签。

f. 在域间带宽页签中，单击“配置域间带宽”，按照表1-4填写对应参数。

表1-4 配置域间带宽参数

参数说明取值

互通区域需要实现互通的区域名称。

请选择两个需要互通的区域。

华北-北京四中国-香港带宽包云连接绑定的带宽包 bandwidthPackg

e-8047（中国大陆-亚太）

带宽两个区域实现互通的带宽。

所有基于该带宽包配置的域间带宽总和不超过带宽包的带宽，请预先做好规划。

5Mbit/s

g. 单击“确定”，完成配置。

配置完域间带宽后，北京四和香港就可以进行正常通信。

5. 云连接配置完成后，可通过查看路由信息验证相关配置。

云连接

(10)

2 基于云连接服务实现跨区域多 VPC 互通

背景

默认情况下，在不同区域的虚拟私有云（VPC）内资源需要互通，一般可以通过弹性公网IP（EIP）或虚拟专用网络（VPN）来实现，但两个服务都基于公网Internet，前者不稳定而且数据未加密，存在泄密风险，后者数据被IPSec加密，安全上有保证，但仍然会因为Internet不稳定而导致通信不稳定，许多跨区域的多虚拟私有云（VPC）互通的业务，都需要安全，稳定，高性能，高可靠的网络，云连接服务能够满足用户这一诉求。用户可以创建云连接实例，然后在该云连接实例中加载需要互通的各区域的 VPC，通过购买不同类型的带宽包并配置域间带宽，来实现不同区域之间的VPC互通。

操作场景

假设用户在华为云华东区域创建了两个VPC，分别有两个子网，同时，在华为云香港区域以及南非区域也分别各部署了一个VPC。出于在各个区域上部署的业务需要，各个区域的VPC需要高性能，高可用，低时延的互通网络。在这种场景下，我们可以通过云连接来实现跨区域多VPC互通。基于云连接服务实现跨区域多VPC互通的典型应用场景如图2-1所示。

云连接

最佳实践 2 基于云连接服务实现跨区域多 VPC 互通

(11)

图2-1 跨区域多 VPC 互通典型应用场景（逻辑互联示意）

在配置云连接时，需要注意通过云连接实现跨区域互通的各个VPC：

● 其子网的IP地址不能重叠或冲突。

● 现存的路由条目，包括因VPC Peering，云专线和VPN等服务所增加的路由条目，

不能与加入云连接后的子网路由产生冲突。

前提条件

● 已创建好需要跨区域互通的虚拟私有云（VPC）以及子网。

● 请确保帐号中有足够余额以完成云连接服务带宽包的购买。

● 在本最佳实践的互通场景下，华为云华东区域内的VPC需要分别与香港区域的VPC 以及南非区域的VPC互通，该场景属于中国大陆跨境场景。因此在进行带宽包购买之前，根据工信部等相关规定，我们需要先向云连接服务的跨境专线服务提供商——中国联通提供相应的申请材料以申请跨境资质，确保合规跨境。

说明

如果您的场景不涉及中国大陆跨境场景（例如中国大陆内多区域互通或中国大陆境外多区域互通），请忽略该条件。

配置步骤

步骤1 跨境资质申请

1. 要启动跨境资质申请，请先进入云连接服务控制台，选择“跨境申请管理”子页面。

云连接

(12)

图2-2 跨境申请管理

2. 在该页面，查看跨境申请的步骤图，获取要完成跨境资质申请所需要的三个步骤。单击“下载”或“下载跨境资质申请资料模板”，下载申请跨境资质所需的文档模板以及示例。

图2-3 下载跨境资质申请资料模板

3. 在按照下载后的文档模板和示例准备好相应申请资料后，单击“申请跨境”按钮，启动跨境资质申请所需的信息录入和文档上传。

图2-4 跨境资质申请信息录入和文档上传 云连接

(13)

4. 在完成信息录入和用印文件上传后，单击“提交”，等待跨境专线运营商审核，

审核周期为一个工作日。

步骤2 创建云连接实例 1. 登录管理控制台。

2. 在“服务列表”下拉菜单里，选择“网络＞云连接”。

图2-5 进入云连接服务

3. 在云连接服务管理控制台首页，单击“创建云连接”，开始创建云连接实例。

4. （可选）在弹出的“创建云连接”对话框中，输入云连接实例的名称以及描述。

图2-7 参数设置 云连接

(14)

3 通过云专线和云连接实现云下多 IDC 与云上多区域 VPC 互通

操作场景

本实践指导用户通过配置云专线和云连接，将多个数据中心网络连接起来，打通用户本地数据中心网络，实现云下多IDC与云上多区域VPC互通。

应用场景如图3-1所示。

图3-1 逻辑互联示意图 云连接

最佳实践

3 通过云专线和云连接实现云下多 IDC 与云上多区域 VPC 互通

(19)

说明

在配置云连接时，需要注意通过云连接实现跨区域互通的各个VPC：

● 其子网的IP地址不能重叠或冲突。

● 现存的路由条目，包括因VPC Peering，云专线和VPN等服务所增加的路由条目，不能与加入云连接后的子网路由产生冲突。

前提条件

● 已拥有华为云帐号，并且华为云帐号已实名认证。

● 华为云帐号未欠费，且有足够金额购买本最佳实践所涉及的资源（包括物理连接、云连接服务带宽包、弹性云服务器等）。

● 确定专线接入点地址并完成运营商工勘。详细请参见准备工作。

● 已创建好需要跨区域互通的虚拟私有云（VPC）以及子网。

● 云下IDC机房已配置好云上所有VPC的子网。

配置步骤

步骤1 配置云专线

1. 购买物理连接。

a. 登录云专线控制台。

b. 在系统首页，单击管理控制台左上角的，选择区域和项目。

c. 在系统首页，单击管理控制台左上角的，选择“网络 > 云专线”。

d. 在左侧导航栏，单击“云专线 > 物理连接”。

e. 在物理连接页面，单击 “创建物理连接”。

f. 根据界面提示，在物理连接购买页面配置机房地址、华为云接入点、物理连接端口等信息，详细请参考表3-1。

表3-1 购买物理连接参数

区域物理连接开通的区域。

用户可以在管理控制台左上角或购买页面切换区域。

华南-广州

物理连接名称物理连接名称（可自定

义）。 dc-cc

华为云接入点物理连接接入点的位置。

广州-黄埔-华新园

运营商提供物理连接的运营

商。

中国电信云连接

最佳实践

(20)

端口类型物理连接接入接口的类

型。目前可以选择 1GE、10GE、40GE、

100GE。

1GE

专线带宽物理连接的带宽大小，

请在下拉框中选择对应的带宽。仅作为运营商接入带宽描述。

1000Mbit/s

您的机房地址客户填写机房地址，可精确到楼层。例如上海市沣东区华京路xx号xx 楼xx机房。

-

描述客户可以对物理连接添

加备注信息。

-

计费模式专线服务付费方式，目

前仅支持包年/包月方式付费。

-

购买时长购买专线服务的时长。 5个月

自动续费自动续费时长与购买时

长相同。

例如：用户购买时长为三个月，当勾选该项后，将自动续费三个月，以此类推。

5个月

企业项目企业项目是一种云资源

管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。

default

联系人姓名/手机/

Email 客户可以在此提供客户侧专线负责人信息。

注意：如不提供负责人信息，将只能通过帐号信息查询，会增加需求确认时长。

张三

中国 13912345678 [email protected]

g. 单击“立即购买”。

h. 确认订单信息，单击“去支付”。

i. 单击“确认付款”。

2. 开始物理连接接入。

a. 支付完成后，返回物理连接列表界面。选择已购买的物理连接资源，单击

“申请LOA”，根据界面提示填写施工计划和机房LOA相关信息。

云连接最佳实践

(21)

b. 单击“确认”，提交LOA申请单，等待华为云审核。待审核期间，您可以查看LOA申请单相关信息。

c. LOA审核通过后，进入运营商施工阶段。单击“下载LOA”，保存LOA到本地并打印，按照LOA授权书联系您的专线提供运营商，凭授权书进入华为云机房入场施工。

d. 运营商完成接线后，单击“完工报竣”。进行完工报竣操作前，您需要向运营商获取运营商线路编码、机房楼内线缆标签。

e. 完工报竣后，进入华为云施工阶段。华为工程师会根据客户信息将专线对接到华为云的网关端口。

f. 华为云施工完成后，物理连接状态更新为“确认施工完成”，单击“确认施工完成”。

g. 在弹窗中单击“确认”，物理连接状态更新为“正常”，完成物理连接接入。

说明

对于申请LOA、入场施工和华为云施工等环节涉及与机房运营商协调，时效可能会受到节假日和政策封网等特殊情况的影响。

3. 创建虚拟网关

通过创建虚拟网关，关联用户需要访问的VPC。

d. 在左侧导航栏。选择“云专线＞虚拟网关”。

e. 在虚拟网关页面，单击“创建虚拟网关”。

f. 根据界面提示输入相关参数，详细请参考表3-2。

(22)

图3-2 创建虚拟网关

表3-2 虚拟网关参数

名称虚拟网关名称。

字符长度为1~64。

vgw-dc-cc

虚拟私有云在下拉框中选择虚拟网关所

关联的虚拟私有云。 VPC-GuangZhou 本端子网需要与本地网络实现互通的

VPC网段。 192.168.1.0/24 192.168.3.0/24 192.168.5.0/24

描述虚拟网关描述。

字符长度中文为0~64，英文为0~128。

-

说明

此处需要添加需要与IDC互通的所有区域的VPC网段，确保云上和云下互通。

g. 单击“确定”。

当所创建的虚拟网关状态列为“正常”时，完成虚拟网关的创建。

(23)

4. 创建虚拟接口

创建了物理连接和虚拟网关后，可通过创建虚拟接口，接入用户需要访问的 VPC。

d. 在左侧导航栏，选择“云专线＞虚拟接口”。

e. 在虚拟接口页面，单击“创建虚拟接口”。

f. 根据界面提示输入相关参数，详细请参考表3-3。

图3-3 创建虚拟接口

表3-3 虚拟接口参数

区域物理连接开通的区域。用户可以在管理控制台左上角或购买页面切换区域。

华南-广州

名称虚拟接口名称。

字符长度为1~64。

vif-dc-cc

物理连接选择可用的物理连接。 dc-cc 虚拟网关选择可用的虚拟网关。 vgw-dc-cc 云连接

最佳实践

(24)

参数说明取值样例 VLAN 虚拟接口的VLAN。

标准专线的虚拟接口的VLAN 由用户配置。

托管专线的虚拟接口的VLAN 会使用运营商或合作伙伴为托管专线分配的VLAN，用户无需配置。

25

default

带宽虚拟接口带宽，单位为 Mbit/s。虚拟接口带宽不可以超过物理连接带宽。

500

本端网关华为云侧网络接口互联的IP

地址。 192.168.4.2/30 远端网关客户本地数据中心侧网络的

互联的IP地址。

远端网关与本端网关需要设置为同一网段的IP地址，一般使用30位掩码。

192.168.4.1/30

远端子网客户数据中心的子网和子网掩码。多个远端子网时，请以逗号隔开。

172.16.1.0/24

路由模式路由模式：静态路由/BGP 双线或者后期有冗余专线接入请选择BGP模式。

BGP

BGP邻居AS号 BGP邻居自治系统的标识。

取值范围是1-65535，除 64512由华为云保留使用。

当路由模式为BGP时，需要设置此参数。

12345

BGP邻居MD5

值 BGP邻居的MD5值即BGP密码，该参数不允许输入空格和中文，区分大小写。

当路由模式为BGP时，可设置此参数，两侧网关参数需保持一致。

12345678 云连接

最佳实践

(25)

参数说明取值样例描述可自定义虚拟接口的相关描

述。

字符长度中文为0~64，英文为0~128。

-

g. 单击“提交”，当所创建的虚拟接口状态列为“正常”时，完成虚拟接口的创建。

h. 虚拟接口创建完成，即可打通客户IDC1与云上VPC1之间的网络。

客户可通过VPC1内的主机设备向云下数据中心网络主机IP地址进行ping操作，以确认网络连通。

5. 重复步骤步骤1.1到步骤1.4，配置连接IDC2与VPC2之间的云专线。

步骤2 配置云连接

b. 在系统首页，单击管理控制台左上角的，选择“网络 > 云连接”。

图3-4 选择云连接

c. 在左侧导航栏，选择“云连接＞云连接实例”。

d. 在云连接实例页面，单击“创建云连接”。

e. 根据界面提示输入相关参数，详细请参考表3-4。

(26)

表3-4 创建云连接参数

名称云连接的名称。

长度为1~64个字符，中、英文字母，数字，下划线，中划线，

点。

CloudConnect

default

描述云连接的描述。

长度为0~255个字符。

A Cloud Connect instance for demo

f. 单击“确定”，完成云连接实例的创建。

a. 在云连接实例列表中，单击实例名称“CloudConnect”，进入该云连接实例。

说明

b. 在云连接实例的详情页面，选择“网络实例”选项卡，单击“加载网络实例”。

c. 根据界面提示输入相关参数。

(27)

说明

此处由于需要和IDC机房互通，因此需要自定义路由（IDC机房的子网）。

d. 单击“确定”，完成华南区域的VPC实例加载。

e. 重复上述操作，加载华东区域的虚拟私有云VPC2。

图3-8 加载区域 VPC 到云连接实例 云连接

最佳实践

(28)

说明

在加载完成后，这两个区域的VPC网络已经基于云连接服务打通了，我们可以通过查看“路由信息”的选项卡确认当前基于云连接可以互通的各个区域的VPC路由条目。

图3-9 路由信息

3. 购买带宽包

b. 在云连接实例的详情页面，选择“带宽包”，单击“购买带宽包”。

在本最佳实践的互通场景下，我们需要打通华东区域与华南区域之间的内网互通，因此“互通类型”需要选择为“大区内互通”，“互通大区”选择

“中国大陆”，选择绑定我们已经创建好的云连接实例。

(29)

图3-11 购买带宽包 2

d. 单击“立即购买”。

说明

购买完成后，您可以在左侧导航栏中的“带宽包管理”页面找到该带宽包资源，并查询到该带宽包资源的计费模式，订单信息，已绑定的云连接信息和已用/剩余带宽，

我们可以针对该带宽包资源进行“修改带宽”、“解绑”、“续费”以及“退订”等操作。

b. 在云连接实例的详情页面，选择“域间带宽”，单击“配置域间带宽”。

(30)

互通区域分别选择“华东-上海一”与“华南-广州”，页面会自动匹配出您所购买的可以使用在该互通场景下的带宽包资源，带宽处可以输入您所需要分配在这两个区域之间的带宽，这里我们设置为1Mbit。

d. 在配置完成后，我们可以在“域间带宽”选项卡页面查看已经分配的域间带宽配置。

说明

系统默认安全组规则是入方向访问受限，请确认区域内互访资源的安全组出方向、入方向规则配置正确，保证跨区域通信正常。

步骤3 配置本地路由

● 客户本地IDC1机房需要配置去往云上华东VPC、华南VPC以及客户本地IDC2机房路由的目的网段：192.168.1.0/24，192.168.3.0/24，192.168.5.0/24。

● 客户本地IDC2机房需要配置去去往云上华东VPC、华南VPC以及客户本地IDC1机房路由的目的网段：192.168.1.0/24，192.168.3.0/24，172.16.1.0/24。

----结束

配置验证

1. 从华南区域的ECS去ping其他区域以及IDC机房的ECS。

(31)

2. 从华东Region的ECS去ping其他Region以及IDC机房的ECS。

3. 查看云连接路由信息。

(32)

(33)

4 基于云连接和 SNAT 实现跨区域内网访问公网服务器加速

操作场景

● 实现客户侧跨境传输到境外侧的网络连通性。

● 搭配VPN和云连接全连接端到端网络配置。

图4-1 场景示意

说明

● 本方案客户侧：用华为云的“华东-上海一”替代。

● 境外网络网段：8.8.8.0/24；境外唯一测试网络：8.8.8.8。

● 帐号需具备跨境权限，如果用户帐号没有跨境权限，需要将当前的VPC资源授权给具有跨境权限的帐号来创建云连接实例。

配置步骤

步骤1 创建VPC和VPC网段

创建流程请详细参考创建虚拟私有云和子网。

VPC网段请勿冲突。

● 华东-上海一：172.18.0.0/24 云连接

最佳实践

4 基于云连接和 SNAT 实现跨区域内网访问公网服务器加速

(34)

● 华北-北京四：172.16.0.0/24

● 中国-香港：172.17.0.0/24 步骤2 配置VPN

在华北-北京四和华东-上海一区域创建VPN网关和VPN连接。

创建流程请详细参考创建VPN网关和创建VPN连接。

● 华北-北京四网关和子网配置：

– 本端网段：172.16.0.0/24，172.17.0.0/24，8.8.8.0/24 – 远端网关：223.223.223.223

– 远端子网：172.18.0.0/24

● 华东-上海一网关和子网配置：

– 本端网段：172.18.0.0/24 – 远端网关：49.49.49.49

– 远端子网：172.16.0.0/24，172.17.0.0/24，8.8.8.0/24 说明

华北-北京四、华东-上海一配置VPN连接时，华北-北京四的本端网段和华东-上海一的远端子网设置必须包含外网网段8.8.8.0/24，以便可以ping通外网。

步骤3 配置云连接 1. 创建云连接。

创建流程请详细参考创建云连接。

2. 加载网络实例。

加载网络实例详细参考加载网络实例。

3. 添加自定网段。

添加自定义网段详细参考添加自定义网段。

– 华北-北京四自定义网段：172.18.0.0/24，172.16.0.0/24。

– 中国-香港自定义网段：172.17.0.0/24，8.8.8.0/24。

说明

为实现所有节点都可以端到端传输，需要添加全部的本端云连接网段。

4. 购买带宽包

购买带宽包详细参考购买带宽包。

配置域间带宽详细参考配置域间带宽。

步骤4 购买虚拟机

购买华北-北京四、华东-上海一、中国-香港区域的虚拟机。

购买流程请详细参考购买弹性云服务器。

● 华北-北京四虚拟机ECS私网地址：172.16.0.3。

(35)

● 华东-上海一虚拟机ECS私网地址：172.18.0.3。

● 中国-香港虚拟机ECS私有地址： 172.17.0.3。

步骤5 购买弹性公网IP并配置NAT网关

在中国-香港区域购买弹性公网IP，并配置NAT网关，添加SNAT规则，将以下网段添加到规则中。

购买配置流程请详细参考申请和绑定弹性公网IP和添加SNAT规则。

● 添加虚拟私有云网段：172.17.0.0/24

● 添加云专线/云连接网段：172.18.0.0/24

● 添加云专线/云连接网段：172.16.0.0/24 说明

添加SNAT配置用于连通外网，ping通远端外网网段8.8.8.0/24。

----结束

配置验证

配置完成，测试连通性。

从华东-上海一的虚拟机ping外网唯一验证网关：8.8.8.8。

(36)

5 基于云连接和 DNAT 实现跨区域公网访问内网服务器加速

操作场景

● 实现客户侧跨境传输到境内侧的网络连通性。

● 搭建DNAT和云连接实现内网服务器映射公网指定公网区域入口。

图5-1 场景示意

说明

本方案客户侧：用华为云的“华东-上海一”代替。

境外网络网段：0.0.0.0/0。

帐号需具备跨境权限，如果用户帐号没有跨境权限，需要将当前的VPC资源授权给具有跨境权限的帐号来创建云连接实例。

配置步骤

5 基于云连接和 DNAT 实现跨区域公网访问内网服务器加速

(37)

● 华东-上海一：172.16.36.0/24

● 中国-香港：192.168.120.0/24 步骤2 配置云连接

1. 创建云连接。

中国-香港自定义网段：0.0.0.0/0。

说明

为实现云连接到dnat的默认路由，需要添加0.0.0.0/0网段。

4. 购买带宽包

购买华东-上海一的虚拟机。

华东-上海一虚拟机ECS私网地址：172.16.36.220。

步骤4 购买弹性公网IP并配置和NAT网关

在中国-香港区域购买弹性公网IP，并配置NAT网关，添加DNAT规则，选择云专线/云连接选项卡进行配置。

购买配置流程请详细参考申请和绑定弹性公网IP和添加DNAT规则。

添加映射服务器地址：172.16.36.220。

说明

添加DNAT配置用于将内网服务器映射到公网，通过公网客户端访问内网服务器。

----结束

配置验证

配置完成后，测试连通性及访问相应端口。

从公网任一客户机ping DNAT绑定的EIP地址及访问EIP对应端口。

(38)

(39)

6 基于云连接和 Web 代理实现跨区域访问 Web 加速

操作场景

实现用户侧跨区域访问Web加速。

说明

场景配置所需部件：NAT网关（DNAT）、云连接、Web代理服务器。

图6-1 场景示意

说明

本方案是HTTP代理方案，仅适用基于浏览器的Web类访问。

Proxy-Client：用户windows主机配置Web代理功能，代理地址配置为亚太-新加坡的EIP公网地 址。

NAT网关：配置DNAT规则，亚太-新加坡的EIP公网地址映射到华东-上海一代理服务器ETH1网 卡地址。

云连接

最佳实践 6 基于云连接和 Web 代理实现跨区域访问 Web 加速

(40)

前提条件

● 应用场景涉及到跨境区域，帐号需具备跨境权限。

● 在实际部署中，用户需根据自己网络情况，自行搭建代理服务器。

说明

本方案代理服务器需要用户自行配置代理服务。

配置步骤

华东-上海一创建一个VPC添加两个子网。

● VPC子网1：172.16.100.0/24

● VPC子网2：172.16.101.0/24 步骤2 配置云连接

创建云连接实例，加载网络实例，添加自定义网段。

1. 创建云连接。

网络实例华东-上海一只加载步骤1创建的VPC子网2，网段172.16.101.0/24。

网络实例亚太-新加坡添加自定义网段，网段：0.0.0.0/0。

说明

为实现云连接到dnat的默认路由，需要添加0.0.0.0/0网段。

4. 购买带宽包

购买华东-上海一的虚拟机。

● ETH0：172.16.100.100。

● ETH1：172.16.101.100。

云连接

(41)

说明

虚拟机配置两张网卡，ETH0地址绑定弹性EIP地址，可以通过该地址连通互联网。

步骤4 配置代理服务器

1. 为确保路由转发正常，为华东-上海一的弹性云服务器添加策略路由。

ip rule add from 172.16.101.100 table 100 ip route add default via 172.16.101.1 table 100

2. 配置代理服务器。

用户需根据实际网络环境部署代理服务器，部署时需注意代理服务器的安全性和可靠性。

步骤5 购买弹性公网IP并配置NAT网关

1. 在华东-上海一购买弹性公网IP，代理服务器ETH0:172.16.100.100绑定公网IP。

购买配置流程请详细参考申请和绑定弹性公网IP。

2. 在亚太-新加坡区域购买弹性公网IP，配置NAT网关，添加DNAT规则，选择云专线/云连接选项卡进行配置。

购买配置流程请详细参考申请和绑定弹性公网IP和添加DNAT规则。

说明

私网IP：填写代理服务器ETH1地址，地址：172.16.101.100。

弹性公网IP：填写申请的EIP公网地址114.119.XX.XX，该地址作为Proxy_Client代理配置的地址。

代理服务器：代理服务器配置两张网卡，ETH1用于DNAT映射，ETH0用于上网。

添加DNAT配置用于将内网代理服务器映射到公网，Proxy_Client设置公网代理客户端访问内网代理服务器。

步骤6 Proxy_Client配置代理

在用户windows主机配置代理。

1. 选择Windows设置。

2. 选择“网络和Internet ＞代理＞手动设置代理”。

3. 打开“使用代理服务”开关。

4. 输入“地址”和“端口”。

云连接

(42)

图6-2 配置代理

说明

代理地址：填写DNAT绑定的公网地址114.119.XX.XX。

5. 单击“保存”。

----结束

配置验证

配置完成后，从Proxy-Client访问代理的Web网站，测试访问是否正常。

云连接

(43)

7 基于云连接跨帐号授权管理网络实例

操作场景

使用云连接实现不同帐号之间的VPC跨区域互通。

图7-1 场景示意 云连接

最佳实践 7 基于云连接跨帐号授权管理网络实例

(44)

说明

● A帐号：被授权帐号。创建云连接实例，获得由B帐号授权的VPC2并加载至云连接中。

● B帐号：授权帐号。发起授权动作，将VPC2授权给A帐号的云连接进行加载。

如果B帐号下有多个区域之间的VPC需要互通，可将需要互通的VPC都授权给A帐号的云连接进行管理。

● B帐号将VPC2授权给A帐号后，A帐号加载网络实例（VPC1和VPC2）至云连接中，实现VPC1 和VPC2互通。B帐号无需创建云连接实例、购买带宽包、配置域间带宽。

前提条件

用户需要具备授权帐号的VPC所在区域的角色权限，包括“Tenant Guest”、“VPC Administrator”、“ Cross Connect Administrator”。

例如：在当前场景中，A帐号需要具备B帐号的VPC2所在区域（华南-广州）的角色权限。

详细请参考权限管理。

配置步骤

A帐号，华东-上海一：172.16.100.0/24 B帐号，华南-广州：172.16.200.0/24 两个帐号VPC网段请勿冲突。

步骤2 创建云连接实例

使用A帐号登录创建云连接实例。

创建云连接实例流程请详细参考创建云连接。

步骤3 云连接跨帐号授权

使用B帐号登录，进行云连接跨帐号授权，将VPC2授权给A帐号。

云连接跨帐号授权请详细参考授权网络实例。

步骤4 加载网络实例使用A帐号登录：

加载B帐号网络实例（VPC2），请详细参考加载其他用户的网络实例。

加载A帐号网络实例（VPC1），请详细参考加载网络实例。

步骤5 购买带宽包

使用A帐号购买带宽包。

步骤6 配置域间带宽

使用A帐号配置域间带宽。

云连接

(45)

----结束

配置验证

配置完成后，A帐号云连接实例路由信息中可以查看跨帐号VPC子网路由信息。

查看路由信息详细参考查看路由信息。

云连接

(46)

8 基于云连接和对等连接实现云上多区域同业务 VPC 互通

操作场景

本实践指导用户通过配置VPC对等连接和云连接，实现多个区域的同业务VPC互通。

如图8-1所示，在本场景中，上海一和广州区域各有3个VPC，分为生产业务VPC、办公业务VPC、中转VPC，通过配置对等连接和云连接最终需要实现以下几点：

● 上海一的生产业务VPC与广州的生产业务VPC互通。

● 上海一的办公业务VPC与广州的办公业务VPC互通。

● 生产业务VPC和办公业务VPC不能互通。

图8-1 逻辑互联示意图

表8-1 涉及服务应用场景

云产品应用场景描述相关操作

对等连接同区域的

VPC互连对于同一区域的VPC，可以通过对等连接进行互连，同一帐号与不同帐号的连接方式略有差异。

创建同一帐户下的对等连接

创建不同帐户下的对等连接

云连接跨区域的

VPC互连对于不同区域的VPC，不区分是否同一帐号，都可以互连，跨区域连接实现全球云上网络。

跨区域VPC互通云连接

最佳实践

8 基于云连接和对等连接实现云上多区域同业务 VPC 互通

(47)

注意

配置云连接、对等连接时，通过云连接、对等连接实现跨区域互通的各个VPC，其子网的IP编址不能重叠或冲突。

前提条件

● 已拥有华为云帐号，并且华为云帐号已实名认证。

● 华为云帐号未欠费，且有足够金额购买本最佳实践所涉及的资源（包括云连接服务带宽包、弹性云服务器等）。

● 已创建好需要跨区域互通、同区域互通的虚拟私有云（VPC）以及子网。

配置步骤

步骤1 配置对等连接

1. 创建VPC对等连接。

b. 在管理控制台左上角单击，选择区域和项目。

c. 在系统首页，单击管理控制台左上角的，选择“网络 > 虚拟私有云”。

d. 在左侧导航栏选择“对等连接”。

e. 在界面右侧详情区域单击“创建对等连接”。

f. 根据界面提示配置参数，其中“帐户”选择“当前帐户”，相关参数如表8-2 所示。

(48)

图8-2 创建对等连接

表8-2 参数说明

名称对等连接名称。

由中文字符、英文字母、数字、

中划线、下划线等构成，一般不超过64个字符。

上海一生产peering

本端VPC 本端VPC。可在下拉框中选择。上海一TransitVPC 本端VPC网段本端VPC网段。 192.168.1.0/24 云连接

最佳实践

(49)

参数说明取值样例帐户建立对等连接的帐号：

– 当前帐户：表示在同一个帐户内、同一个区域下的不同VPC 间建立对等连接。

– 其他帐户：表示在同一个区域下的不同帐户的VPC间建立对等连接。

当前帐户

对端项目对端项目名称，默认为当前项目

的项目名称。 cn-east-3 对端VPC 对端VPC。同帐户Peer VPC可在

下拉框中选择。

上海一生产业务VPC

对端VPC网段对端VPC网段。

对端VPC网段不能和本端VPC网段相同或有重叠网段，否则对等连接路由可能会失效。

10.0.0.0/24

描述对等连接的描述信息，非必填项。

描述信息内容不能超过255个字符，且不能包含“<”和“>”。

-

g. 单击“确认”。

2. 添加VPC对等连接路由。

相同帐户创建VPC对等连接，默认接受请求，要使对等连接的VPC可以路由数据，

还需要在路由表中添加VPC对等连接本端、对端路由信息。

b. 在管理控制台左上角单击，选择区域和项目。

c. 在系统首页，单击管理控制台左上角的，选择“网络 > 虚拟私有云”。

d. 在左侧导航栏选择“路由表”。

e. 查找或创建本端VPC对应的路由表，添加本端路由。参数说明如表8-3所示。

(50)

图8-3 添加本端路由

表8-3 参数说明

目的地址对端VPC的网段。 10.0.0.0/24

下一跳类型选择“对等连接”。对等连接

下一跳选择当前对等连接的名称。上海一生产

peering 描述路由的描述信息，非必填项。

-

f. 查找或创建对端VPC对应的路由表，添加对端路由。参数说明如表所示。

图8-4 添加对端路由

表8-4 参数说明

目的地址对端VPC的网段。 172.16.0.0/24

下一跳类型选择“对等连接”。对等连接

(51)

下一跳选择当前对等连接的名称。上海一生产

peering 描述路由的描述信息，非必填项。

-

g. 按照同样的方式，完成上海一办公业务VPC和上海一TransitVPC的对等连接创建、本端路由的添加、对端路由的添加。

说明

根据如上配置，完成广州对等连接配置。

此处peering配置为路由表解耦配置指导，路由表未解耦对等连接配置具体参考 peering的配置。

步骤2 配置云连接

b. 在系统首页，单击管理控制台左上角的，选择“网络 > 云连接”。

图8-5 选择云连接

c. 在左侧导航栏，选择“云连接＞云连接实例”。

d. 在云连接实例页面，单击“创建云连接”。

e. 根据界面提示输入相关参数，详细请参考表8-5。

(52)

表8-5 创建云连接参数

名称云连接的名称。

长度为1~64个字符，中、英文字母，数字，下划线，中划线，点。

CloudConnect

default

描述云连接的描述。

长度为0~255个字符。

A Cloud Connect instance for demo

f. 单击“确定”，完成云连接实例的创建。

说明

b. 在云连接实例的详情页面，选择“网络实例”选项卡，单击“加载网络实例”。

(53)

图8-9 加载网络实例 云连接

最佳实践

(54)

图8-10 网络实例信息

说明

此处由于需要和业务VPC互通，因此需要添加自定义网段（上海生产业务VPC子网、

上海办公业务VPC子网）。

d. 单击“确定”，完成上海一的VPC实例加载。

e. 重复上述操作，加载广州的广州-transit-VPC，自定义网段添加广州生产业务 VPC子网、广州办公业务VPC子网。

(55)

图8-11 加载区域 VPC 到云连接实例

说明

在加载完成后，这两个区域的VPC网络已经基于云连接服务打通了，我们可以通过查看“路由信息”的选项卡确认当前基于云连接可以互通的各个区域的VPC路由条目。

3. 购买带宽包

b. 在云连接实例的详情页面，选择“带宽包”，单击“购买带宽包”。

在本最佳实践的互通场景下，我们需要打通华东区域与华南区域之间的内网互通，因此“互通类型”需要选择为“大区内互通”，“互通大区”选择

“中国大陆”，选择绑定我们已经创建好的云连接实例。

(56)

图8-13 购买带宽包 2

d. 单击“立即购买”。

说明

购买完成后，您可以在左侧导航栏中的“带宽包管理”页面找到该带宽包资源，并查询到该带宽包资源的计费模式，订单信息，已绑定的云连接信息和已用/剩余带宽，

我们可以针对该带宽包资源进行“修改带宽”、“解绑”、“续费”以及“退订”等操作。

在购买带宽包后，在云连接实例详情页面配置需要实现互通的域间带宽，以完成不同区域之间的带宽配置，支撑不同区域的VPC内业务的网络互通。

b. 在云连接实例的详情页面，选择“域间带宽”，单击“配置域间带宽”。

(57)

互通区域分别选择“华东-上海一”与“华南-广州”，页面会自动匹配出您所购买的可以使用在该互通场景下的带宽包资源，带宽处可以输入您所需要分配在这两个区域之间的带宽，这里我们设置为1Mbit。

d. 在配置完成后，我们可以在“域间带宽”选项卡页面查看已经分配的域间带宽配置。

----结束

配置验证

● 查看上海一TransitVPC的路由表：

图8-15 上海一 TransitVPC 的路由表

● 查看上海一生产业务VPC的路由表：

图8-16 上海一生产业务 VPC 的路由表

● 查看上海一办公业务VPC的路由表：

(58)

图8-17 上海一办公业务 VPC 的路由表

● 查看广州TransitVPC的路由表：

图8-18 广州 TransitVPC 的路由表

● 查看广州生产业务VPC的路由表：

图8-19 广州生产业务 VPC 的路由表

● 查看广州办公业务VPC的路由表：

图8-20 广州办公业务 VPC 的路由表

● 从上海一生产VPC的ECS去ping广州生产VPC的ECS。

图8-21 海一生产 VPC 的 ECS ping 广州生产 VPC 的 ECS

● 从上海一办公VPC的ECS去ping广州办公VPC的ECS。

(59)

图8-22 上海一办公 VPC 的 ECS ping 广州办公 VPC 的 ECS 云连接

最佳实践

通过云专线和云连接实现云下多IDC与云上多区域VPC互通_云连接 CC_最佳实践_华为云

云连接

最佳实践

目 录

1 跨区域 VPC 互通...1

2 基于云连接服务实现跨区域多 VPC 互通...7

3 通过云专线和云连接实现云下多 IDC 与云上多区域 VPC 互通... 15

4 基于云连接和 SNAT 实现跨区域内网访问公网服务器加速...30

5 基于云连接和 DNAT 实现跨区域公网访问内网服务器加速... 33

6 基于云连接和 Web 代理实现跨区域访问 Web 加速... 36

7 基于云连接跨帐号授权管理网络实例... 40

8 基于云连接和对等连接实现云上多区域同业务 VPC 互通...43

1 跨区域 VPC 互通

应用场景

方案设计

前提条件

操作步骤

2 基于云连接服务实现跨区域多 VPC 互通

背景

操作场景

前提条件

配置步骤

3 通过云专线和云连接实现云下多 IDC 与云上 多区域 VPC 互通

操作场景

前提条件

配置步骤

配置验证

4 基于云连接和 SNAT 实现跨区域内网访问公 网服务器加速

操作场景

配置步骤

配置验证

5 基于云连接和 DNAT 实现跨区域公网访问内 网服务器加速

操作场景

配置步骤

配置验证

6 基于云连接和 Web 代理实现跨区域访问 Web 加速

操作场景

前提条件

配置步骤

配置验证

7 基于云连接跨帐号授权管理网络实例

操作场景

前提条件

配置步骤

配置验证

8 基于云连接和对等连接实现云上多区域同业 务 VPC 互通

操作场景

前提条件

配置步骤

配置验证

目录

3 通过云专线和云连接实现云下多 IDC 与云上多区域 VPC 互通

4 基于云连接和 SNAT 实现跨区域内网访问公网服务器加速

5 基于云连接和 DNAT 实现跨区域公网访问内网服务器加速

8 基于云连接和对等连接实现云上多区域同业务 VPC 互通