对等连接最佳实践
所有文档

          私有网络 VPC

          对等连接最佳实践

          简介

          对等连接(Peer connection)为用户提供了 VPC 级别的网络互联服务,帮助用户在不同虚拟网络之间的流量互通,实现同区域/跨区域,同用户/不同用户之间稳定高速的虚拟网络互联。建立对等连接后,通过配置路由,实现对全局和子网级别的流量控制。另外,通过配置安全组和ACL的安全策略,保证服务安全访问。

          使用限制:

          • 单个 VPC 内最多创建 10 个对等连接实例,单个用户最多创建 10 个对等连接实例。
          • 每对 VPC 之间只能同时存在一条对等连接。

          详细的使用步骤请参考对等连接操作指南

          基础场景

          两个VPC对等连接

          两个 VPC 之间需要访问对方的资源时,可以使用此类配置。

          示例场景

          在VPC A和VPC B之间建立对等连接。

          路由配置

          源网段 目标网段 路由类型 下一跳实例
          VPC A 172.16.0.0/16 对等连接 int-atob
          VPC B 192.168.0.0/16 对等连接 int-btoa

          一个VPC与多个VPC对等连接

          其他 VPC 需要访问中心 VPC 上的资源,不需要访问对方的资源,可以使用此类配置。

          示例场景

          VPC A为中心VPC,分别与VPC B、VPC C和VPC D对等连接。

          • VPC A与VPC B对等连接;
          • VPC A与VPC C对等连接;
          • VPC A与VPC D对等连接。

          路由配置

          源网段 目标网段 路由类型 下一跳实例
          VPC A 172.16.0.0/16 对等连接 int-atob
          VPC A 172.17.0.0/16 对等连接 int-atoc
          VPC A 10.0.0.0/16 对等连接 int-atod
          VPC B 192.168.0.0/16 对等连接 int-btoa
          VPC C 192.168.0.0/16 对等连接 int-ctoa
          VPC D 192.168.0.0/16 对等连接 int-dtoa

          多个VPC相互对等连接

          多个 VPC 需要无限制地访问彼此的资源时,例如文件共享网络,可以使用此类配置。

          示例场景

          四个 VPC 以全网状配置对等连接在一起。 VPC 都位于同一个百度智能云帐户中,没有重叠的 CIDR 块:

          • VPC A与VPC B对等连接;
          • VPC A与VPC C对等连接;
          • VPC A与VPC D对等连接;
          • VPC B与VPC C对等连接;
          • VPC B与VPC D对等连接;
          • VPC C与VPC D对等连接。

          路由配置

          源网段 目标网段 路由类型 下一跳实例
          VPC A 172.16.0.0/16 对等连接 int-atob
          VPC A 172.17.0.0/16 对等连接 int-atoc
          VPC A 10.0.0.0/16 对等连接 int-atod
          VPC B 192.168.0.0/16 对等连接 int-btoa
          VPC B 172.17.0.0/16 对等连接 int-btoc
          VPC B 10.0.0.0/16 对等连接 int-btod
          VPC C 192.168.0.0/16 对等连接 int-ctoa
          VPC C 172.16.0.0/16 对等连接 int-ctob
          VPC C 10.0.0.0/16 对等连接 int-ctod
          VPC D 192.168.0.0/16 对等连接 int-dtoa
          VPC D 172.16.0.0/16 对等连接 int-dtob
          VPC D 172.17.0.0/16 对等连接 int-dtoc

          进阶场景

          一个VPC内的两个子网分别与两个VPC对等连接

          属于中心 VPC 的不同子网中有单独的资源集合时,其他 VPC 需要访问一些资源,但不是全部,可以使用此类配置。

          示例场景

          VPC A 为中心 VPC,内有两个子网Subnet X和Subnet Y,分别与VPC B和VPC C对等连接。

          • VPC A与VPC B对等连接;
          • VPC A与VPC C对等连接。

          路由配置

          源网段 目标网段 路由类型 下一跳实例
          VPC A中子网X 10.0.0.0/16 对等连接 int-atob
          VPC A中子网Y 10.0.0.0/16 对等连接 int-atoc
          VPC B 172.16.0.0/24 对等连接 int-btoa
          VPC C 172.16.1.0/24 对等连接 int-ctoa

          两个VPC中的特定子网与同一个VPC对等连接

          有一组资源在中心VPC上,不需要完全访问与之对等连接的VPC,比如Active Directory服务,可以使用此类配置。

          示例场景

          VPC A为具有一个子网的中心VPC,VPC B和VPC C都有两个子网,每个子网中只有一个用于与VPC A的对等连接。

          • VPC A与VPC B对等连接;
          • VPC A与VPC C对等连接。

          路由配置

          源网段 目标网段 路由类型 下一跳实例
          VPC A 10.0.0.0/24 对等连接 int-atob
          VPC A 10.0.1.0/24 对等连接 int-atoc
          VPC B中子网X 172.16.0.0/24 对等连接 int-btoa
          VPC C中子网Y 172.16.0.0/24 对等连接 int-btoc

          一个VPC中的多个实例分别与两个VPC的实例对等连接

          如果需要限制对等连接流量到特定的实例,可以使用此类配置。

          示例场景

          VPC A是只有一个子网的中心VPC,VPC A的子网内有两个实例分别与VPC B和VPC C中的实例对等连接,实例以BCC为例。

          • VPC A与VPC B对等连接;
          • VPC A与VPC C对等连接。

          路由配置

          源网段 目标网段 路由类型 下一跳实例
          VPC A中实例172.16.0.88/32 10.0.0.44/32 对等连接 int-atob
          VPC A中实例172.16.0.99/32 10.0.0.55/32 对等连接 int-atoc
          VPC B中实例10.0.0.44/32 172.16.0.88/32 对等连接 int-btoa
          VPC C中实例10.0.0.55/32 172.16.0.99/32 对等连接 int-ctoa

          使用最长前缀匹配实现一个VPC与两个VPC对等连接

          一个 VPC 与两个相同网段的 VPC 对等连接,可以使用最长前缀匹配。

          示例场景

          VPC A为只有一个子网的中心VPC,分别与VPC B和VPC C对等连接,VPC B与VPC C具有重叠的CIDR块,VPC A与VPC B中的特定实例对等连接,其他发往10.0.0.0/16 IP地址的流量将路由到VPC C。实例以BCC为例。

          • VPC A与VPC B对等连接;
          • VPC A与VPC C对等连接。

          路由配置

          源网段 目标网段 路由类型 下一跳实例
          VPC A 10.0.0.77/32 对等连接 int-atob
          VPC A 10.0.0.0/16 对等连接 int-atoc
          VPC B 172.16.0.0/16 对等连接 int-btoa
          VPC C 172.16.0.0/16 对等连接 int-ctoa

          注意:如果VPC A 向 VPC B 中 10.0.0.77/32 之外的一个实例发送流量,则相应流量将被路由到VPC C而不是VPC B。

          复杂拓扑场景

          多个VPC对等连接,CIDR块部分重叠的复杂拓扑场景,可以使用此类配置。

          示例场景

          在这个场景中,中心VPC A与多个VPC对等。VPC E与VPC F对等连接。VPC A和VPC F具有重叠的CIDR块。 这意味着VPC A和VPC E之间的对等流量限制在VPC E中的特定子网(子网X)上。这是为了确保如果VPC E收到来自VPC A或VPC F的请求,则会将响应流量发送到正确的VPC。百度智能云目前不支持在VPC对等连接中进行单播反向路径转发,检查数据包的源IP并将回复数据包路由到源。

          类似地,VPC E和VPC H具有重叠的CIDR块。 VPC F和VPC E之间的对等流量限于VPC E中的子网Y,VPC F和VPC H之间的对等流量限制在VPC H中的子网X。这是为了确保如果VPC F从VPC E或VPC H接收到对等流量,它将响应流量发送回正确的VPC。

          VPC B,D,E,F和G的路由表指向相关对等连接以访问VPC A的完整CIDR块,VPC A路由表指向VPC B,C,D的相关对等连接访问其完整的CIDR块。 对于对等连接int-aaaaeeee,VPC A路由表将流量仅将路由到VPC E(192.168.0.0/24)中的子网X,VPC E中的子网X路由表指向VPC A的完整CIDR块。

          VPC G路由表指向相关对等连接以访问VPC F和VPC H的完整CIDR块,并且VPC H路由表指向相关对等连接以访问VPC G的完整CIDR块。VPC H中的子网X路由表指向相关对等连接以访问VPC F的完整CIDR块。VPC F路由表指向相关对等连接以访问VPC E中的子网Y和VPC H中的子网X。

          • VPC A与VPC B对等连接;
          • VPC A与VPC C对等连接;
          • VPC A与VPC D对等连接;
          • VPC A与VPC E对等连接;
          • VPC E与VPC F对等连接;
          • VPC F与VPC G对等连接;
          • VPC F与VPC H对等连接;
          • VPC G与VPC H对等连接。

          对等连接传递性

          一个 VPC 与多个 VPC 对等连接,通过路由的配置可以实现跨 VPC 的互联,可以使用此类配置。该配置需要启用中继VPC

          示例场景

          VPC 均在同一个百度智能云账号下,VPC B为中继VPC,VPC B分别与VPC A和VPC C对等连接,呈星形拓扑结构。通过配置路由,实现VPC A与VPC C的对等连接。

          • VPC A与VPC B对等连接;
          • VPC B与VPC C对等连接。

          说明: 此场景下,需要开启VPC B的路由中继,请参考中继VPC操作指南

          路由配置

          源网段 目标网段 路由类型 下一跳实例
          VPC A 172.16.0.0/16 对等连接 int-atob
          VPC A 10.0.0.0/16 对等连接 int-atob
          VPC B 192.168.0.0/16 对等连接 int-btoa
          VPC B 10.0.0.0/16 对等连接 int-btoc
          VPC C 192.169.0.0/16 对等连接 int-ctob
          VPC C 172.16.0.0/16 对等连接 int-ctob

          另外,百度智能云还支持用户通过配置路由表实现对等连接与专线或 VPN 连接的连接传递。

          CIDR块重叠

          对等连接支持将两个CIDR重叠的VPC互联。

          示例场景

          VPC A与VPC B的CIDR块相同,并都有两个子网。VPC A与VPC B对等连接,通过路由的配置实现VPC A与VPC B中的两个子网分别互联。

          路由配置

          源网段 目标网段 路由类型 下一跳实例
          VPC A中子网X 192.168.2.0/24 对等连接 int-atob
          VPC A中子网Y 192.168.4.0/24 对等连接 int-atob
          VPC B中子网X 192.168.1.0/24 对等连接 int-btoa
          VPC B中子网Y 192.168.3.0/24 对等连接 int-btoa

          注意: 此场景下,配置路由时两端子网CIDR不能重叠。

          不支持的场景

          多跳场景

          对等连接传递性仅支持跨一个VPC。

          示例场景

          VPC A与VPC B对等连接,VPC B与VPC C对等连接,VPC C与VPC D对等连接,不支持VPC A与VPC D传递连接,建议从直线形拓扑结构改为星形拓扑结构。

          上一篇
          NAT网关最佳实践
          下一篇
          网络层安全说明