解决方案实践 > 对等连接最佳实践
对等连接最佳实践
  • 概览
  • 需求场景
  • 两个VPC对等连接
  • 一个VPC与多个VPC对等连接
  • 多个VPC相互对等连接
  • 进阶场景
  • 一个VPC内的两个子网分别与两个VPC对等连接
  • 两个VPC中的特定子网与同一个VPC对等连接
  • 一个VPC中的多个实例分别与两个VPC的实例对等连接
  • 使用最长前缀匹配实现一个VPC与两个VPC对等连接
  • 复杂拓扑场景
  • 对等连接传递性
  • CIDR块重叠
  • 不支持的场景
  • 多跳场景
  • 相关产品

对等连接最佳实践

更新时间:

概览

对等连接为用户提供了 VPC 级别的网络互联服务,帮助用户在不同虚拟网络之间的流量互通,实现同区域/跨区域,同用户/不同用户之间稳定高速的虚拟网络互联。建立对等连接后,通过配置路由,实现对全局和子网级别的流量控制。另外,通过配置安全组和ACL的安全策略,保证服务安全访问。

使用限制:

  • 单个 VPC 内最多创建 10 个对等连接实例,单个用户最多创建 10 个对等连接实例。
  • 每对 VPC 之间只能同时存在一条对等连接。

详细的使用步骤请参考对等连接操作指南

需求场景

两个VPC对等连接

两个 VPC 之间需要访问对方的资源时,可以使用此类配置。

示例场景

在VPC A和VPC B之间建立对等连接。

路由配置

源网段目标网段路由类型下一跳实例
VPC A172.16.0.0/16对等连接int-atob
VPC B192.168.0.0/16对等连接int-btoa

一个VPC与多个VPC对等连接

其他 VPC 需要访问中心 VPC 上的资源,不需要访问对方的资源,可以使用此类配置。

示例场景

VPC A为中心VPC,分别与VPC B、VPC C和VPC D对等连接。

  • VPC A与VPC B对等连接;
  • VPC A与VPC C对等连接;
  • VPC A与VPC D对等连接。

路由配置

源网段目标网段路由类型下一跳实例
VPC A172.16.0.0/16对等连接int-atob
VPC A172.17.0.0/16对等连接int-atoc
VPC A10.0.0.0/16对等连接int-atod
VPC B192.168.0.0/16对等连接int-btoa
VPC C192.168.0.0/16对等连接int-ctoa
VPC D192.168.0.0/16对等连接int-dtoa

多个VPC相互对等连接

多个 VPC 需要无限制地访问彼此的资源时,例如文件共享网络,可以使用此类配置。

示例场景

四个 VPC 以全网状配置对等连接在一起。 VPC 都位于同一个百度智能云账户中,没有重叠的 CIDR 块:

  • VPC A与VPC B对等连接;
  • VPC A与VPC C对等连接;
  • VPC A与VPC D对等连接;
  • VPC B与VPC C对等连接;
  • VPC B与VPC D对等连接;
  • VPC C与VPC D对等连接。

路由配置

源网段目标网段路由类型下一跳实例
VPC A172.16.0.0/16对等连接int-atob
VPC A172.17.0.0/16对等连接int-atoc
VPC A10.0.0.0/16对等连接int-atod
VPC B192.168.0.0/16对等连接int-btoa
VPC B172.17.0.0/16对等连接int-btoc
VPC B10.0.0.0/16对等连接int-btod
VPC C192.168.0.0/16对等连接int-ctoa
VPC C172.16.0.0/16对等连接int-ctob
VPC C10.0.0.0/16对等连接int-ctod
VPC D192.168.0.0/16对等连接int-dtoa
VPC D172.16.0.0/16对等连接int-dtob
VPC D172.17.0.0/16对等连接int-dtoc

进阶场景

一个VPC内的两个子网分别与两个VPC对等连接

属于中心 VPC 的不同子网中有单独的资源集合时,其他 VPC 需要访问一些资源,但不是全部,可以使用此类配置。

示例场景

VPC A 为中心 VPC,内有两个子网Subnet X和Subnet Y,分别与VPC B和VPC C对等连接。

  • VPC A与VPC B对等连接;
  • VPC A与VPC C对等连接。

路由配置

源网段目标网段路由类型下一跳实例
VPC A中子网X10.0.0.0/16对等连接int-atob
VPC A中子网Y10.0.0.0/16对等连接int-atoc
VPC B172.16.0.0/24对等连接int-btoa
VPC C172.16.1.0/24对等连接int-ctoa

两个VPC中的特定子网与同一个VPC对等连接

有一组资源在中心VPC上,不需要完全访问与之对等连接的VPC,比如Active Directory服务,可以使用此类配置。

示例场景

VPC A为具有一个子网的中心VPC,VPC B和VPC C都有两个子网,每个子网中只有一个用于与VPC A的对等连接。

  • VPC A与VPC B对等连接;
  • VPC A与VPC C对等连接。

路由配置

源网段目标网段路由类型下一跳实例
VPC A10.0.0.0/24对等连接int-atob
VPC A10.0.1.0/24对等连接int-atoc
VPC B中子网X172.16.0.0/24对等连接int-btoa
VPC C中子网Y172.16.0.0/24对等连接int-btoc

一个VPC中的多个实例分别与两个VPC的实例对等连接

如果需要限制对等连接流量到特定的实例,可以使用此类配置。

示例场景

VPC A是只有一个子网的中心VPC,VPC A的子网内有两个实例分别与VPC B和VPC C中的实例对等连接,实例以BCC为例。

  • VPC A与VPC B对等连接;
  • VPC A与VPC C对等连接。

路由配置

源网段目标网段路由类型下一跳实例
VPC A中实例172.16.0.88/3210.0.0.44/32对等连接int-atob
VPC A中实例172.16.0.99/3210.0.0.55/32对等连接int-atoc
VPC B中实例10.0.0.44/32172.16.0.88/32对等连接int-btoa
VPC C中实例10.0.0.55/32172.16.0.99/32对等连接int-ctoa

使用最长前缀匹配实现一个VPC与两个VPC对等连接

一个 VPC 与两个相同网段的 VPC 对等连接,可以使用最长前缀匹配。

示例场景

VPC A为只有一个子网的中心VPC,分别与VPC B和VPC C对等连接,VPC B与VPC C具有重叠的CIDR块,VPC A与VPC B中的特定实例对等连接,其他发往10.0.0.0/16 IP地址的流量将路由到VPC C。实例以BCC为例。

  • VPC A与VPC B对等连接;
  • VPC A与VPC C对等连接。

路由配置

源网段目标网段路由类型下一跳实例
VPC A10.0.0.77/32对等连接int-atob
VPC A10.0.0.0/16对等连接int-atoc
VPC B172.16.0.0/16对等连接int-btoa
VPC C172.16.0.0/16对等连接int-ctoa

注意:如果VPC A 向 VPC B 中 10.0.0.77/32 之外的一个实例发送流量,则相应流量将被路由到VPC C而不是VPC B。

复杂拓扑场景

多个VPC对等连接,CIDR块部分重叠的复杂拓扑场景,可以使用此类配置。

示例场景

在这个场景中,中心VPC A与多个VPC对等。VPC E与VPC F对等连接。VPC A和VPC F具有重叠的CIDR块。 这意味着VPC A和VPC E之间的对等流量限制在VPC E中的特定子网(子网X)上。这是为了确保如果VPC E收到来自VPC A或VPC F的请求,则会将响应流量发送到正确的VPC。百度智能云目前不支持在VPC对等连接中进行单播反向路径转发,检查数据包的源IP并将回复数据包路由到源。

类似地,VPC E和VPC H具有重叠的CIDR块。 VPC F和VPC E之间的对等流量限于VPC E中的子网Y,VPC F和VPC H之间的对等流量限制在VPC H中的子网X。这是为了确保如果VPC F从VPC E或VPC H接收到对等流量,它将响应流量发送回正确的VPC。

VPC B,D,E,F和G的路由表指向相关对等连接以访问VPC A的完整CIDR块,VPC A路由表指向VPC B,C,D的相关对等连接访问其完整的CIDR块。 对于对等连接int-aaaaeeee,VPC A路由表将流量仅将路由到VPC E(192.168.0.0/24)中的子网X,VPC E中的子网X路由表指向VPC A的完整CIDR块。

VPC G路由表指向相关对等连接以访问VPC F和VPC H的完整CIDR块,并且VPC H路由表指向相关对等连接以访问VPC G的完整CIDR块。VPC H中的子网X路由表指向相关对等连接以访问VPC F的完整CIDR块。VPC F路由表指向相关对等连接以访问VPC E中的子网Y和VPC H中的子网X。

  • VPC A与VPC B对等连接;
  • VPC A与VPC C对等连接;
  • VPC A与VPC D对等连接;
  • VPC A与VPC E对等连接;
  • VPC E与VPC F对等连接;
  • VPC F与VPC G对等连接;
  • VPC F与VPC H对等连接;
  • VPC G与VPC H对等连接。


对等连接传递性

一个 VPC 与多个 VPC 对等连接,通过路由的配置可以实现跨 VPC 的互联,可以使用此类配置。该配置需要启用中继VPC

示例场景

VPC 均在同一个百度智能云账号下,VPC B为中继VPC,VPC B分别与VPC A和VPC C对等连接,呈星形拓扑结构。通过配置路由,实现VPC A与VPC C的对等连接。

  • VPC A与VPC B对等连接;
  • VPC B与VPC C对等连接。

说明: 此场景下,需要开启VPC B的路由中继,请参考中继VPC操作指南

路由配置

源网段目标网段路由类型下一跳实例
VPC A172.16.0.0/16对等连接int-atob
VPC A10.0.0.0/16对等连接int-atob
VPC B192.168.0.0/16对等连接int-btoa
VPC B10.0.0.0/16对等连接int-btoc
VPC C192.168.0.0/16对等连接int-ctob
VPC C172.16.0.0/16对等连接int-ctob

另外,百度智能云还支持用户通过配置路由表实现对等连接与专线或 VPN 连接的连接传递。

CIDR块重叠

对等连接支持将两个CIDR重叠的VPC互联。

示例场景

VPC A与VPC B的CIDR块相同,并都有两个子网。VPC A与VPC B对等连接,通过路由的配置实现VPC A与VPC B中的两个子网分别互联。

路由配置

源网段目标网段路由类型下一跳实例
VPC A中子网X192.168.2.0/24对等连接int-atob
VPC A中子网Y192.168.4.0/24对等连接int-atob
VPC B中子网X192.168.1.0/24对等连接int-btoa
VPC B中子网Y192.168.3.0/24对等连接int-btoa

注意: 此场景下,配置路由时两端子网CIDR不能重叠。

不支持的场景

多跳场景

对等连接传递性仅支持跨一个VPC。

示例场景

VPC A与VPC B对等连接,VPC B与VPC C对等连接,VPC C与VPC D对等连接,不支持VPC A与VPC D传递连接,建议从直线形拓扑结构改为星形拓扑结构。

相关产品

对等连接私有网络