3. 多区域网络拓扑设计基础

多区域高可用的第一道门槛不是计算或数据库，而是网络。区域之间能否稳定、可预测地互通，决定了故障切换时流量能否真正到达备用区域。AWS 提供了五种主要的跨区域/跨网络连接构件：VPC 对等连接（VPC Peering）、中转网关（Transit Gateway，TGW）、站点到站点 VPN、AWS Direct Connect（专用连接）和 AWS Cloud WAN。它们不是互相替代的关系，而是处在不同的连接层次上，选型的本质是判断“谁和谁要通、通多少、走不走公网、要不要集中管控”。

五种连接构件的定位与边界

VPC 对等连接是最轻量的点对点连接，支持同区域和跨区域（Inter-Region Peering）。它不经过网关、不共享路由表，两端 VPC 的 CIDR 不能重叠，路由需要各自在路由表中显式添加。优点是延迟低、无带宽瓶颈、成本按数据传输计费；缺点是不支持传递路由——A 对等 B、B 对等 C，A 并不能通过 B 访问 C。因此当 VPC 数量增长到十几个以上时，对等连接会退化成 N² 的网状结构，运维复杂度急剧上升。

中转网关 TGW 是区域级的中心枢纽，VPC、VPN、Direct Connect 网关都可以挂载到它上面，通过 TGW 路由表实现集中互连和分段。TGW 支持跨区域对等（TGW Peering），把多个区域的枢纽连成骨干。它的核心价值在于把“网状”变成“星型”，并允许用多张路由表做隔离。

站点到站点 VPN 通过公网建立 IPsec 隧道，部署快、成本低，适合作为备份链路或临时连接；缺点是受公网抖动影响，单隧道吞吐通常受限于约 1.25 Gbps，需要多隧道聚合。

Direct Connect 通过专线接入，绕过公网，提供稳定带宽和更低延迟，适合生产主链路；但开通周期长（数周），且单条专线仍是单点，需要双专线或专线+VPN 冗余。

AWS Cloud WAN 是全局托管的广域网，用一张策略（Network Policy）统一描述全球核心网络、分段和附件，适合多区域、多账号、多本地站点的复杂拓扑，把 TGW 的逐区域配置升级为全局声明式管理。

选型判断：从需求到构件

选型可以按四个问题依次收敛：连接对象（VPC 之间、VPC 到本地、还是全球多站点）、规模（VPC 数量与增长预期）、路径要求（是否必须避开公网、延迟与带宽 SLA）、管控方式（逐区域手工配置还是全局策略）。

实际生产中最常见的组合是：区域内用 TGW 收敛，区域间用 TGW 对等，本地接入用双 Direct Connect + VPN 备份。Cloud WAN 则用于把上述逐区域配置抽象成一张全局策略。

网络分段与路由规划

分段的目标是让生产、开发、共享服务、安全审计等不同信任级别的流量默认隔离，只按需放通。TGW 通过多张路由表实现：附件关联到某张路由表决定“它能去哪”，路由表传播决定“谁能到它”。典型做法是建立 prod-rt、dev-rt、shared-rt、inspection-rt 四张表，生产 VPC 只关联 prod-rt，共享服务 VPC 同时向 prod-rt 和 dev-rt 传播路由，实现“单向可达”。

CIDR 规划必须在建网前完成，因为对等连接和 TGW 都不允许重叠地址。建议按“区域—环境—用途”分层分配，例如每个区域预留一个 /16，环境用 /20 切分：

10.0.0.0/8            全局地址池
├─ 10.10.0.0/16       区域 us-east-1
│  ├─ 10.10.0.0/20    生产 VPC
│  ├─ 10.10.16.0/20   开发 VPC
│  └─ 10.10.32.0/20   共享服务 VPC
├─ 10.20.0.0/16       区域 eu-west-1
│  ├─ 10.20.0.0/20    生产 VPC
│  └─ 10.20.16.0/20   开发 VPC
└─ 10.30.0.0/16       区域 ap-southeast-1
   └─ 10.30.0.0/20    生产 VPC

路由规划要遵循两条原则：一是最长前缀匹配优先，更具体的路由（/24）会覆盖更宽的路由（/16），可用于临时引流或故障绕行；二是避免非对称路由，尤其是经过安全检测 VPC 时，去程和回程必须走同一检查点，否则有状态防火墙会丢包。TGW 的“设备模式”附件（appliance mode）可以保证同一连接流的双向流量固定走同一可用区的检查实例。

故障切换中的路由行为

多区域高可用要求路由能自动收敛。以本地到云的双路径为例：主路径为 Direct Connect，备份为 VPN。在 TGW 上，Direct Connect 网关附件和 VPN 附件都向同一张路由表传播本地网段路由，BGP 通过 AS_PATH 和本地优先级选路，正常情况下专线优先；专线中断后 BGP 会话断开，路由撤销，流量自动切到 VPN。若使用静态路由，则必须手工配置更具体的备份路由或依赖路由表故障转移，收敛更慢。

下图展示了一个典型的多区域拓扑：两个区域的 TGW 通过跨区域对等互联，每个区域内的生产、开发、共享服务 VPC 挂载到本地 TGW，本地数据中心通过 Direct Connect 和 VPN 双路径接入主区域，分段通过 TGW 路由表实现隔离。

这张拓扑的关键点在于：区域内的 VPC 不直接互连，全部通过本地 TGW 收敛；区域之间只有一条 TGW 对等链路，避免网状连接；本地接入采用专线为主、VPN 为辅的双路径，BGP 负责自动选路与收敛；安全检测 VPC 以 appliance mode 挂载，保证双向流量经过同一检查点。分段则通过 TGW 的多张路由表实现，生产与开发默认隔离，共享服务按需单向放通。

把上述构件组合起来，多区域网络的设计顺序应当是：先定 CIDR 与分段模型，再定区域内收敛方式（TGW），然后定区域间骨干（TGW 对等或 Cloud WAN），最后定本地接入与冗余路径（Direct Connect + VPN）。每一步都围绕“故障时流量能否自动、正确地到达备用区域”这一目标展开，而不是单纯追求连接数量。