1. 混合云网络互联与迁移工程导入
在真实的企业 IT 环境中，业务系统很少从零开始全部生长在公有云上。更常见的情况是：核心数据库、老旧 ERP、受合规约束的财务系统仍运行在自建机房或托管 IDC，而面向互联网的弹性业务、数据分析、容器化新应用则希望部署到 AWS。于是“混合云”不是一种可选项，而是多数企业云化过程中的必经阶段。本课程要解决的，正是这两端之间如何连得通、连得稳、迁得动、迁得安全的工程问题。
课程目标与能力定位
本课程面向已经具备一定 AWS 基础（如 VPC、EC2、IAM、安全组）的工程师，目标是让学员能够独立完成一条从本地数据中心到 AWS 的混合云互联链路设计，并在此基础上规划一次可回退的业务迁移。具体能力包括四类：
- 连通设计能力：根据带宽、时延、成本、合规要求，在 Site-to-Site VPN、AWS Direct Connect、SD-WAN 叠加等方案中做出选择并完成参数规划。
- 路由与地址规划能力：处理本地与 AWS 两侧的 CIDR 冲突、路由传播、BGP 选路，避免“连上了但走错路”。
- 迁移实施能力：使用 AWS Application Migration Service、Database Migration Service、DataSync 等工具完成服务器、数据库、文件数据的迁移与校验。
- 验证与回退能力：定义可观测指标，判断迁移是否达标，并保留可执行的回退路径。
核心概念：先把术语对齐
混合云网络互联涉及几个容易混淆的概念，先明确边界：
| 概念 | 含义 | 工程关注点 |
|---|---|---|
| VPC | AWS 侧的隔离虚拟网络 | CIDR 规划、子网划分、路由表 |
| VGW / TGW | 虚拟私有网关 / 中转网关 | 连接本地与多 VPC 的汇聚点 |
| CGW | 客户网关，代表本地 VPN 设备 | 公网 IP、BGP ASN、隧道参数 |
| DX Gateway | Direct Connect 网关 | 私有 VIF、跨区域访问 |
| BGP | 边界网关协议 | ASN、路由优先级、故障切换 |
其中 BGP 是混合云互联的“神经系统”。AWS 侧 Site-to-Site VPN 默认使用两条隧道，通过 BGP 发布路由；Direct Connect 则通过私有虚拟接口（Private VIF）与本地路由器建立 BGP 邻居。理解 ASN 与路由优先级，是后续排障的基础。
AWS 混合云整体架构
下图给出一个典型的混合云参考架构：本地数据中心通过 Direct Connect 主链路与 Site-to-Site VPN 备份链路接入 AWS，经 Transit Gateway 汇聚后分发到生产 VPC、共享服务 VPC 与迁移专用 VPC。图中同时标出了数据流方向与关键组件位置。
这张图有三个关键设计点值得注意。第一，主备链路分离：Direct Connect 提供稳定带宽与低时延，VPN 作为故障备份，两者通过 BGP 的 AS_PATH 与本地优先级实现切换。第二，Transit Gateway 作为汇聚点：避免每个 VPC 单独与本地建连，降低连接数量与路由复杂度。第三，迁移专用 VPC 隔离：迁移工具与临时资源放在独立 VPC，迁移完成后可整体回收，不影响生产网络。
典型业务场景
混合云互联与迁移通常对应以下几类场景，不同场景对网络的要求差异很大：
- 数据中心退租 / 整体上云：需要大带宽、可长时间持续传输，Direct Connect 多链路聚合是常见选择，迁移窗口以周计。
- 云上弹性扩展、本地保留核心：本地数据库不动，云上应用通过低时延链路访问本地数据，对时延敏感，通常要求同城 DX 且时延低于 5ms。
- 灾备与双活：本地与 AWS 互为备份，要求链路冗余、路由快速收敛，RPO/RTO 是核心指标。
- 数据备份与归档：以 DataSync 或 Storage Gateway 将本地文件、备份数据同步到 S3，对带宽要求中等但对成本敏感。
工程挑战：真正难的地方
把链路打通只是第一步，实际工程中更容易出问题的是下面几类：
地址冲突：本地使用 10.0.0.0/8 的大网段，AWS VPC 也规划在 10.0.0.0/16，直接导致路由无法发布。必须在规划阶段完成 CIDR 梳理，必要时对本地网段做 NAT 或重新编址。
非对称路由：本地有两条出口（DX 与 VPN），若本地防火墙只对其中一条做状态检测，回程走另一条时会被丢弃。解决方式是统一路由策略或在两端都放行。
此外还有 MTU 问题（DX 支持 1500/9001，VPN 隧道因封装开销通常需将 TCP MSS 调小到 1379 左右）、BGP 路由震荡、迁移期间源端与目标端数据一致性校验等。这些内容会在后续章节逐一展开。
一个可参考的起步参数示例
假设某企业本地网段为 192.168.0.0/16，计划在 AWS 使用 10.0.0.0/16，本地边界路由器 ASN 为 65000，AWS 侧 TGW ASN 为 64512。Direct Connect 私有 VIF 的 VLAN 设为 100，BGP 邻居地址本地侧 169.254.10.1/30、AWS 侧 169.254.10.2/30。以下为本地路由器上一条参考配置片段（示例，非实测）：
interface GigabitEthernet0/1.100
encapsulation dot1Q 100
ip address 169.254.10.1 255.255.255.252
!
router bgp 65000
neighbor 169.254.10.2 remote-as 64512
address-family ipv4
network 192.168.0.0 mask 255.255.0.0
neighbor 169.254.10.2 activate
配置完成后，可在 AWS 侧查看 TGW 路由表是否学习到 192.168.0.0/16，并在本地通过 show ip bgp summary 确认邻居状态为 Established。若邻居长期处于 Active 或 Idle，优先检查 VLAN、IP 地址与 ASN 是否匹配。这些验证动作，是判断“链路是否真正可用”的最小闭环。
本课程后续将沿着“规划—互联—路由—迁移—验证—优化”的主线展开，每一章都会给出可操作的参数、配置与判断依据，帮助你把混合云从架构图落到可运行的工程现场。