3. 本地数据中心网络基础
混合云互联的成败，往往不取决于云端配置得多漂亮，而取决于本地数据中心（IDC）这一侧是否"讲得清楚"。在动手建立 VPN 或专线之前，必须先摸清本地网络的五个基本面：物理拓扑、VLAN 划分、路由协议、防火墙策略和出口链路。本节围绕这五项展开，并给出混合云对接前必须确认的前提条件。
一、物理网络拓扑：先画清楚"线怎么走"
典型的中型 IDC 采用"核心—汇聚—接入"三层结构。核心层由两台核心交换机堆叠或做 VRRP 冗余，汇聚层按楼层或业务域划分，接入层连接服务器机柜。服务器通常以双上行方式接入两台接入交换机，通过网卡绑定（bonding/LACP）实现链路冗余。出口侧一般部署两台边界路由器或防火墙，上联运营商专线或互联网链路。
绘制拓扑图时要标注清楚：设备型号与角色、互联端口与速率、冗余方式、以及每台设备的管理地址。这张图是后续所有对接工作的"地图"，缺少它，排查问题时只能靠猜。
二、VLAN 划分：业务隔离与地址规划
VLAN 是本地网络隔离的基本手段。常见做法是按业务域划分，例如：
| VLAN ID | 用途 | 网段示例 | 网关位置 |
|---|---|---|---|
| 10 | 管理网 | 10.10.10.0/24 | 核心交换机 VRRP |
| 20 | Web 应用 | 10.10.20.0/24 | 核心交换机 VRRP |
| 30 | 数据库 | 10.10.30.0/24 | 核心交换机 VRRP |
| 40 | 办公终端 | 10.10.40.0/24 | 核心交换机 VRRP |
| 99 | 互联专用 | 169.254.99.0/30 | 边界设备 |
混合云对接时，最关键的是地址不重叠。如果本地用了 10.10.0.0/16，而 AWS VPC 也规划了 10.10.0.0/16，路由就会冲突，必须重新规划其中一侧。建议在对接前整理一份完整的"网段清单"，包含每个 VLAN 的网段、掩码、网关和用途，并与云端 VPC CIDR 逐一比对。
三、路由协议：静态还是动态
本地 IDC 内部常用 OSPF 或 BGP。OSPF 适合园区网内部，收敛快、配置简单；BGP 多用于与运营商或跨域互联场景，策略控制能力强。与 AWS 对接时，如果使用 Site-to-Site VPN 的动态路由模式或 Direct Connect 的私有虚拟接口，通常需要在本地边界设备上运行 BGP，与 AWS 侧的虚拟私有网关（VGW）或中转网关（TGW）建立 BGP 邻居。
一个典型的 BGP 对接参数示例如下（示例值，非实测）：
本地边界路由器 ASN: 65000
AWS 侧 ASN: 64512
BGP 邻居地址（隧道1）: 169.254.99.1 / 169.254.99.2
BGP 邻居地址（隧道2）: 169.254.100.1 / 169.254.100.2
宣告网段: 10.10.0.0/16
接收网段: 172.31.0.0/16 (AWS VPC CIDR)配置完成后，用 show ip bgp summary 检查邻居状态是否为 Established，用 show ip bgp 确认路由是否已学习到。如果邻居起不来，优先检查 ASN 是否匹配、TCP 179 端口是否被防火墙拦截、以及源地址是否可达。
四、防火墙策略：放行什么、拒绝什么
混合云流量穿越本地防火墙时，必须显式放行。常见需要放行的流量包括：
- IKE（UDP 500）与 IPsec NAT-T（UDP 4500）——用于 VPN 隧道建立；
- BGP（TCP 179）——用于动态路由邻居建立；
- 业务流量——按实际应用端口放行，如 HTTPS 443、MySQL 3306 等；
- 健康检查流量——如 AWS 对隧道对端 IP 的 ICMP 探测。
策略配置建议遵循"最小权限"原则：先拒绝所有，再按需放行，并记录日志。特别注意，如果本地防火墙做了 NAT，要确认 VPN 流量是否被 NAT 影响——IPsec 通常要求两端地址不被 NAT 转换，否则需要启用 NAT-T。
五、出口链路：带宽、冗余与公网地址
出口链路决定了混合云互联的可用性和性能。需要确认三点：
- 带宽：本地出口带宽是否足以承载迁移或日常同步流量。例如计划每晚同步 500 GB 数据，按 8 小时窗口计算，平均需要约 140 Mbps 持续带宽，出口链路至少应留出余量。
- 冗余：是否有两条不同运营商的链路？AWS Site-to-Site VPN 支持双隧道，但两条隧道若走同一条物理链路，冗余意义有限。
- 公网地址：VPN 对接需要本地边界设备有固定的公网 IP。如果使用动态 IP，需配置 DDNS 或改用 Direct Connect。
六、混合云对接前提检查
在正式建立连接前，建议逐项确认以下前提，任何一项不满足都会导致对接失败或后续返工：
- 本地与云端网段无重叠，CIDR 清单已核对；
- 边界设备支持 IKEv2、BGP，且软件版本满足要求；
- 防火墙已放行 IKE、IPsec、BGP 及业务端口；
- 出口有固定公网 IP，且带宽满足业务需求；
- 本地路由已规划：哪些网段需要宣告到云端，哪些不需要；
- 已确定对接模式：VPN 还是专线，静态路由还是 BGP；
- 有明确的测试计划：从本地 ping 云端实例、从云端 ping 本地服务器、验证业务端口连通性。
下面这张图把本地 IDC 的五个基本面与混合云对接的衔接关系串起来，帮助建立整体视角：
这张图强调了一个核心逻辑：混合云对接不是从云端开始的，而是从本地 IDC 的"家底"盘点开始的。物理拓扑决定冗余能力，VLAN 与网段决定地址是否冲突，路由协议决定路径如何学习，防火墙决定流量能否通过，出口链路决定性能与可用性。五项确认完毕，再进入 VPN 或专线的具体配置，才能少走弯路。