📚 课程目录第4章混合云网络连接基础

4. 混合云网络连接基础

混合云网络连接是本地数据中心与 Azure 虚拟网络之间建立稳定通信的基础。Azure 提供两类主流连接方式：基于公网的 VPN 网关（VPN Gateway） 和基于专用线路的 ExpressRoute。二者并非简单的“便宜与昂贵”之分，而是在带宽、时延、可靠性、合规性和成本结构上各有取舍。理解它们的差异，是后续设计混合云架构、规划迁移路径的前提。

一、VPN 网关与 ExpressRoute 的选型逻辑

站点到站点 VPN 通过 IPsec/IKE 隧道，在本地 VPN 设备与 Azure VPN 网关之间穿越公共互联网建立加密连接。它的优势是部署快、成本低、无需运营商介入，适合中小规模、对时延不敏感或作为临时/备份链路的场景。典型规格如 VpnGw1 提供约 650 Mbps 聚合吞吐，VpnGw2 约 1 Gbps，VpnGw3 约 1.25 Gbps，实际吞吐受加密算法、本地设备性能和公网质量影响。

ExpressRoute 则通过连接服务提供商建立专用电路，流量不经过公共互联网，具备更稳定的时延、更高的带宽（从 50 Mbps 到 10 Gbps 甚至更高）和更强的 SLA 保障。它适合大规模数据迁移、实时业务、金融与医疗等对合规和确定性要求高的场景。ExpressRoute 提供三种连接模型：CloudExchange 共置、点对点以太网和 任意位置 IPVPN，企业可根据机房位置和运营商能力选择。

选型时可从五个维度判断：带宽需求、时延敏感度、可用性要求、合规约束和预算。若业务需要长期稳定的大带宽通道，ExpressRoute 更合适；若只是打通测试环境或需要一条低成本备份路径，VPN 网关即可满足。实践中常见“ExpressRoute 主用 + VPN 备份”的组合，兼顾性能与容灾。

二、站点到站点 VPN 配置要点

配置站点到站点 VPN 的核心是让本地网关与 Azure VPN 网关在加密参数、地址空间和路由上达成一致。以下以本地网络 10.0.0.0/16、Azure VNet 10.1.0.0/16 为例说明关键步骤。

首先在 Azure 中创建虚拟网络，并划出一个专用子网命名为 GatewaySubnet，建议使用 /27 或更大前缀，例如 10.1.255.0/27。该子网不能部署其他资源，仅用于承载 VPN 网关。随后创建虚拟网络网关，选择“VPN”类型、路由型 SKU（如 VpnGw2）、分配公共 IP，并指定本地网络网关对象，其中包含本地 VPN 设备的公网 IP 和本地地址空间 10.0.0.0/16。

接着在本地 VPN 设备上配置对端为 Azure 网关公网 IP，预共享密钥（PSK）需与 Azure 连接资源中设置的一致。IKE 阶段建议使用 IKEv2、AES256、SHA256、DH Group 14 或更高。完成后在 Azure 中创建“站点到站点（IPsec）”连接，引用虚拟网络网关与本地网络网关，填入相同 PSK。

# 示例：创建虚拟网络网关（Azure CLI 片段）
az network vnet-gateway create \
  --name vpngw-hybrid \
  --resource-group rg-hybrid \
  --vnet vnet-hybrid \
  --gateway-type Vpn \
  --vpn-type RouteBased \
  --sku VpnGw2 \
  --public-ip-address pip-vpngw

# 创建本地网络网关
az network local-gateway create \
  --name lgw-datacenter \
  --resource-group rg-hybrid \
  --gateway-ip-address 203.0.113.10 \
  --local-address-prefixes 10.0.0.0/16

# 创建 IPsec 连接
az network vpn-connection create \
  --name conn-dc-to-azure \
  --resource-group rg-hybrid \
  --vnet-gateway1 vpngw-hybrid \
  --local-gateway2 lgw-datacenter \
  --shared-key 'ExamplePSK-2024!'

连接建立后，可在 Azure 门户的“连接”页面查看状态是否为“已连接”，并观察输入/输出字节数是否增长。若状态长期为“正在连接”，应依次检查：PSK 是否一致、本地设备是否允许 UDP 500/4500、IKE 版本与加密套件是否匹配、双方地址空间是否重叠。地址空间重叠是常见失败原因，例如本地使用 10.1.0.0/16 而 Azure VNet 也是 10.1.0.0/16，会导致路由冲突而无法通信。

建议为 VPN 连接启用 BGP，使本地与 Azure 之间动态交换路由，便于后续扩展多个子网或增加备份路径，避免逐条维护静态路由。

三、ExpressRoute 专用线路开通流程

ExpressRoute 的开通涉及企业、连接服务提供商和 Microsoft 三方协作，流程比 VPN 更长，通常需要数天到数周。整体可分为以下几个阶段。

确定连接模型与提供商：根据机房位置选择 CloudExchange 共置、点对点以太网或 IPVPN，并确认提供商是否在目标 Azure 区域支持该服务。
创建 ExpressRoute 电路：在 Azure 中指定提供商、对等互连位置、带宽（如 1 Gbps）和 SKU（Standard 或 Premium）。创建后会生成一个 服务密钥（Service Key），需将其提供给提供商。
提供商开通物理链路：提供商依据服务密钥在企业机房与 Azure 边缘之间建立物理交叉连接或逻辑电路，并完成二层/三层配置。
配置对等互连：在 Azure 中配置 Azure 专用对等互连（Private Peering），指定 VLAN ID、主/备 BGP 对等 IP 和 ASN。企业侧路由器需配置对应的 BGP 邻居。
验证与启用：确认电路状态为“已启用”，BGP 邻居为“已连接”，路由表中出现 VNet 地址前缀，随后可将 VNet 关联到 ExpressRoute 网关。

需要特别注意的是，ExpressRoute 电路本身不等于已连通 VNet。必须创建 ExpressRoute 虚拟网络网关，并将 VNet 与电路关联，流量才能进入虚拟网络。若企业需要访问多个 Azure 区域或更多路由前缀，应选择 Premium SKU。

ExpressRoute 不提供加密，若业务有加密要求，可在应用层启用 TLS，或叠加 VPN over ExpressRoute。此外，专用线路虽稳定，但仍建议规划一条 VPN 作为故障切换路径，避免单点中断。

四、选型与实施的关键判断

综合来看，VPN 网关适合快速起步、成本敏感和备份场景；ExpressRoute 适合长期、大带宽、低时延和强合规场景。实际项目中，可先用 VPN 打通测试与迁移通道，待业务稳定后再开通 ExpressRoute 承载生产流量，并保留 VPN 作为容灾。无论选择哪种方式，地址规划、路由设计和加密参数一致性都是成功的关键，建议在实施前完成地址空间核对与设备兼容性确认。