📚 课程目录第1章混合云网络架构总览

1. 混合云网络架构总览

在 Google Cloud 混合云工程中，网络架构决定了本地数据中心、其他云与 Google Cloud 之间“能不能通、通得多快、通得多稳、通得多安全”。如果把业务集成比作城市之间的物流，那么网络连接就是公路体系：Cloud VPN 像加密隧道公路，Cloud Interconnect 像专用高速，Peering 则像与相邻园区直接打通内部道路。三者并非互相替代，而是服务于不同的带宽、时延、成本与合规诉求。

一、三种连接选项的本质差异

Cloud VPN 通过 IPsec 隧道把本地网关或第三方云网关连接到 Google Cloud 的 HA VPN 网关。它基于公网传输，部署快、成本低，适合中小带宽、临时或备份链路。HA VPN 提供 99.99% 的 SLA，前提是正确配置两个接口、两个隧道并分布在两个可用区。其典型单隧道吞吐约 1.5～3 Gbps，实际取决于流量特征与加密开销。

Cloud Interconnect 分为 Dedicated Interconnect 与 Partner Interconnect。前者在 Google 边缘接入点与客户路由器之间建立物理专线，后者通过运营商提供逻辑连接。它不经过公网，具备更低时延、更稳定抖动和更高带宽（Dedicated 单链路常见 10 Gbps 或 100 Gbps）。适合核心生产流量、大数据同步、对时延敏感的交易系统。

Peering 包括 Direct Peering 与 Carrier Peering，用于与 Google 边缘网络交换路由，主要优化访问 Google 公开服务（如 Google Workspace、YouTube）的路径。它不直接接入 VPC，因此不能替代 VPN 或 Interconnect 来承载私有 VPC 流量，常作为访问 Google 公共服务的补充手段。

二、业务集成目标如何驱动选型

混合云网络不是“连通即可”，而是要满足四类可量化目标：时延（如交易系统要求同城 RTT < 2 ms）、带宽（如每日增量备份 5 TB，需在 4 小时窗口内完成，则至少 3 Gbps 持续吞吐）、可用性（核心链路 99.99%，允许单点故障自动切换）、安全合规（数据不出境、流量加密、访问可审计）。

一个实用的判断路径是：先看流量是否必须进入 VPC。若必须，则在 VPN 与 Interconnect 之间选择；若只是访问 Google 公开服务，则考虑 Peering。再看带宽与时延：低于 3 Gbps 且可接受公网抖动，优先 HA VPN；高于 10 Gbps 或要求稳定低时延，选 Dedicated Interconnect；介于两者之间且希望快速开通，可选 Partner Interconnect。最后看可用性：生产核心建议“双专线 + HA VPN 备份”，通过 Cloud Router 的 BGP 优先级实现主备切换。

三、典型拓扑与关键配置要点

以某零售企业为例：本地 IDC 网段 10.10.0.0/16，GCP VPC 网段 10.20.0.0/16。主链路采用两条 Dedicated Interconnect（不同接入点），备份链路采用 HA VPN。Cloud Router 使用 ASN 16550，本地路由器 ASN 65001，通过 BGP 交换路由。主链路 MED 设为 100，备份链路 MED 设为 200，实现主备。关键配置如下：

# Cloud Router 创建（示例）
gcloud compute routers create cr-hybrid \
  --region=asia-east1 \
  --network=vpc-prod \
  --asn=16550

# HA VPN 网关与隧道（示例）
gcloud compute vpn-gateways create ha-vpn-gw \
  --region=asia-east1 \
  --network=vpc-prod

gcloud compute vpn-tunnels create tunnel-1 \
  --region=asia-east1 \
  --vpn-gateway=ha-vpn-gw \
  --peer-gcp-gateway=onprem-vpn-gw \
  --router=cr-hybrid \
  --shared-secret=EXAMPLE_SECRET \
  --interface=0

# 查看 BGP 路由与隧道状态
gcloud compute routers get-status cr-hybrid --region=asia-east1
gcloud compute vpn-tunnels describe tunnel-1 --region=asia-east1

验证时重点观察三项：隧道状态是否为 ESTABLISHED；BGP 会话是否 Established 且收到对端路由；实际路径是否走主链路。可用 gcloud compute routers get-status 查看 bestRoute，或在 GCE 实例上执行 traceroute 确认下一跳。若主链路中断，BGP 应在数十秒内收敛到备份隧道，此时业务应无感切换。

建议为混合云链路单独规划网段，避免与本地或 GCP 现有子网重叠；同时为 Cloud Router 配置自定义路由通告，只发布必要网段，减少路由表规模与安全暴露面。

Peering 不能承载 VPC 私有流量，若误将 Peering 当作 VPC 互联手段，会导致私有 IP 无法到达。此外，Dedicated Interconnect 开通周期通常以周计，需提前规划，避免业务上线被链路交付阻塞。

综上，混合云网络架构的核心是“按业务目标选连接、按可用性做冗余、按安全合规做边界”。Cloud VPN 解决快速与备份，Cloud Interconnect 解决性能与稳定，Peering 解决公开服务访问优化。三者组合，配合 Cloud Router 的动态路由与合理的网段规划，才能形成既满足业务集成目标、又可持续演进的混合云网络底座。