4. Oracle Cloud网络基础与互联设计
把企业应用迁到 OCI，网络设计往往比计算和存储更早决定成败。OCI 的网络模型以虚拟云网络（VCN）为顶层容器，向下划分子网，再通过安全列表和网络安全组（NSG）控制流量，向外则借助动态路由网关（DRG）、站点到站点 VPN 和 FastConnect 打通企业数据中心。理解这些对象的层级与职责，是设计混合网络拓扑的前提。
VCN 与子网：地址空间的骨架
VCN 是一个可自定义的私有网络，创建时必须指定 CIDR 地址块，例如 10.10.0.0/16。子网从 VCN 的地址空间中切分，分为公共子网和私有子网：公共子网中的资源可拥有公网 IP，私有子网则默认只能通过 NAT 网关或服务网关访问外部。子网还分区域级和可用域级，区域级子网可跨可用域，适合高可用部署。
一个常见的教学示例是：VCN 使用 10.10.0.0/16，划分三个子网——公共子网 10.10.1.0/24 放置负载均衡器，私有应用子网 10.10.2.0/24 放置应用服务器，私有数据子网 10.10.3.0/24 放置数据库。这种分层既隔离了暴露面，也便于后续按子网粒度设置安全策略。
安全列表与 NSG：两种粒度的访问控制
安全列表作用于子网，是子网内所有实例共享的规则集；NSG 作用于一组指定的 VNIC，可以跨子网绑定。两者都是有状态的：允许入站请求后，其响应流量自动放行，无需再写反向规则。
实际配置时，安全列表适合做子网级的粗粒度基线，例如只允许 10.0.0.0/8 访问 SSH 端口 22；NSG 则适合做应用级的精细控制，例如只允许负载均衡器 NSG 访问应用 NSG 的 8080 端口。规则中要明确源/目标 CIDR、协议（TCP/UDP/ICMP）和端口范围。一个易错点是：安全列表和 NSG 是叠加生效的，流量必须同时满足两者才会被放行。
DRG、VPN 与 FastConnect：混合互联的三条路径
DRG 是 OCI 侧的区域级虚拟路由器，它把 VCN 与外部网络连接起来。创建 DRG 后，需要将其附加（attach）到 VCN，并在 VCN 的路由表中添加指向 DRG 的路由规则。DRG 支持与多个 VCN、多个本地网络同时互联，是混合拓扑的枢纽。
站点到站点 VPN 通过公网建立 IPSec 隧道，部署快、成本低，适合作为主链路或备份链路。配置时需要提供本地网关的公共 IP、隧道两端的预共享密钥，以及本地和 OCI 的 CIDR。FastConnect 则通过专线接入，提供更稳定的带宽和更低的时延，适合对性能敏感的核心业务。实际设计中，常见做法是FastConnect 为主、VPN 为备，通过 DRG 的路由优先级实现自动切换。
混合拓扑设计要点
设计混合网络时，首先要确保地址空间不重叠。如果本地数据中心使用 10.0.0.0/8，OCI VCN 就不能再用这个范围，否则路由会冲突。其次要规划路由表：VCN 内每个子网关联一张路由表，决定流量去往互联网网关、NAT 网关、服务网关还是 DRG。再次是安全策略：安全列表和 NSG 要同时覆盖东西向（VCN 内部）和南北向（进出 VCN）流量。
一个可参考的配置检查清单
| 检查项 | 示例值 | 判断依据 |
|---|---|---|
| VCN CIDR | 10.10.0.0/16 | 与本地 192.168.0.0/16 不重叠 |
| 公共子网 | 10.10.1.0/24 | 关联互联网网关路由表 |
| 私有应用子网 | 10.10.2.0/24 | 关联 NAT 网关，禁止直接入站 |
| 私有数据子网 | 10.10.3.0/24 | 仅允许应用子网访问 1521 端口 |
| DRG 路由 | 0.0.0.0/0 → DRG | 本地流量经 DRG 回程 |
| VPN 隧道 | 两条 IPSec 隧道 | 至少一条 UP，BGP 邻居建立 |
| NSG 规则 | LB NSG → App NSG:8080 | 源为 NSG 而非 CIDR |
验证连通性时，可以从 OCI 实例 ping 本地网关地址，或用 traceroute 观察路径是否经过 DRG。如果 VPN 隧道显示 UP 但流量不通，优先检查路由表是否包含本地 CIDR 的条目，以及安全列表是否放行了 ICMP 或对应协议。FastConnect 场景下，还要确认虚拟电路（Virtual Circuit）状态和 BGP 会话是否正常。
总体而言，OCI 网络设计可以按“VCN 定地址、子网定分层、安全列表和 NSG 定访问、DRG 定互联、VPN/FastConnect 定通道”的思路推进。先把地址和路由规划清楚，再逐层叠加安全策略，混合网络的稳定性和可维护性才有保障。