1. 混合云网络工程导论
混合云网络工程要解决的核心问题，不是“把云和机房连起来”这么简单，而是让本地数据中心（On-Premises）、Oracle Cloud Infrastructure（OCI）区域（Region）以及可能存在的其他公有云，在地址、路由、安全、性能、可观测性五个维度上形成一套可治理、可演进的统一网络。它既包含物理链路与设备，也包含虚拟云网络（VCN）、动态路由网关（DRG）、IPSec VPN、FastConnect 专线、负载均衡、网络防火墙等逻辑构件。理解这些构件之间的层次与依赖，是后续所有工程动作的前提。
一、核心概念：从“连通”到“可治理的连通”
在 OCI 语境下，混合云网络的最小可用单元通常由四类对象构成：VCN（区域内的虚拟网络，承载子网、路由表、安全列表、NSG）、DRG（区域级虚拟路由枢纽，负责 VCN 与外部网络的汇聚）、CPE（Customer Premises Equipment，描述本地 VPN 设备公网地址与路由域）、连接资源（IPSec VPN 或 FastConnect 虚拟电路）。四者的关系是：CPE 与 DRG 之间建立 IPSec 隧道，DRG 通过附件（Attachment）挂接 VCN，VCN 内部再由路由表把流量导向 DRG。若使用 FastConnect，则本地路由器通过专线接入 OCI 的 FastConnect 边缘，再经虚拟电路进入 DRG，逻辑路径与 VPN 一致，但底层不再依赖公网加密隧道。
需要特别区分两个常被混淆的概念：可达性与可治理性。可达性只要求路由能通；可治理性还要求地址不重叠、路由可预测、安全策略可审计、故障可定位。工程实践中，绝大多数混合云故障并非“没连上”，而是地址重叠、路由优先级错误、安全列表与 NSG 规则冲突、MTU 不一致导致大包丢弃。因此，混合云网络工程的第一原则是：先规划地址与路由域，再谈连接方式。
二、业务驱动：为什么企业必须做混合云网络
业务驱动通常来自四类诉求。第一是数据驻留与合规：核心数据库、患者信息、金融交易记录必须留在本地或指定区域，而分析、灾备、弹性扩容放在云上。第二是渐进式迁移：应用无法一次性重构上云，需要本地与云上长期并存，形成“双活”或“主备”拓扑。第三是弹性与成本：本地容量按峰值建设成本高，云上按需扩容可削峰填谷。第四是生态与集成：SaaS、第三方云服务、Oracle Exadata Cloud@Customer 等需要与本地系统低延迟互通。这些驱动直接决定了网络设计的目标函数：延迟、带宽、可用性、合规边界与成本之间的权衡。
三、技术栈全景：从物理层到策略层
把混合云网络技术栈自上而下拆开，可以分成五层。最上层是策略与治理层：地址规划、路由域划分、安全域、标签与成本归属。第二层是云内网络层：VCN、子网、路由表、安全列表、NSG、负载均衡、NAT 网关、服务网关。第三层是互联层：DRG、IPSec VPN、FastConnect、远程对等连接（RPC）。第四层是本地网络层：CE 路由器、防火墙、交换机、VLAN、BGP 会话。最底层是物理与传输层：专线、公网、光模块、MTU、加密算法。任何一层配置错误，都会在端到端路径上表现为“时通时断”或“单向通”。
四、工程生命周期：从规划到退役
混合云网络工程不是一次性交付，而是一个持续演进的生命周期，通常包含六个阶段。规划阶段确定地址域、路由域、安全域与连接方式，输出 IP 地址分配表与拓扑图。设计阶段细化 VCN 与子网划分、DRG 附件、BGP 参数、冗余路径与故障切换策略。实施阶段按“先本地后云上、先路由后安全”的顺序落地，先打通 BGP 邻居，再逐条放行安全规则。验证阶段用 ping、traceroute、BGP 邻居状态、隧道状态、MTU 探测逐层确认。运维阶段监控隧道抖动、路由收敛、带宽利用率与安全事件。退役阶段回收地址、撤销路由、关闭隧道与虚拟电路，避免残留路由造成黑洞。
以一个典型示例说明参数关系：本地业务网段为 10.10.0.0/16，OCI VCN 为 10.20.0.0/16，两者不重叠。本地 CE 路由器使用 AS 65001，OCI DRG 使用 AS 31898，通过 IPSec VPN 建立两条隧道实现冗余。BGP 邻居建立后，本地向 DRG 宣告 10.10.0.0/16，DRG 向本地宣告 10.20.0.0/16。此时若从本地 ping OCI 实例不通，排查顺序应为：隧道状态是否为 UP → BGP 邻居是否为 Established → DRG 路由表是否学到 10.20.0.0/16 → VCN 路由表是否有指向 DRG 的规则 → 安全列表与 NSG 是否放行 ICMP → 实例自身防火墙是否放行。这个顺序体现了“自下而上、先通后策”的排障逻辑。
10.20.0.0/16，则 OCI VCN 必须改用其他网段，否则即使隧道 UP，路由也会因冲突而无法正确转发。五、工程视角下的关键权衡
选择 IPSec VPN 还是 FastConnect，取决于带宽、延迟、成本与合规要求。VPN 部署快、成本低，但受公网抖动影响，适合中小带宽与临时互通；FastConnect 提供稳定带宽与更低延迟，适合核心生产流量，但开通周期长、成本高。生产环境常见做法是“FastConnect 主 + VPN 备”，利用 BGP 的 AS Path 或 Local Preference 控制选路，实现专线故障时自动切换到 VPN。无论哪种方式，都必须保证双向路由对称，否则会出现“请求能到、响应回不来”的单向通问题。
最后需要强调，混合云网络工程的交付物不只是“能通”，而是一套可复用的资产：地址规划表、拓扑图、BGP 参数表、安全策略矩阵、验证清单与监控指标。这些资产让后续扩容、排障与审计有据可依，也是从“个人经验”走向“工程能力”的关键。