4. 迁移网络架构安全设计
数据库云迁移的网络设计，核心不是“把源库和目标库连通”，而是要在连通的同时明确三件事：谁可以到达数据库、通过哪条路径到达、到达过程是否可被审计。VPC 规划解决地址空间与边界问题，子网隔离解决东西向暴露面问题，安全组与网络 ACL 解决访问控制粒度问题，专线/VPN 解决传输加密与链路质量问题，流量镜像则解决“看不见的流量”问题。这五者构成一个从边界到链路、从控制到观测的完整安全网络架构。
一、VPC 规划：先定地址空间，再定边界
VPC 规划的第一步是确定 CIDR 块。数据库迁移场景中，建议为数据库单独划分一个 VPC，而不是与应用系统混用。示例规划如下：数据库 VPC 使用 10.20.0.0/16，其中 10.20.1.0/24 作为数据库子网，10.20.2.0/24 作为迁移中转子网，10.20.3.0/24 作为审计与镜像接收子网。源端 IDC 使用 192.168.0.0/16，两者地址段不重叠，避免后续路由冲突。
VPC 规划还要预留三类地址：一是迁移期间 DTS 或复制工具使用的临时实例地址；二是专线/VPN 网关的隧道接口地址；三是未来扩容或灾备的预留段。若源库地址与云上 VPC 重叠，必须在迁移前做 NAT 映射或重新规划，否则专线建立后会出现“能 ping 通但路由不可达”的典型问题。
二、子网隔离：把数据库放在最内层
子网隔离的目标是让数据库子网只接受来自迁移中转子网或应用子网的特定端口流量。推荐采用三层结构：公网接入层（仅放 NAT 网关、跳板机）、迁移中转层（放 DTS、复制代理、校验工具）、数据库层（放 RDS、自建库、只读副本）。数据库层不绑定公网 IP，不配置 0.0.0.0/0 路由，出站流量经 NAT 网关或直接走专线回源。
子网划分时，路由表要与子网绑定。数据库子网的路由表只保留本地路由和到迁移中转子网的路由；迁移中转子网的路由表保留到源端 IDC 的专线/VPN 路由。这样即使安全组配置出现疏漏，路由层也不会把数据库子网直接暴露到公网。
三、安全组与网络 ACL：有状态与无状态的分工
安全组作用于实例网卡，是有状态的：允许入站 1521 后，返回流量自动放行。网络 ACL 作用于子网，是无状态的：入站和出站必须分别配置。迁移场景中，建议安全组做精细控制，网络 ACL 做粗粒度兜底。
示例策略：数据库安全组入站仅允许 10.20.2.0/24 的 1521/3306/5432 端口，以及迁移中转子网到监控端口的 9100；出站仅允许到审计子网的 514/UDP 和到源端的 1521。网络 ACL 入站允许 10.20.0.0/16 的数据库端口，拒绝其他所有；出站允许 10.20.0.0/16 和 192.168.0.0/16 的返回流量，拒绝公网出站。注意网络 ACL 的规则编号越小优先级越高，拒绝规则要放在允许规则之后，否则会误杀合法流量。
四、专线/VPN 加密通道：链路选择与加密边界
专线提供稳定带宽和低延迟，但专线本身不默认加密。若迁移数据包含敏感字段，应在专线上叠加 IPsec VPN，或在数据库复制层启用 TLS。VPN 方案部署快、成本低，但受公网抖动影响，适合中小数据量或迁移窗口较短的场景。选择依据可参考：数据量大于 1 TB、迁移窗口小于 8 小时，优先专线；数据量小于 200 GB、可接受小时级波动，可用 VPN。
加密通道建立后，要验证三件事：隧道状态是否为 UP、路由是否指向隧道接口、数据库复制是否走加密端口。以 MySQL 为例，可在复制账户上强制 REQUIRE SSL，并通过 SHOW STATUS LIKE 'Ssl_cipher' 确认当前连接使用了加密套件。若返回为空，说明复制流量未加密，需要检查客户端配置和证书链。
五、流量镜像审计：让迁移流量可观测
流量镜像把数据库子网或迁移中转子网的流量复制到审计子网的分析实例。镜像源选择迁移中转子网的弹性网卡，镜像目标为审计子网的接收实例，过滤条件设为数据库端口和源端 IP。镜像流量不参与转发，因此不会影响迁移性能，但会占用额外带宽，建议镜像会话带宽不超过源网卡带宽的 10%。
审计侧可用 tcpdump 抓包后交给 Zeek 或 Suricata 分析，重点观察：是否有非白名单 IP 尝试连接数据库端口、复制延迟是否伴随重传、TLS 握手是否失败。示例判断：若 5 分钟内出现超过 20 次来自非迁移中转子网的 1521 连接尝试，应触发告警并检查安全组和网络 ACL 是否被误改。
六、策略落地检查要点
完成上述设计后，建议按以下顺序验证：先确认 VPC 与源端地址不重叠，再确认数据库子网无公网路由，然后检查安全组入站是否只放行迁移中转子网，接着验证网络 ACL 出站是否限制到必要目标，最后确认专线/VPN 隧道状态和复制加密套件。流量镜像的告警规则应在迁移开始前完成一次模拟触发，确保审计链路可用。
迁移网络架构的安全设计不是一次性配置，而是随迁移阶段变化的动态策略。全量同步阶段可临时放宽带宽限制，增量追平阶段应收紧白名单，切换窗口期则要同时保留回滚路径和审计记录。只有把边界、控制、链路和观测四层都落实，数据库迁移才具备可验证的安全基础。