网关-VPN-专线

NAT网关

网络地址转换器，提供NAT代理：==SNAT（出）、DNAT（入）==能力。
阿里云NAT网关分为 公网NAT网关 和 VPC NAT网关。

使用场景

  • 云上机器只想主动访问公网，不想暴露在公网上。
  • 业务具有突增的公网访问需求，用公网NAT网关实现灵活弹性扩容。
  • 大量访问公网的机器，通过NAT网关统一出口。
  • SNAT：内部 ECS 访问外部
  • DNAT：将NAT IP地址和端口，映射为内部IP和端口，可以从外部访问到内部服务。

推荐

DNAT 一般仅用于单台机器简单服务，外访问内推荐使用 SLB。

创建

创建ECS -- 创建NAT网关服务 -- 创建EIP并绑定到NAT上 -- 创建SNAT规则

创建NAT的时候，会让你选择 VPC 和VSW。后续创建SNAT规则时，有粒度选项：
- VPC粒度
- 交换机粒度
- ECS弹性网卡粒度
- 自定义网段粒度

可以精细化指定哪些机器可以走NAT访问公网。

多IP场景

可以指定NAT出公网的IP是单IP还是多IP。多IP情况下，阿里云会通过哈希算法分配到某个IP上。

如何选择公网类产品

有多种公网IP服务：
- VPC ECS固定公网IP
- NAT网关带宽包中的公网IP
- 公网负载均衡实例的公网IP
- VPN网关也有自己的公网IP

灵活应对波峰波谷

可以将EIP加入到共享带宽和共享流量包中。

产品 功能 优势
ECS固定公网IP 创建专有网络类型的ECS实例时，您可以选择分配公网IPv4地址，系统会为您自动分配一个支持访问公网和被公网访问的IP地址。目前，ECS实例固定公网IP不能动态与VPC ECS实例解绑，但可以将固定公网IP转换为EIP。 支持使用共享流量包，将公网IP转换为EIP后也可以使用共享带宽。
弹性公网IP (EIP) 能够动态和VPC ECS实例绑定和解绑，支持VPC ECS实例访问公网(SNAT)和被公网访问(DNAT)。 EIP可以随时和ECS实例绑定和解绑。可以使用共享带宽和共享流量包，降低公网成本。
公网NAT网关 支持多台VPC ECS实例访问公网(SNAT)和被公网访问(DNAT)。

和负载均衡相比，公网NAT网关本身没有均衡流量的功能。		 公网NAT网关和EIP的核心区别是公网NAT网关可用于==多台==VPC ECS实例和公网通信，而EIP只能用于==一台==VPC ECS实例和公网通信。
负载均衡 基于端口提供四层和七层负载均衡功能，支持用户从公网通过负载均衡(SLB)访问ECS。负载均衡分为传统型负载均衡CLB和应用型负载均衡ALB。

负载均衡不支持VPC网络的ECS通过负载均衡主动访问公网(SNAT)。		 在DNAT方面，负载均衡是基于端口的负载均衡，即一个负载均衡的一个端口可以对应多台ECS。负载均衡通过对多台ECS进行流量分发，可以扩展应用系统对外的服务能力，并通过消除单点故障提升应用系统的可用性。绑定EIP后，支持使用共享带宽和共享流量包，降低公网成本。

如何选择私网产品

VPC互联：
- CEN
- VPC Peering

连接本地IDC：
- VPN网关
- 高速通道（运营商专线）
- 智能接入网关SAG + 云连接网 + CEN
- 自己部署VPN软件

如何节约公网成本

共享流量包

买了就开始自动抵扣按流量计费的：
- ECS
- EIP
- CLB

产生的IPv4流量费。而且可以==多个Region生效==。
还有闲时流量包，凌晨零点到早上八点自动生效。

共享带宽包

共享带宽是独立的带宽产品，可以将EIP添加到共享带宽包，这些EIP会同时享用带宽包中的带宽。可以将EIP绑定到ECS、NAT、CLB等。

共享带宽支持包年包月和按量计费。
共享带宽包还提供 95计费模式，提供不限值峰值带宽。适用于突增峰值类型的流量，按实际使用带宽去突发峰值后计费。

成本优化建议

  • 如果EIP较多，并且错峰明显，可以使用共享带宽包节省成本。
  • 对于经常有突发峰值的业务，可以选择95计费。
  • 对于流量稳定的业务可以选择包年包月-按固定带宽计费模式，可以比按量计费节省 20%-30%。

VPN网关

建立加密隧道，实现本地数据中心、企业办公网、互联网客户端连接到阿里云 VPC 的私网连接。

限制

仅支持==非跨境连接==，不支持跨境连接。（跨境连接需要用 CEN）

提供IPSec-VPN和SSL-VPN两种方式：
- IPSec-VPN：本地数据中心做配置，可以连接到阿里云VPC
- SSL-VPN：互联网客户端连接阿里云VPC

连接模式区别

  • IPSec-VPN连接：==Site-to-Site==连接，服务端和客户端都要做配置
  • SSL-VPN连接：==Point-to-Site==连接，不需要配置客户端网关，终端直接接入

IPSec VPN

基于路由的网络连接技术，适用于企业本地数据中心或企业办公网络与VPC之间建立Site-to-Site的网络连接。

双隧道模式与主备模式

阿里云的IPSec-VPN是==双隧道模式==，一个IPSec-VPN连接下包含主备两条隧道，两条隧道分布在不同的可用区，实现高可用。

要求

必须有两个不同可用区的虚拟交换机，也就是说，如果连接的是线下IDC，必须要求IDC有==两个本地网关==才能建立双隧道。对于已经建立双隧道模式的连接，默认就是主备模式了。

实操

阿里云Portal上 - VPN - IPSec连接：可选连接到两种资源：
- 云企业网：本地网关设备连接到 CEN 的TR上。
- VPN网关：需要先创建一个，并且绑定一个VPC

场景一：上海VPC连接北京VPC

  • 上海创建一个VPN网关，再创建一个用户网关；北京创建一个VPN网关，再创建一个用户网关。
  • 上海创建IPSec连接，北京创建IPSec连接，上海的配置好了复制PSK，创建北京的IPSec的时候填进去。显示第二阶段协商成功就连接好了。
  • 两个VPC中的ECS互联，需要两端都配置路由表，告诉目的地址怎么过去。

场景二：IDC连接VPC

创建VPN网关、用户网关，把配置给线下IDC，他们配好连接就行。

私网VPN网关

前提

本地数据中心已经和VPC之间建立了物理专线，那么就可以用IPSec连接，实现物理专线==私网流量加密通信==。

连接到TR

本地IDC通过IPSec连接到 CEN 在某个Region的TR，TR可以连接该Region内的多个VPC，那么本地IDC就和这个Region的多个VPC互通了。

连接不同Region的VPC的话，就需要每个Region创建TR，attach到CEN上。

SSL-VPN

SSL-VPN是一种基于OpenVPN架构的网络连接技术，适用于在互联网客户端与VPC之间建立网络连接。

部署之后，互联网客户端配置好证书，发起连接，就能与VPC互通。Point-to-Site。

高速通道（专线）

阿里云高速通道（Express Connect）可在本地数据中心IDC（Internet Data Center）和云上专有网络VPC间建立==高速、稳定、安全==的私网通信。

产品优势

高速互通、稳定可靠、安全、按需购买。

VBR

==VBR（边界路由器）==是本地CPE（Customer Premises Equipment）和VPC之间的路由器，作为桥梁。

高速通道产品由：物理专线和边界路由器组成。
物理专线的一端连接您本地IDC的网关设备，另一端连接高速通道的边界路由器VBR（Virtual Border Router）。

接入方式

将VBR和要访问的阿里云VPC加入同一个 云企业网 后，本地IDC便可访问阿里云VPC内的全部资源。

物理专线与VPN对比

对比项 物理专线连接 VPN连接
网络质量 通过专用的物理专线接入阿里云网络，提供低网络时延和丢包率的内网级通信质量。 使用共享的公网资源进行通信，网络时延和丢包率等无法保证。
安全性 用户独享物理专线，不走公网，无数据泄露风险，安全性高。满足金融、政企等用户对网络安全性要求高的需求。 基于公网的加密通信，可以满足一般用户的网络传输安全性需求。
传输带宽 单链路最大支持 100 Gbps 的带宽，满足大数据量的业务需求。支持多条物理专线进行ECMP链路聚合，达到 Tbps级别 带宽。 网络带宽受限于公网IP的带宽。
费用支出 极高，需要大量的费用，要联系运营商 较低/一般，直接在阿里云的控制台购买使用
搭建时长 半至一个月，多得话两三个月 ==分钟级==搭建

独享和共享

专线可以选择独享或者共享类型。
独享专线流程复杂，需要在portal上购买，线下是阿里云和运营商合作施工。（通过ECMP等多路径路由实现）

共享专线，用的是已经有的物理专线：
- 预先完成了从合作伙伴到阿里云接入点的专线铺设
- 合作伙伴只需要协助客户完成从合作伙伴接入点到本地IDC的==最后一公里==的专线铺设。
- 运营商和阿里云之间的连接是多租户共享的

专线网络架构

IDC - 本地网关设备 - VBR - TR(CEN) - VPC

智能接入网关

智能接入网关（Smart Access Gateway，简称SAG）是阿里云提供的一站式快速上云==SD-WAN==接入服务。

适用于中小数据中心、分支互联、移动办公、应用加速及混合云等场景。

SAG -- CCN(云连接网) -- CEN -- VPC

产品分类

智能接入网关包含以下三种产品形态：

  • 硬件CPE (Customer Premises Equipment) 设备形态： 适用于站点接入上云。在本地数据中心IDC、企业分支和门店部署智能接入网关硬件设备后可自动和云上形成私网连接。智能接入网关提供SAG-100WM和SAG-1000两个型号的硬件设备。

    • SAG-100WM：可放在桌面或弱电箱内，WAN侧支持宽带、4G接入，LAN侧支持有线、WI-FI接入，最大支持 50 Mbps 加密私网带宽（512字节），适用于小型分支和门店快捷接入。
    • SAG-1000：可放在机架内，WAN侧支持专线、宽带、4G混合组网接入，LAN侧支持有线接入，最大支持 500 Mbps 加密私网带宽（512字节），适用于本地IDC和大型分支接入。

  • 镜像vCPE形态： 适用于站点接入上云。智能接入网关vCPE是智能接入网关的软件镜像版，支持部署在本地IDC的服务器、阿里云边缘节点服务ENS实例、阿里云、AWS、Microsoft Azure等云平台的云服务器上。部署后，智能接入网关vCPE作为一个虚拟CPE设备帮您将网络接入阿里云，加密私网带宽可达 300 Mbps 以上（1024字节），突破了物理的限制，为您接入上云提供更多的灵活性。

  • App形态： 适用于终端接入上云。电脑、手机等终端安装智能接入网关App后可一键接入上云，支持的系统包括：Windows（Windows 7 SP1及以上）、macOS（10.11.1及以上）、Android（5.0至10.0）和iOS（12.0及以上）。

部署方式

  • 直挂
  • 旁挂
  • 专线备份 - 外置
  • 专线备份 - 内置
  • vCPE部署