云企业网 CEN

文档： https://help.aliyun.com/zh/cen/product-overview/what-is-cen?spm=a2c4g.11174283.0.0.4aca5905RWQ7VN

作用：打通不同地域的内网Aliyun/网络/VPC连接，需要靠TR来实现。

通过CEN连接的两个VPC之间是否可以互相通信？

可以，只要通过 CEN（云企业网）正确打通路由和授权，两个接入的 VPC 就能互通。CEN 会在不同账号/地域的 VPC 之间建立传输通道。

条件：各 VPC 的路由表需要把对端网段指向 CEN，安全组/ACL 放行对端流量，并且在CEN 中完成实例互访授权（同账号自动生效，跨账号需接受邀请）。

如果要隔离，只需在 CEN 中禁用实例互访或在网络策略层面限制。

应用场景

  • 同地域网络组网：这个region创建一个TR，本Region的Aliyun/网络/VPC连接到TR即可
  • 跨地域网络组网：每个Region都创建一个TR，各个Region的VPC加入到各自Region的TR，不同Region之间的TR也做互联
  • 混合云组网：物理专线+VBR，SAG+CCN，VPN网关，都可以通过连接到TR，实现互联互通

企业复杂组网

统一VPC出口

所有VPC都走同一个VPC的出口EIP访问公网。

实现场景

您可以通过转发路由器的多种路由功能定义灵活的路由策略，使云上部署的所有VPC实例从==统一的互联网出口==访问互联网，便于集中管控，提高您业务的安全性。

主要操作：

  • 创建转发路由器实例后，将所有VPC实例连接至转发路由器实例，依据互通地域创建跨地域连接，然后通过创建自定义路由表、自定义路由条目等路由功能：
    • 引导云上所有VPC实例去往互联网的流量从统一出口访问互联网。

多VPC间流量安全互访

实现场景

您可以通过转发路由器的多种路由功能定义灵活的路由策略，将VPC实例间互相访问的流量划分为==可信流量==和==不可信的流量==，引导不可信的流量先经过安全服务VPC进行流量过滤，并只允许过滤后的流量相互通信，提高网络的安全性。

主要操作：

  • 创建转发路由器实例后，将所有VPC实例连接至转发路由器实例，依据互通地域创建跨地域连接，然后通过创建自定义路由表、自定义路由条目等路由功能：
    • 引导不可信的流量先经过安全服务VPC进行流量过滤，然后只允许过滤后的流量相互通信。

https://help.aliyun.com/zh/cen/use-cases/use-an-enterprise-edition-transit-router-to-enable-and-secure-network-communication#task-2076151

多CEN实例下的网络使用共享服务

实现场景

一个VPC实例支持同时连接多个转发路由器实例。
如果您拥有多个云企业网实例，不同云企业网实例下的网络均需要访问某一个VPC实例下的服务，您可以将该VPC实例连接至不同云企业网实例下的转发路由器上，然后通过转发路由器的多种路由功能实现不同云企业网实例的网络均可以访问该VPC实例的服务。

主要操作：

  • 将需要共享服务的VPC实例连接至各个云企业网实例下的转发路由器上，然后依据互通需求在各个转发路由器上添加相关路由配置，实现多个云企业网实例下的网络均可以访问该VPC实例的服务。

TR 转发路由器

转发路由器是地域范围内的核心转发组件，一个Region支持创建一个TR。

路由表

TR通过路由表进行流量转发。

  • 默认路由表：自动给每个TR创建
  • 自定义路由表：与默认路由表及其他自定义路由表互不相通，可以实现访问隔离
  • 关联转发【VPC访问别人看哪张表】：实例连接与转发路由器路由表可以创建关联转发关系。关联转发关系创建后，转发路由器会依据网络实例连接关联的路由表转发其流量。
  • 路由学习【VPC把自己登记到哪张表方便别人看】：网络实例连接到TR之后，可以创建路由学习关系，TR路由表可以自动学习该网络实例的路由

类比理解

把 TR 比作一个"超级巨大的中央邮局"，把连接到 TR 的 Aliyun/网络/VPC（专有网络）比作不同的"公司办事处"。

默认路由表 (Default Route Table)

  • 概念：TR 实例创建时，系统会自动赠送一张路由表。
  • 通俗理解：这是邮局的"大厅通用地图"。
  • 作用：如果你不搞特殊化（不配置自定义路由表），所有连进来的办事处（VPC）都会默认看这就这张地图来决定包裹往哪发。默认情况下，所有连进来的 VPC 都在这里交换信息，大家都能互相连通。

自定义路由表 (Custom Route Table)

  • 概念：用户自己创建的路由表，默认是空的。它与默认路由表、其他自定义路由表==完全隔离==。
  • 通俗理解：这是邮局里的"VIP 私密小黑屋"。
  • 作用：
    • 隔离：你可以把这张地图锁在小黑屋里，只有特定的人（VPC）能进来看。
    • 特殊策略：大厅地图可能显示"去上海走A门"，但小黑屋的地图可以写"去上海走B门"或者"根本不许去上海"。
    • 场景：比如你有"生产环境 VPC"和"测试环境 VPC"，你不想让测试环境访问生产环境，你就给它们分别建两个不同的"小黑屋（自定义路由表）"，让它们彼此看不见对方的路线。

流量怎么走 = 进门查谁的表 (关联) + 表里有什么路 (学习)

关联转发 (Association) -- "进门查谁的表"

  • 概念：建立网络实例连接（如 VPC 连接）与某张路由表的关系。
  • 通俗理解：这是给办事处（VPC）发的"入场指引牌"。
  • 核心逻辑：
    • 当流量从 VPC 出来，进入 TR 的那一刻，TR 问："我该查哪张表来转发这个包？"
    • "关联"就是告诉 TR："VPC-A 发来的包，请去查'路由表-1'；VPC-B 发来的包，请去查'路由表-2'"。
  • 一个 VPC 连接同一时间只能关联一张路由表（你不能同时既在"大厅"又在"小黑屋"）。

路由学习 (Route Propagation/Learning) -- "表里有什么路"

  • 概念：将网络实例（如 VPC）里的路由条目，自动同步到 TR 的某张路由表中。
  • 通俗理解：这是"把你的地址登记到地图上"。
  • 核心逻辑：
    • 如果 VPC-A 的网段是 192.168.1.0/24，且它与'路由表-2'建立了路由学习关系。
    • 那么'路由表-2'上就会自动多出一行字："要去 192.168.1.0/24，请转发给 VPC-A"。
    • 如果没有"学习"，路由表就是一张白纸，即使你"关联"进来了，查表发现是空的，流量也会被丢弃（也就是网络不通）。
  • 一个 VPC 的路由可以同时被多张路由表学习（你的地址可以同时出现在"大厅地图"和"VIP地图"上）。

综合示例：生产VPC 与 测试VPC 隔离

假设你有两个 VPC：生产VPC 和 测试VPC。你想让它们都连到 TR，但互相隔离不通。

  1. 创建路由表：
    • 创建一张 "生产路由表"。
    • 创建一张 "测试路由表"。
  2. 配置关联（决定查哪张表）：
    • 设置：生产VPC 关联 → 生产路由表。
      • 含义：生产VPC发出的流量，只查生产路由表。
    • 设置：测试VPC 关联 → 测试路由表。
      • 含义：测试VPC发出的流量，只查测试路由表。
  3. 配置学习（决定表里有谁的地址）：
    • 设置：生产路由表 学习 ← 生产VPC。
      • 含义：生产路由表里有了去往生产VPC的路。
    • 设置：测试路由表 学习 ← 测试VPC。
      • 含义：测试路由表里有了去往测试VPC的路。

结果分析：
当 生产VPC 想发数据给 测试VPC 时：
1. 流量进入 TR，根据关联关系，TR 打开了 "生产路由表"。
2. TR 查表发现：表里只有去往"生产VPC"的路（因为只学习了生产VPC），根本没有去往"测试VPC"的路。
3. 结果：路不通，丢包。实现了隔离。

网络实例连接

网络实例连接是转发路由器与其他组件的连接种类，可分为：

  1. VPC连接
  2. VBR连接（边界路由器，高速通道用的）
  3. CCN连接（云连接网，智能接入网关SAG用的)
  4. VPN连接（IPSec与TR的连接）
  5. 跨地域连接：不同Region之间的TR attach（在CEN portal - 跨地域网络连接里面创建，就是跨地域TR attach）

TR Attach没有传递性

Region A和Region B建立了TR跨区域连接，Region B和Region C建立了TR跨区域连接。那么Region A和Region C==并不会自动产生连接==，还是得重新创建跨区域连接。