中转路由器
中转路由器
文档指南
请输入
- 文档首页
中转路由器云广域网最佳实践多网络平面网络隔离
复制全文
下载 pdf多网络平面网络隔离
文档反馈
问问助手本文介绍如何基于云广域网的网络平面能力，按业务域划分相互隔离的独立网络：将各地域的生产 VPC 加入「生产网」网络平面实现跨地域自动互通，将各地域的测试 VPC 加入「测试网」网络平面实现跨地域自动互通，而生产网与测试网之间默认不可互访。
场景介绍
企业在全球多地开展业务时，通常会同时运行正式业务、开发业务和测试业务。这些业务需要严格隔离——测试环境、开发环境的任何改动、故障或安全问题，都不能影响到正式业务，开发环境、测试环境的改动也不能相互影响。但另一方面，同一种业务分布在不同地域时，又需要能自动互联互通，比如多地同时运行、数据互相同步。
云广域网通过网络平面可以解决以上问题。简单来说，网络平面就是一套独立的网络通道——它在全球每个地域的核心网络设备上都有一张专属的"地址簿"，相当于给企业建了一张覆盖全球的专用网络。网络平面的关键特性包括：
- 路由隔离：不同网络平面各自使用独立路由表，路由默认不互相学习、不互相传递，从而实现不同业务域之间的天然隔离。
- 自动互通：加入同一个互通网络平面的所有网络实例连接默认全互通，且默认覆盖网络平面地域列表内的所有地域，无需逐地域手工配置路由。
- 简化管理：通过逻辑分组聚合同类资源，按业务域进行统一运维与监控。
本文的组网拓扑如下图所示：在一个核心网内创建「生产网」和「测试网」两个互通网络平面，各地域生产 VPC 加入生产网、测试 VPC 加入测试网。同网络平面内跨地域自动互通，两个网络平面之间因路由默认不互相学习而天然隔离。
数据规划
配置前建议先完成如下资源与网络规划，确保各 VPC 网段不冲突、地域与 ASN 分配清晰。以下为示例规划，请结合实际业务替换。
- 核心网与地域规划
-
- 网络平面规划
-
说明
网络平面的地域列表限制的是「可加入资源的地域范围」，而非「互通范围」。地域列表内所有地域的网络实例连接均可加入该平面并自动互通。
- 网络实例VPC规划
-
- 连接策略规划
- 为实现「VPC 挂载即自动归类到对应网络平面」，可预先规划连接策略，通过标签自动将网络实例连接分类到不同的网络平面。
-
前提条件
- 已开通云广域网服务在华北2（北京）、华东2（上海）、华南1（广州）地域的白名单。如未开通，请提交工单或联系客户经理。
- 已在规划的各地域（华北2（北京）、华东2（上海）、华南1（广州））创建好待接入的生产、开发、测试 VPC，且各 VPC 网段互不冲突。如未创建，请参考搭建IPv4私有网络。
- 当前账号已具备云广域网、VPC 等相关资源的操作权限。如没有权限，请联系主账号为您添加授权，具体需要添加的策略可参见云广域网IAM策略类型。
- 待接入云广域网的 VPC 未连接至中转路由器、云企业网、VPN 网关或全域网关。
配置步骤
步骤一：创建全域网络与核心网
- 登录Cloud WAN控制台。
- 在顶部导航栏选择目标项目。
- 单击 创建全域网络 按钮，参考下表配置全域网络。
- 参数说明示例全域网络名称设置全域网络的名称。gn-enterprise所属项目default标签按需为全域网络添加一个或多个用户标签。单击
图标可添加多个标签，最多可同时添加20个标签。- 标签键：gn-k1
- 标签值：gn-v1
核心网名称设置全域网络的核心网名称。cn-enterprise地域及ASN选择核心网所在的地域，并填写地域的ASN。华北2（北京），ASN：65001华东2（上海），ASN：65002华南1（广州），ASN：65003网络平面名称设置网络平面的名称。生产网
- 单击 创建 按钮，完成操作。
全域网络创建成功后，系统会自动生成第一个配置版本（版本号为版本1），包含核心网的地域、ASN 及网络平面生产网的配置，该版本随即进入已执行状态。
步骤二：创建互通网络平面开发网和测试网
云广域网的所有配置均通过配置版本进行。修改配置需基于当前运行版本编辑生成一个新版本，再执行生效。
- 在全域网络实例列表中，单击目标实例的名称。
- 在左侧导航树中选择 核心网 > 配置版本。
- 单击执行版本右侧的 编辑 按钮，选择任一配置方式。
-
- 单击 网络平面 页签。
- 单击 创建网络平面 按钮，参考下表分别创建开发网和测试网网络平面。
-
- 单击 确定 按钮，完成操作。
在配置版本内容的segments配置中，添加网络平面测试网的相关内容，如以下JSON配置的加粗部分。{"schema-version": "2026.06","core-network": {"locations": [{"region": "cn-beijing","asn": 65001},{"region": "cn-shanghai","asn": 65002},{"region": "cn-guangzhou","asn": 65003}]},"segments": [{"name": "生产网","description": "","isolate-attachments": false,"locations": [{"region": "cn-beijing"},{"region": "cn-shanghai"},{"region": "cn-guangzhou"}]},{"name": "开发网","description": "","isolate-attachments": false,"locations": [{"region": "cn-beijing"},{"region": "cn-shanghai"},{"region": "cn-guangzhou"}]},{"name": "测试网","description": "","isolate-attachments": false,"locations": [{"region": "cn-beijing"},{"region": "cn-shanghai"},{"region": "cn-guangzhou"}]}]}
步骤三：配置连接策略实现自动归类
连接策略遵循顺序匹配、唯一匹配、默认不加入原则：按条目序号从小到大匹配，一旦命中即停止不再匹配其他条件；未命中任何策略条目的网络实例连接不加入任何网络平面。
- 在配置版本编辑页面切换到 连接策略 页签。
- 单击 创建策略条目 按钮，参考下表分别为生产网、测试网配置连接策略。
-
- 单击 确定 按钮，完成操作。
在配置版本内容中新增attachment-policies部分，如以下JSON配置中加粗部分。
{
"schema-version": "2026.06",
"core-network": {
"locations": [
{
"region": "cn-beijing",
"asn": 65001
},
{
"region": "cn-shanghai",
"asn": 65002
},
{
"region": "cn-guangzhou",
"asn": 65003
}
]
},
"segments": [
{
"name": "生产网",
"description": "",
"isolate-attachments": false,
"locations": [
{
"region": "cn-beijing"
},
{
"region": "cn-shanghai"
},
{
"region": "cn-guangzhou"
}
]
},
{
"name": "开发网",
"description": "",
"isolate-attachments": false,
"locations": [
{
"region": "cn-beijing"
},
{
"region": "cn-shanghai"
},
{
"region": "cn-guangzhou"
}
]
},
{
"name": "测试网",
"description": "",
"isolate-attachments": false,
"locations": [
{
"region": "cn-beijing"
},
{
"region": "cn-shanghai"
},
{
"region": "cn-guangzhou"
}
]
},
"attachment-policies": [
{
"rule-number": 10,
"description": "",
"conditions": [
{
"type": "label-value",
"operator": "equals",
"key": "env",
"value": "prod"
}
],
"action": {
"association-target": "segment",
"association-method": "constant",
"segment": "生产网"
}
},
{
"rule-number": 20,
"description": "",
"conditions": [
{
"type": "label-value",
"operator": "equals",
"key": "env",
"value": "dev"
}
],
"action": {
"association-target": "segment",
"association-method": "constant",
"segment": 开发网"
}
},
{
"rule-number": 30,
"description": "",
"conditions": [
{
"type": "label-value",
"operator": "equals",
"key": "env",
"value": "test"
}
],
"action": {
"association-target": "segment",
"association-method": "constant",
"segment": "测试网"
}
}
]
}
步骤四：生成并执行配置版本
- 完成步骤三的配置后，单击 生成新版本 按钮，系统会进行语法与依赖校验（如配额、平面被引用关系等），校验通过后生成 版本号为版本2 的最新版本，版本状态为 可执行。
- 在配置版本列表中找到该最新版本，单击右侧的 执行 按钮，进入执行预览页查看变更集。
- 确认无误后单击右上角 确认执行 按钮。
- 单击 确定 按钮，执行版本2的变更集。
- 执行期间版本状态为 执行中，整个过程大约需要3-5分钟，您可以在配置版本列表中实时查看版本执行进度，执行成功后版本状态变为 已执行。
步骤五：挂载 VPC 到对应网络平面
- 在左侧导航树中选择 核心网 > 网络实例连接。
- 单击 创建网络实例连接 按钮，参考下表分别配置生产网的3条网络实例连接。
-
- 单击 创建 按钮，完成操作。
- 重复1-3步，参考下表配置开发网的3条网络实例连接。
-
- 重复1-3步，参考下表配置测试网的3条网络实例连接。
-
- 网络实例连接创建完成后，确认9条网络实例连接的状态均为 可用。
- 单击连接策略标签列的
按钮，分别为9条网络实例连接添加连接策略标签。
- 生产网3条网络实例连接：添加标签键为env，标签值为prod的连接策略标签。
- 开发网3条网络实例连接：添加标签键为env，标签值为dev的连接策略标签。
- 测试网3条网络实例连接：添加标签键为env，标签值为test的连接策略标签。
- 单击 确定 按钮，完成连接策略标签的设置。
- 查看9条网络实例连接加入网络平面，确保生产网的3条网络实例连接加入「生产网」网络平面，开发网的3条网络实例连接加入「开发网」网络平面，测试网的3条网络实例连接加入「测试网」网络平面。
步骤六：查看路由信息
以上步骤配置完成后，云广域网互通网络平面内自动学习了不同地域的VPC路由，且互通网络平面内私有网络的路由自动同步至其他私有网络路由表中，请查看路由确保配置准确无误。
- 查看云广域网路由
- 在左侧导航树中选择 核心网 > 基础信息。
- 选择 路由信息 页签，网络平面依次选择生产网、开发网、测试网，地域依次选择华北2（北京）、华东2（上海）、华南1（广州），查看云广域网路由，确保已学习到不同地域的路由。
- 以生产网、华北2（北京）地域为例，路由信息列表中应存在以下可用状态的路由：
- 目标网段为华北2（北京）地域VPC的子网段，下一跳为该VPC对应的网络实例连接的路由条目。
- 目标网段为华东2（上海）地域VPC的子网段，下一跳为跨地域的路由条目。
- 目标网段为华南1（广州）地域VPC的子网段，下一跳为跨地域的路由条目。
说明
云广域网路由表中存在目标网段相同的路由时，根据路由属性（即AsPath）越短优先级越高的原理，因此2条目标网段为10.2.0.0/24的路由中，下一跳为地域 - cn-shanghai的路由属性长度更短，优先级更高，因此该条路由生效，状态为可用；2条目标网段为10.3.0.0/24的路由同理。
- 查看VPC路由
- 登录VPC控制台，在顶部导航栏选择华北2（北京）地域。
- 在VPC列表中搜索名称为vpc-prod-bj的VPC，并单击该VPC名称进入详情页面。
- 单击 关联资源 区域 路由表 右侧的数字，并单击路由表名称进入详情页面。
-
- 在 路由条目 页签下，选择 传播路由 页签，确保云广域网已将互通网络平面内其他VPC路由同步到该VPC路由表中。
- 以「生产网」网络平面中华北2（北京）地域的vpc-prod-bj为例，其从云广域网同步的路由为：
- 目标网段为华东2（上海）地域VPC的子网段，下一跳为核心网cn-enterprise的路由条目。
- 目标网段为华南1（广州）地域VPC的子网段，下一跳为核心网cn-enterprise的路由条目。
结果验证
- 验证「生产网」网络平面内跨地域互通：登录生产网在华北2（北京）地域的ECS实例，分别ping华东2（上海）、华南1（广州）地域的ECS实例IP地址，能够ping通说明可以互通。
- 验证「开发网」网络平面内跨地域互通：登录开发网在华北2（北京）地域的ECS实例，分别ping华东2（上海）、华南1（广州）地域的ECS实例IP地址，能够ping通说明可以互通。
- 验证「测试网」网络平面内跨地域互通：登录测试网在华北2（北京）地域的ECS实例，分别ping华东2（上海）、华南1（广州）地域的ECS实例IP地址，能够ping通说明可以互通。
- 验证生产网、开发网、测试网网络平面之间隔离：登录生产网在华北2（北京）地域的ECS实例，分别ping开发网、测试网在华北2（北京）、华东2（上海）、华南1（广州）地域的ECS实例IP地址，无法ping通说明网络隔离。
最近更新时间：2026.09.28 15:50:16
这个页面对您有帮助吗？
有用
有用
无用
无用