本文介紹如何組合使用物理專線和云企業(yè)網(wǎng)CEN（Cloud Enterprise Network），實(shí)現(xiàn)本地?cái)?shù)據(jù)中心IDC（Internet Data Center）通過BGP主備專線鏈路上云并和云上專有網(wǎng)絡(luò)VPC（Virtual Private Cloud）互通。

方案概述

在企業(yè)上云過程中，一些企業(yè)會將復(fù)雜數(shù)據(jù)庫集群、專業(yè)設(shè)備、高安全要求系統(tǒng)放在本地IDC中，前端應(yīng)用部署在阿里云上。在這種部署場景下，本地IDC和前端應(yīng)用交互頻繁，通常會對上云鏈路的時(shí)延、可靠性和帶寬容量有較高要求。

兩種方案均通過主備物理專線將您本地IDC接入阿里云，在為您提供高可靠，低延遲連接的同時(shí)，可以有效避免上云鏈路單點(diǎn)故障的問題。您可以根據(jù)本地IDC側(cè)路由配置情況靈活選擇使用靜態(tài)路由或BGP動態(tài)路由上云；同時(shí)，云企業(yè)網(wǎng)和物理專線均能提供多種帶寬規(guī)格，滿足您對帶寬容量的高要求。

場景說明

本文以下圖場景為例，為您介紹IDC通過BGP主備專線鏈路上云方案。某企業(yè)在上海擁有一個IDC，其中部署有數(shù)據(jù)庫集群等高級別業(yè)務(wù)系統(tǒng)；同時(shí)該企業(yè)已在阿里云華東2（上海）地域創(chuàng)建了一個VPC，其中通過云服務(wù)器ECS（Elastic Compute Service）等云服務(wù)部署了一些應(yīng)用業(yè)務(wù)。現(xiàn)企業(yè)為實(shí)現(xiàn)云上云下平穩(wěn)互通，需要購買兩條物理專線，分別連接到本地IDC不同的CPE（Customer-premises-equipment）設(shè)備和邊界路由器VBR（Virtual border router）上，然后通過云企業(yè)網(wǎng)實(shí)現(xiàn)本地IDC和云上VPC的互通。其中兩條專線分別為主備鏈路將本地IDC接入上云，本地IDC側(cè)和VBR之間通過BGP動態(tài)路由互通并開啟雙向轉(zhuǎn)發(fā)檢測BFD（Bidirectional Forwarding Detection）功能，實(shí)現(xiàn)本地IDC與VPC之間路由的快速收斂，提高網(wǎng)絡(luò)的可用性。

準(zhǔn)備工作

在您執(zhí)行本文操作前，請先完成以下準(zhǔn)備工作：

您已經(jīng)注冊了阿里云賬號。如還未注冊，請先完成賬號注冊。更多信息，請參見賬號注冊。

您已經(jīng)在阿里云華東2（上海）地域創(chuàng)建了一個VPC，且VPC中使用云服務(wù)器ECS（Elastic Compute Service）等云資源部署了相關(guān)業(yè)務(wù)。具體操作，請參見搭建IPv4專有網(wǎng)絡(luò)。

說明

使用企業(yè)版轉(zhuǎn)發(fā)路由器創(chuàng)建VPC連接前，請確保VPC實(shí)例在企業(yè)版轉(zhuǎn)發(fā)路由器支持的可用區(qū)擁有至少一個交換機(jī)實(shí)例，且該交換機(jī)實(shí)例擁有至少一個空閑的IP地址。本文創(chuàng)建的轉(zhuǎn)發(fā)路由器實(shí)例在華東2（上海）地域，支持的可用區(qū)為上?？捎脜^(qū)F和上海可用區(qū)G。

您已經(jīng)了解VPC中ECS實(shí)例所應(yīng)用的安全組規(guī)則，并確保安全組規(guī)則允許本地IDC與云上ECS實(shí)例互相訪問。具體操作，請參見查詢安全組規(guī)則和添加安全組規(guī)則。

您已經(jīng)創(chuàng)建了云企業(yè)網(wǎng)。具體操作，請參見創(chuàng)建云企業(yè)網(wǎng)實(shí)例。

您已經(jīng)在VPC實(shí)例所在地域創(chuàng)建了企業(yè)版轉(zhuǎn)發(fā)路由器實(shí)例。具體操作，請參見創(chuàng)建轉(zhuǎn)發(fā)路由器實(shí)例。

您已創(chuàng)建2條物理專線（獨(dú)享或共享類型均可）。

本文示例中的網(wǎng)段規(guī)劃如下表所示。您可以自行規(guī)劃網(wǎng)段，請確保您的網(wǎng)段之間沒有重疊。

機(jī)構(gòu)

網(wǎng)段規(guī)劃

服務(wù)器或客戶端地址

本地IDC

10.1.1.0/24

客戶端地址：10.1.1.1

VPC

192.168.20.0/24

服務(wù)器地址：192.168.20.161

VBR1

VLAN：110

阿里云側(cè)IPv4互聯(lián)IP：172.16.1.2/30

客戶側(cè)IPv4互聯(lián)IP：172.16.1.1/30

不涉及

VBR2

VLAN：120

阿里云側(cè)IPv4互聯(lián)IP：172.16.2.2/30

客戶側(cè)IPv4互聯(lián)IP：172.16.2.1/30

不涉及

步驟一：創(chuàng)建VBR

完成以下操作，分別為兩條物理專線創(chuàng)建VBR，作為數(shù)據(jù)從VPC到本地IDC的轉(zhuǎn)發(fā)橋梁。

登錄高速通道管理控制臺。

在頂部菜單欄，選擇目標(biāo)地域，然后在左側(cè)導(dǎo)航欄，單擊邊界路由器（VBR）。

在創(chuàng)建邊界路由器面板，配置以下參數(shù)信息，然后單擊確定。

配置

說明

賬號類型

創(chuàng)建VBR的賬號類型。

本文選擇當(dāng)前賬號。

名稱

設(shè)置VBR的名稱。

本文輸入VBR1。

物理專線接口

選擇創(chuàng)建的物理專線1接口。

VLAN ID

輸入VBR的VLAN ID。

本文輸入110。

設(shè)置VBR帶寬值

設(shè)置VBR的帶寬。

本文設(shè)置為200Mb。

阿里云側(cè)IPv4互聯(lián)IP

輸入VPC到本地IDC的路由網(wǎng)關(guān)IPv4地址。

本文輸入172.16.1.2。

客戶側(cè)IPv4互聯(lián)IP

輸入本地IDC到VPC的路由網(wǎng)關(guān)IPv4地址。

本文輸入172.16.1.1。

IPv4子網(wǎng)掩碼

阿里云側(cè)和客戶側(cè)IPv4地址的子網(wǎng)掩碼。

本文輸入255.255.255.252。

重復(fù)上述步驟，為第二條物理專線創(chuàng)建VBR實(shí)例。

配置參數(shù)如下：

配置

說明

賬號類型

創(chuàng)建VBR的賬號類型。

本文選擇當(dāng)前賬號。

名稱

設(shè)置VBR的名稱。

本文輸入VBR2。

物理專線接口

選擇創(chuàng)建的物理專線2接口。

VLAN ID

輸入VBR的VLAN ID。

本文輸入120。

設(shè)置VBR帶寬值

設(shè)置VBR的帶寬。

本文設(shè)置為200Mb。

阿里云側(cè)IPv4互聯(lián)IP

輸入VPC到本地IDC的路由網(wǎng)關(guān)IPv4地址。

本文輸入172.16.2.2。

客戶側(cè)IPv4互聯(lián)IP

輸入本地IDC到VPC的路由網(wǎng)關(guān)IPv4地址。

本文輸入172.16.2.1。

IPv4子網(wǎng)掩碼

阿里云側(cè)和客戶側(cè)IPv4地址的子網(wǎng)掩碼。

本文輸入255.255.255.252。

步驟二：連接VPC實(shí)例和VBR實(shí)例

完成物理專線接入后，您需要在華東2（上海）地域的轉(zhuǎn)發(fā)路由器中創(chuàng)建與物理專線關(guān)聯(lián)的VBR連接和需要互通的VPC連接，實(shí)現(xiàn)本地IDC和VPC的私網(wǎng)互通。

登錄云企業(yè)網(wǎng)管理控制臺。

在云企業(yè)網(wǎng)實(shí)例頁面，找到目標(biāo)云企業(yè)網(wǎng)實(shí)例，單擊目標(biāo)實(shí)例ID。

在頁簽，找到目標(biāo)地域的轉(zhuǎn)發(fā)路由器實(shí)例，在操作列單擊創(chuàng)建網(wǎng)絡(luò)實(shí)例連接。

在連接網(wǎng)絡(luò)實(shí)例頁面，配置以下參數(shù)信息創(chuàng)建VPC連接，然后單擊確定創(chuàng)建。

說明

在初次執(zhí)行此操作時(shí)，系統(tǒng)會自動為您創(chuàng)建一個名稱為AliyunServiceRoleForCEN的服務(wù)關(guān)聯(lián)角色。該角色允許轉(zhuǎn)發(fā)路由器實(shí)例在VPC的交換機(jī)上創(chuàng)建ENI。更多信息，請參見AliyunServiceRoleForCEN。

參數(shù)

配置

實(shí)例類型

選擇待連接的網(wǎng)絡(luò)實(shí)例類型。

本文選擇專有網(wǎng)絡(luò)（VPC）。

地域

選擇待連接的網(wǎng)絡(luò)實(shí)例所在的地域。

本文選擇華東2（上海）。

轉(zhuǎn)發(fā)路由器

系統(tǒng)自動顯示當(dāng)前地域下已創(chuàng)建的轉(zhuǎn)發(fā)路由器實(shí)例。

資源歸屬UID

選擇待連接的網(wǎng)絡(luò)實(shí)例所屬的賬號類型。

本文選擇同賬號。

付費(fèi)方式

轉(zhuǎn)發(fā)路由器的計(jì)費(fèi)模式默認(rèn)為按量付費(fèi)。

按量付費(fèi)的計(jì)費(fèi)規(guī)則，請參見計(jì)費(fèi)說明。

網(wǎng)絡(luò)實(shí)例

選擇待連接的VPC實(shí)例ID。

本文選擇已創(chuàng)建的VPC。

交換機(jī)

在轉(zhuǎn)發(fā)路由器支持的可用區(qū)選擇至少2個交換機(jī)實(shí)例。

高級配置

系統(tǒng)默認(rèn)為您選中三種高級功能，即自動關(guān)聯(lián)至轉(zhuǎn)發(fā)路由器的默認(rèn)路由表、自動傳播系統(tǒng)路由至轉(zhuǎn)發(fā)路由器的默認(rèn)路由表和自動為VPC的所有路由表配置指向轉(zhuǎn)發(fā)路由器的路由。

本文保持默認(rèn)配置。

在連接網(wǎng)絡(luò)實(shí)例頁面，單擊繼續(xù)創(chuàng)建連接。

在連接網(wǎng)絡(luò)實(shí)例頁面，配置以下參數(shù)信息創(chuàng)建VBR1連接，然后單擊確定創(chuàng)建。

參數(shù)

配置

實(shí)例類型

本文選擇邊界路由器（VBR）。

地域

選擇待連接的網(wǎng)絡(luò)實(shí)例所在的地域。

本文選擇華東2（上海）地域。

轉(zhuǎn)發(fā)路由器

系統(tǒng)自動顯示當(dāng)前地域已創(chuàng)建的轉(zhuǎn)發(fā)路由器實(shí)例。

資源歸屬UID

選擇待連接的網(wǎng)絡(luò)實(shí)例所屬的賬號類型。

本文使用默認(rèn)值同賬號。

連接名稱

輸入VBR實(shí)例連接名稱。

本文輸入VBR-test。

網(wǎng)絡(luò)實(shí)例

選擇待連接的VBR實(shí)例ID。

本文選擇已創(chuàng)建的VBR1實(shí)例。

高級配置

系統(tǒng)默認(rèn)為您選中三種高級功能，即自動關(guān)聯(lián)至轉(zhuǎn)發(fā)路由器的默認(rèn)路由表、自動傳播系統(tǒng)路由至轉(zhuǎn)發(fā)路由器的默認(rèn)路由表和自動為VPC的所有路由表配置指向轉(zhuǎn)發(fā)路由器的路由。

本文保持默認(rèn)配置。

重復(fù)步驟5和步驟6創(chuàng)建VBR2連接。

網(wǎng)絡(luò)連接創(chuàng)建完成后，您可以在地域內(nèi)連接管理頁簽查看VPC連接和VBR連接的信息。具體操作，請參見查看網(wǎng)絡(luò)實(shí)例連接。

步驟三：配置路由

您需要在本地IDC和VBR之間配置BGP，并且您可以在本地IDC側(cè)通過設(shè)置AS-Path的長度來確定路由選路的優(yōu)先級。

在IDC和VBR之間分別建立起B(yǎng)GP鄰居關(guān)系并宣告路由。具體操作，請參見配置和管理BGP。

阿里云側(cè)BGP ASN（Autonomous System Number）為45104，可接受本地IDC側(cè)傳遞2字節(jié)或4字節(jié)的ASN。

在IDC側(cè)配置向阿里云宣告的BGP路由（10.1.1.0/24），并通過設(shè)置AS-Path來確定選路權(quán)重，實(shí)現(xiàn)阿里云到IDC路由的主備模式。

設(shè)置CPE1所連接的專線為主鏈路，CPE2所連接的專線為備份鏈路。您可以通過設(shè)置AS-Path的長度來確定路由選路的優(yōu)先級。AS-Path長度越短，優(yōu)先級越高。IDC側(cè)分別在兩個CPE的BGP配置如下表所示，具體命令請咨詢相應(yīng)廠商。

配置

CPE1

CPE2

Vlan Tag

110

120

Network

10.1.1.0/24

10.1.1.0/24

BGP ASN

6***3

6***4

Interface IP

172.16.1.1/24

172.16.2.1/24

AS-Path

B，A

C，B，A

云企業(yè)網(wǎng)的轉(zhuǎn)發(fā)路由器具備自動學(xué)習(xí)分發(fā)路由的能力，在配置好路由后，轉(zhuǎn)發(fā)路由器會基于選路權(quán)重等信息，將路由同步到其內(nèi)部，各節(jié)點(diǎn)路由學(xué)習(xí)說明如下。

VBR的BGP路由信息

路由表項(xiàng)

VBR1

VBR2

目標(biāo)網(wǎng)段

10.1.1.0/24

10.1.1.0/24

下一跳

172.16.1.1

172.16.2.1

如上表所示，在VBR1和VBR2中可以看到從對端鄰居學(xué)到的路由信息和下一跳。由于在轉(zhuǎn)發(fā)路由器中創(chuàng)建了VBR連接，所以VBR會將從IDC側(cè)學(xué)來的BGP路由信息發(fā)送到轉(zhuǎn)發(fā)路由器，包括AS-Path。

全量路由配置說明

CPE路由配置

配置

CPE1

CPE2

Vlan Tag

110

120

Network

10.1.1.0/24

10.1.1.0/24

BGP ASN

6***3

6***4

Interface IP

172.16.1.1/24

172.16.2.1/24

AS-Path

B，A

C，B，A

VBR路由條目

配置

VBR1

VBR2

目標(biāo)網(wǎng)段

10.1.1.0/24

10.1.1.0/24

下一跳

172.16.1.1

172.16.2.1

IDC路由條目

目標(biāo)網(wǎng)段

192.168.20.0/24

下一跳

把從鄰居VBR1學(xué)習(xí)到的路由設(shè)置更高的權(quán)重，確保上云流量優(yōu)先走CPE1，與下云流量路徑對稱：

172.16.1.2 （高權(quán)重）

172.16.2.2 （低權(quán)重）

轉(zhuǎn)發(fā)路由器路由條目

目標(biāo)網(wǎng)段

10.1.1.0/24

下一跳

VBR1

由于在轉(zhuǎn)發(fā)路由器中已經(jīng)創(chuàng)建VBR連接和VPC連接，那么從VBR學(xué)習(xí)的BGP路由也會發(fā)布到轉(zhuǎn)發(fā)路由器中，轉(zhuǎn)發(fā)路由器會基于選路權(quán)重等信息，將路由同步到轉(zhuǎn)發(fā)路由器內(nèi)部。

兩個VBR從IDC側(cè)學(xué)習(xí)到的BGP路由目標(biāo)網(wǎng)段一致，但路由權(quán)重不同，VBR1作為主鏈路（AS-Path短），VBR2是備鏈路（AS-Path長）。轉(zhuǎn)發(fā)路由器學(xué)習(xí)到該路由后，會將該路由的屬性通知到轉(zhuǎn)發(fā)路由器的其他網(wǎng)絡(luò)實(shí)例，例如VPC。從VPC的路由表中就可以看到去往10.1.1.0/24的路由均指向VBR1。

轉(zhuǎn)發(fā)路由器也會將轉(zhuǎn)發(fā)路由器內(nèi)系統(tǒng)路由發(fā)布到BGP中，所以在IDC的BGP路由表中就可以看到學(xué)習(xí)到的轉(zhuǎn)發(fā)路由器中的路由信息，并且下一跳分別指向與IDC建立鄰居的兩個VBR的接口IP。

同理，如果想從IDC側(cè)設(shè)置到阿里云VPC的地址192.168.20.0/24的主備鏈路，同樣可以通過BGP選路屬性，在IDC側(cè)分別設(shè)置從不同鄰居VBR1、VBR2學(xué)習(xí)到的路由192.168.20.0/24的權(quán)重，便可實(shí)現(xiàn)從IDC到阿里云的主備選路。

步驟四：配置健康檢查

主備物理專線接入時(shí)，您需要配置健康檢查。健康檢查會以您指定的發(fā)包時(shí)間間隔發(fā)送探測報(bào)文，當(dāng)連續(xù)發(fā)送的所有探測報(bào)文（即您指定的探測報(bào)文個數(shù)）都丟包時(shí)，云企業(yè)網(wǎng)會主動將流量切換至另一條物理專線。

登錄云企業(yè)網(wǎng)管理控制臺。

在左側(cè)導(dǎo)航欄，單擊VBR健康檢查。

在VBR健康檢查頁面，選擇VBR實(shí)例所屬的地域，然后單擊設(shè)置健康檢查。

本文選擇VBR1實(shí)例所屬的地域華東2（上海）。

在設(shè)置健康檢查對話框，配置以下參數(shù)，然后單擊確定。

配置

說明

云企業(yè)網(wǎng)實(shí)例

選擇已加載VBR實(shí)例的云企業(yè)網(wǎng)實(shí)例。

邊界路由器（VBR）

選擇要監(jiān)控的VBR實(shí)例。

本文選擇VBR1。

源IP

源IP地址可通過以下兩種方式進(jìn)行配置：

自動生成源IP（推薦）：系統(tǒng)自動為您分配100.96.0.0/16網(wǎng)段內(nèi)的IP地址。

說明

若您選擇自動生成的IP地址且在對端配置過ACL策略，請修改ACL策略允許此網(wǎng)段通過， 否則將會出現(xiàn)健康檢查失敗的情況。 

自定義源IP：源IP地址可以是10.0.0.0/8、192.168.0.0/16、172.16.0.0/12三個網(wǎng)段內(nèi)任意一個沒有被使用的IP地址。但不能與云企業(yè)網(wǎng)中要互通的地址沖突，也不能和邊界路由器實(shí)例的阿里云側(cè)IPv4互聯(lián)IP、客戶側(cè)IPv4互聯(lián)IP地址沖突。

目標(biāo)IP

目標(biāo)IP地址為目標(biāo)VBR實(shí)例客戶側(cè)IP地址。

發(fā)包時(shí)間間隔（秒）

指定健康檢查時(shí)發(fā)送連續(xù)探測報(bào)文的時(shí)間間隔。單位：秒。

默認(rèn)值：2。取值范圍：2~3。

探測報(bào)文個數(shù)（個）

指定健康檢查時(shí)發(fā)送探測報(bào)文的個數(shù)。單位：個。

默認(rèn)值：8。取值范圍：3~8。

切換路由

是否開啟健康檢查的路由切換功能。

系統(tǒng)默認(rèn)選擇是，即開啟健康檢查的路由切換功能。健康檢查探測到物理專線連接故障時(shí)，如果云企業(yè)網(wǎng)實(shí)例中存在冗余的路由，健康檢查則會立刻觸發(fā)路由切換使用可用鏈路。

若您取消選中是，則表示不開啟健康檢查的路由切換功能，健康檢查僅執(zhí)行鏈路探測功能。若健康檢查探測到物理專線連接故障，則不會觸發(fā)路由切換。

警告

若您選擇關(guān)閉本功能，請確保您有其他方式保證鏈路的冗余性，否則當(dāng)物理專線連接故障后，會導(dǎo)致網(wǎng)絡(luò)中斷。

說明

健康檢查會以您指定的發(fā)包時(shí)間間隔發(fā)送探測報(bào)文，當(dāng)連續(xù)發(fā)送的所有探測報(bào)文（即您指定的探測報(bào)文個數(shù)）都丟包時(shí)，則判斷健康檢查失敗。如果健康檢查失敗，請檢查您的物理專線連接是否正常。具體操作，請參見故障排查。

重復(fù)步驟3至步驟4，為VBR2配置健康檢查。

步驟五：VBR開啟BFD

通過在VBR上配置BFD，實(shí)現(xiàn)路由的快速收斂。

登錄高速通道管理控制臺。

在頂部菜單欄，選擇目標(biāo)地域，然后在左側(cè)導(dǎo)航欄，單擊邊界路由器（VBR）。

在邊界路由器（VBR）頁面，在目標(biāo)VBR實(shí)例操作列單擊編輯。

在修改邊界路由器面板，設(shè)置BFD參數(shù)信息，然后單擊確定。

此處僅列出BFD相關(guān)參數(shù)，其余參數(shù)保持不變。

配置

說明

發(fā)送間隔

BFD報(bào)文的發(fā)送間隔，單位：ms。

本文使用默認(rèn)值1000ms。

接收間隔

BFD報(bào)文的接收間隔，單位：ms。

本文使用默認(rèn)值1000ms。

檢測時(shí)間倍數(shù)

指接收方允許發(fā)送方發(fā)送報(bào)文的最大連接丟包個數(shù)。

本文使用默認(rèn)值3。

返回邊界路由器（VBR）頁面，單擊目標(biāo)VBR實(shí)例ID。

在VBR實(shí)例詳情頁面，單擊BGP鄰居頁簽。

在目標(biāo)BGP鄰居操作列，單擊編輯。

在編輯BGP鄰居面板，選中啟用BFD復(fù)選框并配置BFD跳數(shù)，然后單擊確定。

說明

BFD功能支持自定義單跳或多跳會話。您可以根據(jù)真實(shí)的物理鏈路因素來配置不同的跳數(shù)。

步驟六：連通性測試

完成以下操作，測試主備物理專線的連通性。

說明

在您執(zhí)行以下步驟前，請您先了解您VPC中的ECS實(shí)例所應(yīng)用的安全組規(guī)則，確保安全組規(guī)則允許本地IDC訪問VPC中的ECS實(shí)例。具體操作，請參見查詢安全組規(guī)則。

在本地IDC下，打開客戶端的命令行窗口。執(zhí)行ping命令，ping云上VPC 192.168.20.0/24網(wǎng)段下的ECS實(shí)例IP地址，如果能接受到回復(fù)報(bào)文，則表示網(wǎng)絡(luò)能正常連通。

經(jīng)驗(yàn)證，本地IDC可以與VPC正常通信。

在本地IDC網(wǎng)關(guān)設(shè)備上，關(guān)閉一個物理專線端口（如VBR1到CPE1），再次執(zhí)行ping命令，測試本地IDC和VPC的連通性。

經(jīng)驗(yàn)證，本地IDC和VPC仍可以正常通信。

您也可以執(zhí)行tracert命令，通過路由跟蹤可以查看到云企業(yè)網(wǎng)會對路由進(jìn)行切換，本地IDC通過VBR2和云上VPC互通。

不同的設(shè)備，路由追蹤命令會有所不同，具體請咨詢相關(guān)設(shè)備廠商。

相關(guān)知識

IDC通過BGP主備專線鏈路上云方案
本地IDC通過專線訪問云服務(wù)器ECS
為本地IDC和VBR配置健康檢查
操作高速通道 配置健康檢查，只需四步！
配置和管理健康檢查
高速通道的使用限制
上海健康信息網(wǎng)云計(jì)算
使用限制
配置健康檢查探測物理專線連通性
國外主機(jī)頻繁掉包？三步搞定網(wǎng)絡(luò)優(yōu)化與硬件故障排查

網(wǎng)址: IDC通過BGP主備專線鏈路上云方案 http://www.gysdgmq.cn/newsview1884167.html