首页/云/云网络与负载均衡速查

云网络与负载均衡速查

VPC 与子网、EIP 与 NAT 网关、负载均衡 SLB/CLB 配置要点、云 DNS 与 CDN、专线与 VPN 连接、云网络排障：云上网络速查。

共 247 条更新于 2026-10-12所属领域：云

共 247 条

VPC 与子网

VPC、子网、路由表与交换机规划

VPC 专有网络基础概念热门

VPC（Virtual Private Cloud）是云上逻辑隔离的私有网络：自定义网段、划分子网、控制路由，不同 VPC 之间默认内网不互通。阿里云称专有网络 VPC，腾讯云称私有网络 VPC，华为云称虚拟私有云 VPC。

交换机（子网）与可用区热门

交换机（vSwitch）就是 VPC 内的子网，必须归属于某个可用区：同一 VPC 内不同可用区的交换机默认内网互通，把业务分散到多个可用区的子网即获得可用区级容灾能力。阿里云称「交换机」，腾讯云、华为云直接称「子网」。

VPC IPv4 网段与掩码范围

创建 VPC 时必须指定私网网段，通常从 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 三段 RFC1918 地址中选取。以阿里云为例，VPC 网段掩码范围为 /8～/28，主网段创建后不可直接修改，只能新增附加网段。

路由表基础：系统路由与自定义路由

路由表决定 VPC 内流量怎么走：每个 VPC 自带一张系统路由表，可另外创建自定义路由表并关联交换机。路由条目分为系统路由、自定义路由与动态路由（BGP 学习）三类，用于控制公网出口、专线、跨 VPC 转发等路径。

路由条目与下一跳类型

自定义路由条目由「目标网段 + 下一跳类型 + 下一跳资源」组成，例如把 0.0.0.0/0 指向 NAT 网关，即让该子网流量经 NAT 访问公网。常见下一跳类型还包含实例/网卡、VPN 网关、对等连接与转发路由器。

VPC 对等连接（VPC Peering）

对等连接把两个 VPC 的内网打通，流量走云内网络、不经过公网，支持同地域与跨地域（可用性与限制以厂商文档为准）。两端网段不能重叠，且路由需要两端分别配置——对等连接本身不传递路由。

VPC 网段规划方法

从一个够用的地址块开始分层切分：VPC 级别预留大段，再按环境、可用区、业务层划分子网，并为未来扩展以及与 IDC、多云的互通留白。网段划得过小，扩容时容易因地址不足被迫重建网络。

交换机网段与掩码限制

交换机网段从所属 VPC 网段中切分：以阿里云为例，交换机掩码范围为 /16～/29，一个 VPC 内可创建多个交换机（默认配额有限，可在配额中心申请提升）。掩码直接决定该子网能容纳多少台实例。

VPC 内网 DNS 解析器

VPC 内实例默认使用平台提供的内网 DNS：既能解析公网域名，也能解析私有域名区的内部记录。各厂商地址不同，例如阿里云为 100.100.2.136 与 100.100.2.138，腾讯云为 183.60.83.19 与 183.60.82.98。

跨可用区部署与容灾

可用区是同一地域内电力与网络相互独立的物理区域：把子网与实例分散到多个可用区，单可用区故障时业务仍可运行。云上跨可用区内网默认互通，延迟略高于同可用区，数据库主备常采用同城双可用区部署。

实例元数据服务（100.100.100.200）

云平台在 100.100.100.200 提供实例元数据服务：实例可查询自身 ID、地域、私网 IP 等信息，也用于部分场景下获取绑定角色的临时凭据。该地址只在实例内部与 VPC 内可达。

云监控中的网络指标与告警

云监控为网络资源提供指标与告警：EIP/NAT 的出入口带宽、丢包率、连接数，负载均衡的连接数与健康检查异常，以及 VPC 流量吞吐。先把关键指标配上告警，故障复盘时才有时间线可查。

跨账号与跨地域互通的实现选项

跨账号、跨地域互通是云网络里容易绕晕的部分：可选对等连接（点对点）、云企业网/云联网（多 VPC 统一组网）、私网连接（只暴露单个服务）。选型先看互通范围与规模，再看运维与计费复杂度。

VPC 流日志（Flow Log）

流日志记录网卡的流量明细：五元组、动作（允许/拒绝）、包数与字节数，并可投递到日志服务或对象存储，用于安全审计与故障定位。相比登录主机抓包，它还能覆盖没有登录权限的资源。

用 CLI 创建 VPC 与交换机（阿里云）

阿里云 CLI 可直接创建 VPC、交换机等资源，便于把网络初始化写进脚本。下面是在杭州地域创建 VPC 与交换机的命令示例，执行前需先用 aliyun configure 配置好访问凭证。

弹性网卡（ENI）

弹性网卡是绑定在实例上的虚拟网卡：主网卡随实例创建、不可解绑；辅助网卡可以按需创建、绑定与解绑，并在同可用区内迁移到其他实例，常用于流量分离与多网卡架构。

自定义路由表与交换机关联

不同子网需要不同出口时（例如生产子网走 NAT 出公网、DMZ 子网走自建防火墙），用自定义路由表区分：创建路由表、添加路由条目、把交换机关联过去。切换关联会立即改变该子网的流量走向。

VPC 子网划分实例（可套用）

以 10.10.0.0/16 为例的常用划分模板：按可用区编号预留地址段，按层级细分业务子网，并给容器、中间件与临时扩容留出连续空间。规划完成后把表格落成文档，后续资源都按表分配。

用 CLI 创建私有网络与子网（腾讯云）

腾讯云 CLI（tccli）创建网络的对应命令：私有网络用 CreateVpc，子网用 CreateSubnet，子网必须指定可用区与所属 VPC。与阿里云相比，腾讯云没有「交换机」这一命名，直接使用 VPC + 子网两层结构。

VPC IPv6 与双栈

VPC 可开通 IPv6 能力：先给 VPC 分配 IPv6 网段，再为交换机分配 IPv6 子网，实例即可获得 IPv6 地址。若要支持 IPv6 访问公网，还需要开通 IPv6 网关与公网带宽（各厂商实现方式不同）。

私网连接 PrivateLink 与终端节点

私网连接用于「只访问对方某个服务」的场景：服务提供方创建终端节点服务（后端通常挂私网负载均衡），使用方在自己 VPC 内创建终端节点，即可通过私网域名/IP 访问服务，无需对等连接与网段规划。

子网保留地址与可用 IP 估算

子网内并非所有地址都能分配给实例：网络地址、网关地址与若干系统保留地址会被占用，末尾地址通常留作广播或保留。规划容量时按「2^(32-掩码) 再减去约 5 个保留地址」保守估算，实际可用数在控制台创建页有提示。

辅助私网 IP 与多 IP 场景

一块网卡可以分配多个私网 IP：先在控制台或 API 为网卡分配辅助私网 IP，再到实例内使其生效。常见用途有单机承载多个站点、按 IP 做访问控制、配合 NAT 网关 DNAT 端口映射。

网络路径分析与连接诊断

网络智能服务（NIS）等工具提供路径分析能力：输入源 IP、目的 IP 与端口，工具沿配置逐跳检查路由、安全组、网络 ACL 与负载均衡，指出流量在何处被拦截，比人工翻配置更高效。

对等连接的能力边界

对等连接是点对点连接：不传递路由、不支持路由策略，两端网段不能重叠，跨地域时还需关注带宽与计费。VPC 数量增多后，网状对等连接的数量与维护成本会快速上升。

流日志查询与常见分析

流日志投递到日志服务后可用 SQL 分析：统计被拒绝的连接、找出访问量突出的源地址、定位某端口的流量走向。这是排查安全组拦截与异常外联的高效手段。

云服务器内网带宽与限速

云服务器内网带宽由实例规格决定（部分规格支持单独调整）：内网带宽打满会直接拉低同 VPC 内访问速度并伴随丢包，而公网监控上可能毫无异常——排查「内网慢」时务必看内网指标。

VPC 网段重叠的处理思路

网段重叠是对等连接、专线、VPN 建连失败的常见原因：两端若使用相同私网段，平台无法判断流量走向。处理手段只有三类——改网段、加 NAT 转换、调架构，无法通过配置绕过。

默认 VPC 与默认交换机

购买 ECS 时若未选择已有 VPC，平台会自动创建默认 VPC 与默认交换机，方便快速开服。默认资源网段由平台分配、用户不可指定，适合演示与临时测试；生产环境建议自建规划好的 VPC，以免后续扩网或互联受网段限制。

VPC 附加网段（辅助网段）

当主网段地址不够用、或需要与使用其他私网段的系统对接时，可以给 VPC 添加附加网段（附加 CIDR），再基于它创建新子网。附加网段与主网段一样，不能与其他 VPC 或本地网段重叠。

VPC 配额与限制申请

云网络资源普遍带默认配额：每地域 VPC 数量、每 VPC 交换机数量、路由条目、EIP 数量、安全组规则条数等。业务上量前先查配额，需要时通过配额中心或工单提前申请，避免投产时卡在创建接口。

系统路由条目

系统路由由平台自动创建和维护，覆盖 VPC 内网互通、云服务网段（元数据、内网 DNS 等）等链路，用户不能删除或修改。做自定义路由规划时先了解系统路由，才能解释「为什么新建的子网默认就能互通」。

高可用虚拟 IP（HAVIP）

高可用虚拟 IP 是一个能在同 VPC 内漂移的私网地址：配合 keepalived 等自建软件实现主备切换，主节点故障后备节点接管该 IP 继续提供服务，常用于自建 Nginx、数据库主备与第三方高可用设备。

多网卡策略路由（Linux 侧）

实例挂多块网卡或配置多个私网 IP 后，Linux 默认只按主网卡路由：来自辅助网卡的请求，回包可能从主网卡发出而被对端丢弃。用策略路由按源地址分流可解决这类「能收不能回」的问题。

对等连接 CLI 操作示例（腾讯云）

腾讯云对等连接可用 tccli 创建与接受：发起端 CreateVpcPeeringConnection 指定对端账号与 VPC，对端账号接受后，两端分别在路由表中为对端网段添加一条指向对等连接的路由。

DHCP 选项集与自定义 DNS

默认情况下实例通过 DHCP 获得平台内网 DNS 地址。若要使用自建 DNS（如 AD 域控、内网权威 DNS），可以创建 DHCP 选项集并绑定 VPC，把下发给实例的 DNS 地址替换为自定义地址。

公网接入

EIP、NAT 网关、带宽与流量计费

弹性公网 IP（EIP）基础热门

弹性公网 IP 是可独立购买、可解绑与重新绑定的公网地址：能挂到 ECS、NAT 网关、负载均衡、高可用虚拟 IP 等资源上，业务迁移时公网地址可以延续，这是它相对固定公网 IP 的主要价值。

NAT 网关基础概念

NAT 网关为 VPC 内多台实例提供共享公网出口：实例不绑公网 IP 也能通过 SNAT 主动访问公网；也可以配置 DNAT 把公网端口映射到内网实例，解决「多台机器都要出公网」的地址与成本问题。

EIP 与 NAT 网关的选择

少数实例需要公网就绑 EIP；多台实例只需要「能出公网」就用 NAT 网关共享出口。需要被公网主动访问的实例用 EIP、负载均衡或 DNAT 暴露；只主动出网的实例走 NAT，少管 IP 也少暴露面。

NAT 网关 SNAT 规则配置

SNAT 规则决定哪些内网地址可以通过 NAT 网关出公网：默认规则通常覆盖 VPC 全部网段，也可以按交换机或自定义网段精确控制。新增子网后无法出公网时，先检查它是否落在 SNAT 覆盖范围内。

EIP 计费模式：按带宽与按流量

EIP 有两种主流计费：按固定带宽（先买带宽、费用固定）与按使用流量（按出方向流量计费、带宽设上限）。流量波动大的业务适合按流量，长期跑满带宽的业务按固定带宽更可控。

NAT 网关 DNAT 端口映射

DNAT 把公网 EIP 的端口映射到内网实例端口：外部访问 EIP 的公网端口会被转发到指定实例的私网端口，实现「隐藏公网 IP 也能对内提供服务」。域名证书按对外服务域名准备即可。

把子网默认路由指向 NAT 网关

让实例通过 NAT 出公网需要两个条件：所在子网的默认路由（0.0.0.0/0）指向 NAT 网关，且 NAT 上有覆盖该来源的 SNAT 规则。路由负责把流量送进 NAT，SNAT 负责做地址转换。

公网出口方案对比：EIP / NAT / 负载均衡

三种公网方案定位不同：EIP 直连单实例、NAT 网关服务多实例出网、公网负载均衡承担对外服务入口。方案设计时先区分「谁需要入向访问、谁只需要出向」，再分别选型。

出口带宽打满的识别与处置

公网出口打满时，平台会对超出部分限速或丢弃：表现为延迟抬升、随机丢包与重传上升，而 CPU、内存指标完全正常。识别方法把云监控带宽曲线与业务高峰放在同一时间轴对比。

固定公网 IP 与弹性公网 IP 的区别

创建实例时勾选分配公网 IP 得到的是固定公网 IP：随实例生命周期存在、不能解绑或迁移；EIP 独立于实例存在，可随时绑定解绑。需要保留公网地址、做故障切换或长期对接白名单时选 EIP。

共享带宽：多个 EIP 共用一条带宽

共享带宽把多个 EIP 加入同一个带宽包：成员共享总带宽、按总带宽计费，适合多台机器出口流量此消彼长的场景。加入共享带宽后，EIP 自身不再单独收取带宽费用。

SNAT 与 DNAT 的区别

SNAT 改源地址、解决「内网出公网」；DNAT 改目的地址、解决「公网进内网」。两者方向与用途完全不同：对提供服务查 DNAT，对外访问查 SNAT——方向判断对了，排障就快一半。

按使用流量计费的要点

按流量计费只对出方向流量收费（入方向通常免费），账单与业务访问量直接挂钩：下载、视频类业务尤其敏感。把流量费用与业务日志关联分析，能快速发现异常外联与被刷流量。

EIP 可以绑定哪些资源

EIP 的绑定对象不止云服务器：NAT 网关（共享出口）、负载均衡（对外入口）、弹性网卡与高可用虚拟 IP 都可绑定。绑定对象不同，带宽的限制与计费口径也不同。

EIP 带宽监控与告警

EIP 在云监控中提供出/入方向带宽、丢包率与连接数指标：给带宽使用率和丢包率配上告警，能在用户反馈之前发现出口瓶颈。带宽打满的典型表现是延迟抬升与随机丢包。

EIP 带宽调整（升配与降配）

EIP 带宽可以随时调整：升配通常立即生效，降配的生效时间按控制台提示为准。突发流量场景可先升配应急、事后降回；把调整写成脚本，高峰期处理更快。

NAT 会话与端口资源耗尽

SNAT 本质是地址与端口的映射：单个 EIP 可支撑的并发连接与端口数量有上限。实例多、短连接多时会出现连接失败或超时，而带宽远未打满——这类问题排查时容易走向错误方向。

公网负载均衡与 EIP 的关系

公网型负载均衡实例自带公网能力并按带宽计费；私网型实例可以通过绑定 EIP 获得公网入口。两种形态对外服务地址不同，域名解析与证书要指向实际使用的地址。

NAT 网关的类型与规格（阿里云）

阿里云 NAT 网关分普通型与增强型：增强型支持 DNAT、多 EIP 与会话日志等完整能力，新购场景建议直接选择增强型。带宽由绑定的 EIP 与带宽包决定，规格影响并发连接规模。

DNAT 与安全组的配合

经 DNAT 转发的流量到达实例时，目的地址已变成实例私网 IP：安全组要放行的是「私网端口」而不是公网端口，同时实例内的应用也要确实监听该端口。

NAT 网关的监控指标

NAT 网关监控用于回答三个问题：出口是否打满（带宽）、连接是否接近规格（并发连接数）、是否在丢包。把这三类指标放进同一看板，出口类问题基本可视化。

NAT 网关高可用与容量

NAT 网关承担整个网络的出公网流量，是关键路径组件：创建时选择多可用区部署形态降低单点风险；规格（连接数、带宽）要留余量，必要时绑定多个 EIP 扩充 SNAT 容量与冗余。

自建 NAT 出口（iptables）

没有托管 NAT 网关时，可以用一台带 EIP 的实例做出口：开启内核转发、配置 MASQUERADE 源地址转换，内网实例把默认路由指向该机器。灵活且成本可控，但高可用与吞吐上限需要自己承担。

更换与释放 EIP 的影响范围

更换或释放 EIP 会影响所有依赖该地址的外部系统：对端白名单、DNS 记录、监控探针、合作方回填地址等。变更前先做依赖盘点，变更后按清单逐项验证。

EIP 的 DDoS 基础防护与黑洞

EIP 通常默认带有一定额度的 DDoS 基础防护，攻击流量超过防护阈值后地址可能被黑洞封禁，表现为突然完全不可达。持续被攻击的业务要评估高防产品，并准备地址切换预案。

NAT 网关绑定多个 EIP

增强型 NAT 网关支持绑定多个 EIP：既能分担出公网的带宽与并发连接，也能让不同业务使用不同出口 IP、便于对端做白名单。多 EIP 时可在 SNAT 规则中指定使用的出口。

NAT 网关的计费构成

NAT 网关费用通常包含实例持有费用与公网带宽/流量费用：带宽按带宽包计费，或随绑定的 EIP 采用流量计费。做出口方案对比时，把「实例费 + 带宽费」合并成一个口径再比较。

EIP 与 NAT 同时存在时的出口选择

实例同时具备 EIP 且所在网络配置了 NAT 出口时，公网访问实际走哪条路径取决于厂商实现：多数产品中实例自带公网地址时经自身地址出网。涉及审计与对端白名单时要按文档确认并实测。

公网出口的冗余与单点风险

单个 NAT 网关或单条 EIP 承载全部出口流量时，故障或误操作会切断整个环境的外网访问。冗余思路：NAT 网关多实例、关键业务直绑 EIP、预留备用 EIP 并定期演练切换。

NAT 会话日志

NAT 网关支持会话日志：记录 SNAT/DNAT 会话的源、目的、端口与转换后地址，投递到日志服务。排查「内网哪台机器访问了某外网地址」「映射流量为何没到实例」时非常直接。

IPv6 公网出口（IPv6 网关）

VPC 内分配了 IPv6 地址不代表能访问 IPv6 公网：阿里云需要开通 IPv6 网关并配置公网带宽，实例才具备 IPv6 出入公网的能力。IPv6 的连通性监控与告警也要单独建立。

EIP 的线路类型与路由质量

EIP 的线路类型决定运营商覆盖与路由质量：中国大陆地域通常默认多线 BGP，可跨运营商访问；部分地域提供面向特定方向的优化线路（名称与可用范围以厂商公示为准）。跨境业务选型时先确认线路与地域支持情况。

NAT 依赖的路由与子网配置

NAT 网关只对其所在 VPC 生效：子网出公网流量需要路由表的默认路由指向 NAT 网关，SNAT 规则再按网段授权。新建子网后如果忘记更新路由或 SNAT 覆盖范围，该子网实例就无法出网。

公网出口月度巡检清单

公网出口的月度巡检：核对 EIP 绑定关系与账单、回收闲置地址、检查共享带宽与 NAT 用量峰值、验证出口地址在各对端白名单中的登记、确认监控告警覆盖出口组件。输出沉淀为台账。

自建 NAT 的高可用思路

自建出口天然是单点：出口机故障即全网断外网。常见做法是两台出口机配合高可用虚拟 IP 做 keepalived 主备漂移，或直接改用托管 NAT 网关——把高可用责任交给平台。

用 CLI 管理 EIP 生命周期

EIP 的申请、绑定、解绑、调带宽与释放都是独立动作：自动化脚本建议在释放前做绑定关系断言，避免误释放生产地址；日常盘点用列表接口按标签与状态过滤。

SNAT 端口复用与连接容量

SNAT 通过「源 IP + 源端口」区分会话：单个 SNAT 地址对同一目的地址可用的源端口数量存在上限，端口复用受限时新建连接会被拒绝。高并发出口场景要提前规划地址池与超时策略。

共享带宽的增强型 95 计费

增强型 95 计费按「剔除高位 5% 采样点后的峰值带宽」结算：适合日常平稳、偶发尖峰的业务。是否划算取决于尖峰持续时长占比，切换前用历史监控数据做一次测算。

任播弹性公网 IP（Anycast EIP）

任播 EIP 让不同地域的用户就近接入同一公网 IP：流量从最近的接入点进入云网络，降低跨地域访问时延。适合用户分布广、对首包时延敏感的服务入口。

EIP 配额与申请

EIP 数量、共享带宽实例数、单 EIP 带宽上限都受配额约束，且按地域独立计算。跨地域大规模部署前先在配额中心核对并提交提升申请，避免批量创建到一半被拦截。

NAT 会话空闲超时

NAT 网关为每个会话维护映射表项，空闲超时后回收：超时过短会让长连接被静默断开，过长会长期占用端口资源。建议与业务心跳周期对齐，并按连接规模选择合适档位。

NAT 网关 CLI 查看与操作

用 CLI 管理 NAT：查看网关列表、SNAT 与 DNAT 规则表、创建规则。排障时先拉规则清单再对照流量，能快速发现遗漏或多余的条目，避免只在控制台 UI 里翻页。

公网带宽规划方法

带宽规划按峰值速率加冗余估算：统计工作日与业务高峰的出入口带宽曲线，预留突发余量；比较 EIP 独享带宽、共享带宽包与 NAT 出口的组合，按计费口径选择更贴近用量的方案。

多 VPC 集中出口架构

集中出口架构：多个业务 VPC 经云企业网或转发路由器把出公网流量汇聚到出口 VPC，由出口 VPC 的 NAT 网关与 EIP 统一出网，安全与审计一并集中。落地前验证路由对称性与计费变化。

EIP 资产盘点与治理

定期盘点 EIP：按「在用、备用、闲置、待确认」分类处置，输出清单包含地址、绑定对象、用途、责任人四项。释放前先检索解析记录、对端白名单与监控探针，确认没有引用后再操作。

NAT 网关相关配额

NAT 网关的配额包括每 VPC 实例数、SNAT 与 DNAT 条目数、可绑定 EIP 数等，按地域与实例维度计算。大规模出口改造前先核对配额，条目接近上限时清理无效规则或申请提升。

负载均衡

SLB/CLB/ALB 监听、健康检查与会话保持

负载均衡（SLB/CLB/ELB）基础概念热门

云负载均衡把访问流量分发给多台后端服务器，核心对象是「实例 → 监听 → 后端服务器（组）」三层：实例承载服务地址，监听定义协议与端口，后端承接真实流量。它是服务横向扩容与故障转移的常规入口。

健康检查机制总览热门

健康检查由负载均衡主动探测后端：连续失败达到不健康阈值后摘除后端，恢复后按健康阈值重新放量。它决定故障转移的速度和灵敏度，参数需要与后端服务的真实响应特征匹配。

四层与七层负载均衡的区别

四层（TCP/UDP）只按连接转发，不解析应用协议，兼容任意 TCP/UDP 业务；七层（HTTP/HTTPS）能读懂请求，支持按域名与路径转发、改写 Header、卸载 HTTPS。选型先看是否需要按请求内容做路由。

HTTPS 监听与证书配置

HTTPS 监听需要先准备服务器证书（含私钥与证书链），在监听中引用后完成 TLS 握手；后端可以继续 HTTP（卸载模式）或 HTTPS（加密到后端）。证书更新时注意同步替换监听引用。

TCP 监听配置要点

TCP 监听是常见的四层入口：确定前端端口、调度算法与健康检查即可上线。重点确认后端端口映射、空闲超时与健康检查端口三项，上线后的多数稳定性问题都与它们相关。

HTTP 监听配置要点

HTTP 监听启用七层能力：按域名与路径配置转发规则、附加 Header、启用 Cookie 会话保持等。建议先绑定默认服务器组兜底，再逐条添加转发规则与匹配条件。

阿里云负载均衡产品怎么选（CLB / ALB / NLB）

阿里云提供三类负载均衡：CLB（传统型）同时覆盖四层与七层、规格成熟；ALB（应用型）面向七层、弹性计价；NLB（网络型）面向四层高并发。新项目按流量形态选择专用型号即可。

后端权重与流量比例

权重决定后端分到的流量比例，权重 0 表示不接收新流量但成员仍然保留。灰度发布常用「新版本小权重起步、观察错误率、逐步调高」的节奏推进，回滚时把权重调回 0 即可。

七层获取真实客户端 IP

七层转发时负载均衡会在请求头中加入 X-Forwarded-For（以及 X-Real-IP 等，视产品），后端应用应读取请求头获取真实客户端地址；直接取 TCP 对端地址只会得到负载均衡自身。

后端服务器组管理

后端服务器组是一组同质后端的集合：成员、端口、权重与健康检查在组内统一管理，监听器按转发规则把流量导向某个组。组被多个监听共用时，成员变更会同时影响所有引用方。

HTTP 健康检查与状态码配置

HTTP 健康检查通过指定路径与期望状态码判断后端可用性：路径应指向轻量稳定的探活接口，并明确期望响应码范围。接口返回重定向或鉴权失败时，健康检查会误判后端不可用。

腾讯云 CLB 与 ALB 的差异

腾讯云 CLB（传统型负载均衡）覆盖四层与七层监听，支持公网与内网实例、多种后端类型；ALB（应用型负载均衡）面向七层 HTTP/HTTPS，按量计费、规格弹性。传统架构多用 CLB，纯 HTTP 业务可以评估 ALB。

负载均衡调度算法怎么选

常见调度算法有加权轮询、加权最小连接数与一致性哈希：请求均匀且处理时长相近用轮询；后端处理耗时差异大用最小连接；需要把同一客户端固定到同一后端时用一致性哈希。

健康检查失败的排查顺序

健康检查失败的排查顺序：先在后端本机验证端口与探活路径，再核对安全组与防火墙是否放通检查来源，然后确认应用监听地址不是 127.0.0.1，最后检查应用是否因白名单或限流拒绝了探测。

TCP 健康检查怎么做

TCP 健康检查只需与检查端口建立连接成功即判定健康，后端进程挂掉时连接被拒、检查立即失败。它适合纯四层服务；数据库代理类后端要评估高频探测带来的连接记录开销。

七层会话保持（Cookie 粘性）

七层会话保持通过 Cookie 实现：负载均衡在响应中植入 Cookie 或改写后端 Cookie 来标识后端，后续携带该 Cookie 的请求持续转发到同一后端，适合登录态、购物车等有状态 Web 服务。

负载均衡 502 排查思路

502 表示负载均衡无法从后端获得符合协议的响应：常见原因是后端进程退出、端口不通、协议不匹配或健康检查尚未摘除就转发。排查从后端存活、端口可达、应用日志三处推进。

四层会话保持（源 IP 亲和）

四层会话保持基于客户端源 IP：同一地址在保持周期内固定转发到同一后端。客户端经过大型出口 NAT 时，大量用户可能被压到同一台后端，启用前需要评估单机承载能力。

HTTP 强制跳转 HTTPS

业务只通过 HTTPS 暴露时，在七层入口配置 HTTP 到 HTTPS 的跳转（301 / 302 按语义选择），避免用户输入 http 时看到空白页或证书错误。跳转规则在监听或转发配置中开启。

七层基于域名的转发

HTTP/HTTPS 监听支持按请求域名把流量分发到不同服务器组，适合多站点共用入口、按域名灰度与后端分离。配置时注意精确域名与泛域名的优先级差异，并保留默认服务器组兜底。

负载均衡监控指标解读

常用监控指标包括活跃与新建连接数、入出带宽、QPS、后端状态码比例与健康成员数量。排障时把业务错误率与健康成员数、带宽上限、连接数异常等信号关联起来分析，更快收敛到根因。

健康检查参数调优

健康检查参数要在灵敏度和稳定性之间平衡：间隔与超时决定发现故障的速度，阈值决定容忍抖动的程度。高并发服务适当调大间隔降探测开销，延迟敏感服务可以调小间隔尽快摘除。

多可用区负载均衡与容灾

把负载均衡实例与后端分布到多个可用区，单可用区故障时流量可以切到其余可用区。创建时选择多可用区部署形态，后端成员也应按可用区均衡分布，否则容灾能力名存实亡。

WebSocket 与长连接接入

WebSocket 在七层监听上需要支持协议升级头透传（多数产品默认支持），同时把连接空闲超时调整到大于静默间隔；应用层心跳依旧是保活与快速感知断链的基础手段。

七层基于路径的转发

按 URL 路径把请求分发到不同后端，是网关型入口的常见形态：例如 /api 到应用集群、/static 到静态资源服务器。路径匹配规则各产品略有差异，配置完成后逐条验证关键路径。

负载均衡 504 排查思路

504 表示等待后端响应超过了超时阈值：后端处理慢、连接池被占满、下游依赖慢或超时阈值过小都会触发。定位时先用后端慢日志与访问日志耗时字段对齐时间点，再决定优化方向。

公网型与私网型负载均衡

公网型实例面向互联网提供服务（自有公网地址或绑定 EIP）；私网型只在 VPC 内可达，需要公网入口时另行配合 NAT 或 EIP。内网服务优先私网型，暴露面与成本都更可控。

连接空闲超时与建连超时

负载均衡对连接有两条关键超时：建连超时是等待与后端建立连接的上限，空闲超时是连接无数据后保留的时间。长连接业务必须按心跳周期调整空闲超时，否则连接会被中间层静默回收。

负载均衡流量不均排查

流量不均常见原因：权重差异、会话保持或哈希分布、长连接存量、后端健康状态不一致、客户端出口集中。按「权重 → 会话与哈希 → 连接分布 → 健康状态」的顺序逐项核对。

华为云 ELB 独享型与共享型

华为云弹性负载均衡 ELB 分为独享型与共享型：独享型资源独占、支持四层与七层与较全的规格档位；共享型为资源共享的早期形态。新建业务建议按实际并发量选择独享型规格。

四层获取真实客户端 IP

四层转发不解析 HTTP，后端看到的源地址是负载均衡地址：腾讯云提供 TOA 内核模块用于解析真实源地址；另有 Proxy Protocol 方式在连接前插入客户端信息，需要后端支持相应解析。

证书到期更换流程

证书临近到期前需要更换：上传续签证书、替换监听引用、验证线上生效，并保留旧证书与配置用于回滚。使用同一证书的 CDN、WAF、其他监听要逐一更新，避免漏改。

后端下线与连接摘除（优雅下线）

下线后端时直接停进程会打断存量连接：规范做法是先把权重调 0 或摘除成员停止新流量，等存量连接结束再停止服务，实现无损变更。长连接业务还要提前通知对端重连。

UDP 监听配置要点

UDP 没有连接语义，由负载均衡按会话维持转发：同一客户端地址在会话周期内固定送到同一后端。DNS、音视频、游戏类业务常用 UDP 监听，具体行为以所用产品文档为准。

会话保持不生效的排查

会话保持异常的典型形态是同一用户请求落到不同后端，或个别后端连接堆积。排查时先确认保持开关与超时，再核对客户端是否携带 Cookie、源地址是否被上游改写，最后检查多层代理的干扰。

负载均衡访问控制（白名单）

七层监听通常支持访问控制：只允许指定 IP 或网段访问（白名单），或拒绝指定来源（黑名单）。白名单适合后台与内部 API 这类限定来源的入口，配置时先放通健康检查与运维通道。

负载均衡告警配置

对关键指标配置告警：健康成员数下降、5xx 比例上升、带宽接触规格上限、连接数逼近上限。阈值分预警与故障两级，并接入值班通知渠道，减少对人工巡检的依赖。

负载均衡主备与双活模型

常见两种高可用模型：主备（一个实例承载全部流量，备实例待命）与双活（多实例或多可用区同时承载）。主备切换通常依赖 DNS 或全局流量管理配合，双活切换更平滑，但对数据一致性提出要求。

转发规则匹配与优先级

多条七层转发规则同时存在时需要明确命中顺序：常见约定是精确域名优先于通配域名、更长路径前缀优先于更短路径，同层级再按规则配置先后。规则数量多时要清单化维护并做回归验证。

负载均衡与安全组配合

部分产品的负载均衡实例可以关联安全组限制来源，同时后端实例的安全组需要放通负载均衡网段。云安全组与主机防火墙是两层独立限制，只改一层仍然可能不通。

慢启动与渐进式放量

慢启动让新加入或刚恢复的后端从较小权重逐步爬到目标权重，避免刚重启的服务被瞬时流量压垮，适合缓存冷启动与启动预热成本高的应用。产品不支持时可以用分批调权重手动实现。

负载均衡访问日志

七层负载均衡支持把访问日志投递到日志服务或对象存储，记录客户端 IP、状态码、后端成员、各项耗时等字段，是排查 4xx/5xx 与慢请求的一手数据，开启后按需要设置保留周期。

云负载均衡与自建 Nginx 的取舍

云负载均衡提供托管的高可用入口、免底层运维与多可用区能力；自建 Nginx 配置自由度高，但高可用、升级与容量都要自行负责。常见组合是云 LB 做流量入口、Nginx 集群做七层业务网关。

HTTP/2 与 QUIC 支持

七层监听通常可开启 HTTP/2 提升并发请求效率；部分产品支持 QUIC（HTTP/3），对弱网移动端体验更友好。开启前确认客户端链路与回源链路都匹配，避免协商不一致。

重写与重定向规则

七层入口可以配置路径重写（改写转发给后端的路径）与重定向（返回 3xx 让客户端跳转）：重写适合外部路径与后端接口不一致的场景，重定向适合域名迁移与目录调整。

负载均衡性能规格与选型

负载均衡实例有规格上限：每秒新建连接数、并发连接数、QPS 与带宽。选型按业务峰值加冗余估算并预留档位，规格接近上限时表现为建连变慢、突发错误或丢包。

跨 VPC 与跨网络的后端接入

后端成员不一定都在同一 VPC：可以挂载对等连接或云企业网可达的其他 VPC 地址，或经由专线、VPN 打通的 IDC 地址（以产品支持范围为准）。跨网络后端要额外考虑延迟、带宽与故障域。

网络型负载均衡 NLB

NLB 面向四层海量连接场景：以 TCP/UDP 转发为主，强调新建连接速率与并发规模，常用于网关集群、游戏、物联网接入等入口。与七层产品划清边界后按连接形态选型。

IP 类型后端与端口映射

服务器组可以直接挂 IP 而不是实例：适合第三方设备、IDC 地址或无法挂网卡的场景；配合成员端口可以实现端口映射（例如前端 443 对到后端 8443）。IP 成员的运维成本更高，需要台账管理。

负载均衡计费模式

计费大致分两类：包年包月按实例规格与带宽计价，按量计费按规格或度量单位（如 LCU）计价。公网流量、带宽与跨区流量可能单独计费，做容量方案时要把这些维度一起估算。

负载均衡配额与常见限制

每地域的实例数、监听数、服务器组数、转发规则数与证书数都有配额限制，超限时创建请求会失败。大型改版或批量迁移前，先在配额中心核对并按需提前申请提升。

负载均衡入口的安全防护分层

公网 LB 入口通常自带基础 DDoS 防护；需要 Web 攻击防护时在前面串接 WAF，或使用云原生 WAF 直连源站；安全组与访问控制再做来源限制。防护按层规划，避免单点失守。

全球加速 GA 概念

全球加速把用户流量就近接入云厂商接入点，经骨干网转发到目标地域的终端节点，用于改善跨地域访问质量；对需要固定入口地址的多地域服务与跨境访问场景较常见，计费一般含实例费与流量费。

网关型负载均衡 GWLB

GWLB 面向安全设备集群的旁挂部署：业务流量经 GWLB 分发给一组防火墙或入侵检测设备处理，再回注到原路径。适合把第三方安全设备纳入云内流量管控的架构。

云 DNS 与 CDN

解析配置、CDN 加速与证书部署

云解析 DNS 基础

云解析是把域名指向云上资源的托管 DNS 服务：在控制台维护解析记录，由厂商的权威服务器对外应答。使用闭环是「托管域名 → 配置记录 → dig 验证 → 观察多地生效」。

常见 DNS 记录类型速查

常用记录一览：A 指向 IPv4 地址、AAAA 指向 IPv6、CNAME 是别名（接入 CDN/WAF 常用）、MX 管邮件、TXT 用于验证与反垃圾、NS 用于子域委派、SRV 用于服务发现。按用途建记录并注意同名约束。

DNS TTL 与生效时间

TTL 是记录在各级缓存中的存活秒数：值越小变更收敛越快、权威查询压力越大；越大缓存友好但变更生效更慢。计划切换类变更时，提前把关键记录 TTL 调低，完成后恢复。

CDN 基本原理与组成

CDN 把内容缓存到离用户较近的边缘节点：请求先到边缘，命中直接返回，未命中回源站取内容并按规则缓存。链路是「用户 → 边缘节点 →（未命中）源站」，核心观测指标是命中率与回源量。

CNAME 接入与解析链路

CDN、WAF、对象存储静态站点等云服务普遍要求用 CNAME 把业务子域名指向服务方提供的目标域名：解析链路变为「你的域名 → 服务方域名 → 实际节点」，验证时要检查整条链。

CDN 接入流程（域名与 CNAME）

接入流程：添加加速域名与业务类型 → 配置源站信息 → 完成域名归属验证 → 把域名 CNAME 到服务方目标域名 → 验证生效。未完成 CNAME 前，流量不会经过 CDN。

CDN 缓存刷新（URL 与目录）

刷新用于让已缓存的旧内容立即失效：URL 刷新精准到单个文件，目录刷新按路径前缀批量生效。刷新有配额与生效延迟，只能作用于已经缓存过的 URL，且必须先把源站内容更新到位再用。

智能解析（分线路与分地域）

智能解析按查询来源（运营商、地域、线路）返回不同记录，常用于多地就近接入与区域灾备。配置前先明确判定维度，并为未命中自定义线路的查询准备默认线路兜底。

缓存规则配置

缓存规则决定哪些请求被缓存、缓存多久、按什么条件匹配：按目录、文件后缀或全站配置，静态资源长缓存、动态接口不缓存。规则上线后抽查各类路径的响应头验证命中情况。

私有域名解析（VPC 内 DNS）

私有域名解析为 VPC 内提供域名：可托管内网域名（如 db.internal），配合资源域名做服务发现，公网不可见。未关联的 VPC 解析不到，跨网络使用需要打通或单独关联。

CDN 回源 Host 与 SNI

回源 Host 决定 CDN 回源请求头中的 Host，源站据此路由到对应虚拟主机；HTTPS 回源还要匹配 SNI。源站挂多域名或按 Host 分站时，回源 Host 配错常表现为 403/404。

CDN 回源异常排障（404 与 5xx）

源站直连正常而经 CDN 报错时，先区分边缘问题还是回源问题：看响应头与回源状态，再核对回源 Host、回源协议与端口、源站防火墙是否放行 CDN 回源网段、源站超时与限速、证书链。

CNAME 与 A 记录怎么选

A 记录直接指向 IP，层级短、无额外查询；CNAME 指向域名，云服务侧调整节点时无需改你的配置。接入云服务按服务方要求通常选 CNAME；需要固定 IP 对接白名单的场景用 A。

CDN 源站类型选择

源站可以填 IP、域名或云存储回源域名：IP 源站直接；域名源站适合已有入口（如负载均衡域名）；对象存储适合静态资源。多源站可做主备或轮询，提升回源可用性。

CDN 预热（Push 预取）

预热把指定 URL 提前拉取并缓存到边缘节点，常用于版本发布、活动开始前削峰。预热会立即产生回源流量、占用源站带宽；它与刷新是相反动作：刷新删除缓存，预热灌入缓存。

判断 CDN 命中与获取真实客户端 IP

判断命中看响应头里的缓存状态字段与 Age：各厂商命名不同，如 X-Cache 类头。源站要拿到真实客户端 IP，需要在源站配置 realip 并信任 CDN 回源网段，再从 X-Forwarded-For 还原。

CNAME 校验失败的排查

接入 CDN 需把加速域名的 DNS 指向 CDN 分配的 CNAME 目标，控制台校验通过后流量才切换。校验失败常见原因：同名已有 A 记录冲突、CNAME 未生效、域名未托管在当前解析、域名挂在其它 CDN 或 WAF 上、中国内地加速未完成备案。

dig / nslookup 常用排查姿势

dig 是排查解析的主力工具：+short 看结果、@ 指定服务器、+trace 跟踪委派链、+noall +answer 看完整应答；Windows 侧可用 nslookup 或 Resolve-DnsName。掌握几个组合即可覆盖多数场景。

缓存过期时间（TTL）策略

TTL 决定资源在边缘节点的存活时长：带指纹文件名的静态资源适合长 TTL，入口 HTML 与频繁变化的内容用短 TTL。长 TTL 依赖刷新机制兜底，短 TTL 会抬高回源比例与源站压力。

CDN HTTPS 证书配置

为加速域名启用 HTTPS 需先在 CDN 侧部署证书（上传自有证书或申请托管证书），再按需开启强制 HTTPS 跳转。证书按域名绑定与覆盖，多域名接入需逐一确认；到期前要完成续期替换。

发布治理：指纹文件名替代频繁刷新

把刷新依赖转化为发布工艺：静态资源文件名带内容指纹（hash），入口 HTML 用短 TTL 或协商缓存，发布后新文件走新 URL 自然生效，刷新只做兜底。能减少刷新配额消耗并避免缓存竞态。

泛解析（通配记录）规划

泛解析用 * 主机记录承接所有未单独定义的主机名，适合批量子域与租户域；风险是放大面：任意子域都能解析成功，可能被用于钓鱼或扫描利用。开启前评估安全影响。

递归缓存与本地缓存

解析结果先经「权威 → 递归（公共/运营商 DNS）→ 操作系统 → 应用」多级缓存：变更不生效多是缓存未过期。定位看 dig 输出中的剩余 TTL，清理顺序从本机到浏览器，递归层只能等过期。

缓存键与参数忽略策略

缓存键通常由主机、路径与部分查询参数组成：忽略营销参数与随机串能提升命中率，业务参数（如版本号）必须参与区分。调整后要实测确认不同参数组合的命中行为。

CDN 回源协议与端口

回源协议可选 HTTP 或 HTTPS，也可设置为协议跟随（客户端用什么回源就用什么，部分产品支持）；回源端口要与源站监听端口一致。配置不一致的典型表现是回源失败、502/504。

HLS 音视频的缓存策略

音视频点播按文件类型分策略：m3u8 索引文件用短 TTL 或不缓存，ts/fmp4 切片带序号可用长 TTL。直播的 m3u8 频繁变化需秒级 TTL 配合；切片一经生成不再变化，适合长期缓存。

CDN 命中率低的排查思路

命中率低常常是多因叠加：TTL 过短、缓存键被随机参数污染、发布期频繁刷新、动态内容占比高、源站未按预期下发缓存头、部分流量绕过 CDN 直连源站。按「看曲线、抽样验证、定位规则」逐步收敛。

CDN 上线检查单

接入完成后的核验清单：CNAME 校验、证书与强制跳转、缓存规则与 TTL、压缩、回源配置、日志投递、监控告警、防盗链，再用多地多运营商拨测确认解析与响应一致，上线后 24 小时内复查曲线。

多值轮询解析

同名配置多条同类型记录（多个 IP）时，解析会在多个值之间轮询返回，实现轻量级横向分担。注意轮询没有健康判断：某个地址故障时仍可能被返回给部分用户。

Range 分片回源

对音视频与大文件，CDN 用 Range 请求分片回源：只拉取缺失片段并按块缓存拼接。源站需支持 Range 并正确返回 206 与 Content-Range，否则大文件只能整体回源，播放启动与拖拽体验变差。

CDN 压缩：Gzip 与 Brotli

边缘压缩把文本类响应（HTML/JS/CSS/JSON）压缩后传输，减少下行带宽。常见规则是命中文件类型且超过大小阈值才压缩；图片、视频等已压缩格式不需要重复压缩，开启前确认源站没有重复进行压缩。

CDN 监控指标与告警配置

日常要盯的核心指标：下行带宽与流量、请求数、命中率、回源率、4xx/5xx 占比、回源状态码。给关键指标配告警（如 5xx 占比突增、命中率骤降、带宽逼近封顶），让问题在用户反馈前暴露。

CDN 防盗链与 URL 鉴权

防盗链用 Referer 黑白名单与 URL 签名限制资源被未授权引用或盗刷：签名 URL 由路径、时间戳与密钥计算得出，过期即失效，适合付费内容与直播流；Referer 校验实现简单但可被伪造，两者常叠加使用。

动态内容与不缓存配置

接口与个性化页面不应被共享缓存：在 CDN 侧配置不缓存规则，或由源站下发 Cache-Control: no-store/private 并确认 CDN 遵循策略。含隐私数据的响应同时要禁止共享缓存。

全站加速：动静态混合场景

全站加速（如阿里云 DCDN、腾讯云 ECDN）在静态缓存基础上为动态请求提供智能选路与协议优化回源，适合动静混合站点。配置重点是动静分类与回源跟随：可缓存的静态资源留在边缘，动态接口保持回源。

CDN 计费方式：流量与带宽

国内主流 CDN 提供按流量计费（按 GB）与按带宽峰值计费（日峰值或月 95 峰值口径）两类，中国内地与海外分区单价不同，另有资源包与回源相关计费项。结合业务流量曲线选型并定期对账。

解析级故障转移与备用地址

部分云解析支持带健康探测的故障转移：主地址异常时切换备用地址。它属于兜底层，切换生效时间受 TTL 与缓存影响，通常慢于应用层健康检查摘除。

私有域关联 VPC 与转发规则

私有域名区必须显式关联 VPC 才会在该网络生效；混合云场景可配置转发规则，把指定域名查询转给自建 DNS。关联与转发都是显式动作，新增网络与调整 DNS 架构时要同步维护。

CDN 的 HTTP/2 与 QUIC 开启

CDN 边缘可开启 HTTP/2 或 QUIC（HTTP/3）：HTTP/2 复用连接减少往返开销，QUIC 基于 UDP 改善弱网握手体验；客户端不支持时自动回退 HTTP/1.1，回退链路要一起验证。

CDN 访问日志：实时与离线

CDN 日志记录每条请求的客户端 IP、URL、状态码、命中状态与耗时，是排障与数据分析的原始素材。实时日志秒级投递到日志服务，离线日志按小时聚合投递到对象存储，字段与延迟不同，按场景选用。

子域名委派（NS 记录）

把子域（如 dev.example.com）用 NS 记录委派给另一套解析系统管理，适合多团队分权与跨账号管理。委派生效后，该子域内所有记录的权威职责转移到被委派方。

域名迁移与 NS 切换

迁移解析服务：先在目标服务完整预建记录 → 降低关键记录 TTL → 切换 NS → 观察新旧权威并行期 → 稳定后清理旧服务并恢复 TTL。迁移遗漏验证与邮件类记录是常见事故点。

HTTPDNS 与移动端解析

HTTPDNS 通过 HTTP 接口直接返回解析结果，绕过本地递归 DNS，降低移动网络下劫持与调度偏差的影响。适合 App 场景，但客户端要实现缓存与失败回退，避免接口异常时解析全挂。

内外网分离解析（Split Horizon）

同一域名对内外网返回不同地址：内网经私有解析返回内网 IP，公网返回公网入口。既能避免内部地址暴露，也减少内网流量绕行公网链路。配置不完整时会出现绕行或解析失败。

解析监控与多地拨测

对关键域名配置解析监控：多地拨测核对返回结果与预期、观测解析耗时、比对权威与递归一致性；并与证书到期监控一起构成域名侧基础巡检。异常时自动告警。

解析记录冲突与同名约束

同名主机名多类型记录并非都能共存：CNAME 通常要求独占，与同名 A、MX 等冲突；A/AAAA、MX、TXT 等按需可组合。新增记录前先查询现状，必要时用不同子域名拆分用途。

批量管理解析记录

记录较多时用模板批量导入：导出当前清单 → 修改模板 → 校验导入 → 逐批验证。批量操作前先导出备份，变更条目较多时分批执行并逐批拨测确认。

AAAA 记录与 IPv6 解析

AAAA 记录把域名指向 IPv6 地址：双栈站点同时提供 A 与 AAAA，客户端按自身网络选择。启用前确认入口（负载均衡/CDN）与后端链路支持 IPv6，并验证纯 IPv6 客户端路径。

CDN 配额与限制核对

CDN 各项能力存在配额上限：加速域名数、刷新与预热每日条数、缓存规则条数、证书数量、带宽封顶等，具体数值随厂商与账号等级不同。上线前逐项核对，逼近上限时通过工单申请提升。

连接与专线

专线、VPN 网关、对等连接与云企业网

站点到站点 IPsec VPN 概览

通过公网在两个网关之间建立 IPsec 隧道，把本地 IDC 与 VPC 私有网段互通。开通快、成本可控，但链路质量受公网波动影响。典型组成：云端 VPN 网关 + 用户网关（对端）+ IPsec 连接（隧道参数与两端网段）。

专线接入（物理专线）概览

专线通过物理链路连接本地 IDC 与云上，提供更稳定的时延与独享带宽，开通周期长、成本高。常见组件：物理专线端口、虚拟边界路由器 VBR（阿里云）或专用通道（腾讯云）、专线网关与 VPC 关联。

云企业网 CEN 概览

云企业网把多个 VPC、VBR、VPN 网关等网络实例挂到同一张转发网络上，实现同地域与跨地域互通。相比大量两两对等连接，CEN 类产品让路由与带宽管理更集中。

组网方式选型对比

常见云上组网方式各有定位：对等连接适合少量 VPC 点对点；CEN/CCN 适合多实例集中互通；IPsec VPN 开通快、适合快速打通与备份；云专线稳定、适合核心链路；SAG 面向门店类站点接入。

感兴趣流（本端/对端网段）

感兴趣流定义哪些流量进入隧道：本端网段与对端网段成对配置，必须与两端真实子网匹配。配置过窄会表现为部分网段不通，过宽会把不该加密的流量也吸进隧道。

IKEv1 与 IKEv2 的选择

IKE 是 IPsec 的密钥协商协议，两端版本必须一致。IKEv2 交互步骤更少、对 NAT 与移动场景更友好；IKEv1 主模式兼容老设备，野蛮模式适合对端公网 IP 不固定的接入。

隧道已建但业务不通的排查

SA 正常但业务不通，问题通常出在数据面：感兴趣流网段不匹配、路由未指向隧道、安全组或防火墙拦截、两端网段重叠、路由优先级错配。按「隧道、策略、路由、安全」顺序逐层核对。

IKE 阶段一参数（IKE SA）

阶段一协商 IKE SA：加密算法、认证算法、DH 组与生存周期，两端逐项一致才能建立。强度与设备性能要平衡；跨厂商对接时把双方支持的算法集合取交集再填写。

VPN 双隧道与主备冗余

提升可用性的常见形态：一条连接内建立多条隧道（如主备两条），或建立多条连接分别走不同运营商线路，由路由侧做优选与切换。前提是两条隧道都真实可用并演练过。

IPsec SA 协商失败排查

SA 建不起来的排查顺序：先确认两端公网可达、UDP 500/4500 未被拦截；再逐项核对 PSK、IKE 版本、加密与认证算法、DH 组、本端与对端标识；最后读设备日志定位具体不匹配项。

IPsec 阶段二参数（IPsec SA）

阶段二协商数据面参数：安全协议（常见为 ESP）、加密与认证算法、PFS、生存周期，并绑定两端网段。修改阶段二会使隧道短暂重协商，生产环境安排在低峰窗口并观察恢复。

SSL VPN（客户端远程接入）

SSL VPN 让员工用客户端软件经 TLS 接入云上内网，定位是个人远程接入，与站点到站点 IPsec VPN 不同。配置重点：SSL 服务端、客户端网段、证书或账号认证、按用户组下发权限。

网络实例挂载与路由学习

把 VPC 挂载到 CEN 后，云企业网按规则学习其路由，VPC 路由表也会出现指向 CEN 的条目。挂载时选择参与的子网/网段，配合路由学习策略控制可达范围。

混合云专线加 VPN 备份设计

生产混合云的常用组合：专线做主链路、IPsec VPN 做备份；或两条专线互备。设计要点：路由优先级与快速检测、备用链路容量、切换演练，以及避免主备路由互相引入造成环路。

VPN 隧道上运行 BGP

隧道之上可以运行 BGP 动态交换路由：网段自动同步、链路变化快速收敛，适合网段多或频繁调整的混合云。需要两端约定 ASN、邻居地址与路由过滤策略。

IPsec 隧道的 MTU 与 MSS 问题

隧道封装引入额外头部开销，路径 MTU 不匹配时大包被丢弃或分片：典型症状是 ping 通、小文件正常，大传输卡住。处理方式：调整隧道接口 MTU，或在设备上做 TCP MSS 钳制。

专线路由配置要点

专线支持静态路由与 BGP：静态路由手工可控，适合固定网段；BGP 能自动收敛、支撑多线选路，是冗余场景的常用方案。要点：下一跳正确、避免网段重叠、默认路由不要互相抢路。

双专线冗余设计

生产级专线建议双线：选择不同接入点或不同运营商，避免同机房、同城域网光缆故障同时影响两条线路。冗余最终要落在路由侧（BGP 主备或负载）并在业务侧演练验证。

专线不通的分层排查

专线故障按层定位：物理层（端口状态、光路告警）、链路层（VLAN、互联地址）、网络层（BGP 邻居、路由条目）、应用层（安全组、防火墙）。先界定故障段落，再分别驱动运营商工单或自行处理。

云企业网路由策略与优先级

多实例组网后路由条目增多：用路由策略控制哪些路由被学习与发布、调整优先级，把不需要互通的实例隔开，避免意外全互通与环路。策略变更影响面大，先在小范围验证再推广。

腾讯云云联网 CCN 配置要点

云联网以 CCN 实例为中心挂载网络实例：VPC、专线网关、VPN 网关等都可加入。同地域互通通常免跨地域费用，跨地域按地域间带宽上限计费；实例关联与地域间带宽上限是两块核心配置。

预共享密钥（PSK）管理

IPsec 常用预共享密钥完成身份认证：两端 PSK 必须完全一致且足够随机。密钥泄漏意味着任意一方都能冒用身份接入；轮换要两端同步执行，并保留回退记录。

用户网关/对端网关登记

创建 IPsec 连接前先把对端公网地址登记为用户网关（腾讯云称对端网关）：它是连接的对端锚点，还可登记 BGP ASN 等属性。对端公网 IP 变化时必须同步更新。

虚拟边界路由器 VBR

VBR（阿里云侧组件）是专线在云上的逻辑端口：绑定物理专线，配置互联地址、VLAN 与路由（静态或 BGP），向上连接 VPC 或转发路由器。专线的大部分路由能力都在 VBR 上落地。

专线 BGP 邻居配置

与运营商或自建 IDC 通过 BGP 交换路由：配置两端 ASN、邻居互联地址与路由策略。多线路场景用 Local-Pref 与 AS-Path 控制主备；上线前明确接收路由前缀的过滤规则。

跨地域带宽与计费模式

跨地域互通要走跨地域连接，其带宽与计费通常是组网成本的主要部分：常见模式有按流量计费与购买带宽包（带宽在连接间分配）。同地域实例互通一般不计跨地域流量费用。

专线接入 CEN 的组网方式

专线连到多 VPC 的常见做法：把 VBR/专线网关挂到 CEN，再由 CEN 分发到各 VPC，替代「专线直连单个 VPC 再逐个补对等连接」。新增 VPC 只需挂载，不必重复调整路由。

混合云链路监控与拨测

混合云排障先要有数据：监控专线流量与丢包、VPN 隧道状态与重协商次数、BGP 邻居与路由条数变化；再用主动拨测覆盖关键路径，发现「没断但劣化」的问题。

策略型与路由型 VPN

部分产品支持基于路由的 VPN：隧道与网段解耦，用路由表与服务端网段配置引导流量，比逐条感兴趣流更灵活。多网段、多连接场景可以简化条目管理。

VPN 网关带宽规格与限速

VPN 网关按带宽规格计费与限速：规格决定吞吐上限，实际吞吐还受两端设备性能、报文大小与加密算法影响。选型按峰值流量加余量，并给封装开销留出空间。

专线网关与 VPC 关联

专线到 VPC 还差最后一段：把 VPC 与专线侧网关建立关联（阿里云将 VPC 挂载到 VBR/转发路由器；腾讯云将专用通道绑定专线网关 DCG 后关联 VPC）。跨账号与跨地域场景还要追加授权与连接。

BFD 与专线快速故障切换

BFD 用高频探测报文检测链路健康，配合 BGP 在专线劣化时加速路由收敛。部署要点：两端都支持并开启、检测间隔与倍数按业务容忍度设置，过于激进反而会因抖动频繁误切。

跨账号组网与授权

跨账号把 VPC 加入同一张网络：由资源所属账号授权、组网账号发起关联（阿里云云企业网支持跨账号授权；腾讯云云联网支持跨账号关联实例）。授权要限定资源范围并保留台账，关系变更后及时回收。

转发路由器与集中式组网版本选择

转发路由器是云企业网的转发核心：企业版支持多路由表、路由策略、BFD 等更丰富的能力，基础版满足基本互通。实例规模大、需要分区隔离的组网适合企业版；版本能力差异要先对照文档。

专线申请与 LOA 授权函

购买专线后需要把 LOA（授权函）交给运营商用于接线施工：LOA 标明接入点、端口与授权信息，是施工的前置材料。施工完成后云侧端口点亮，再进入路由配置阶段。

专线带宽规划与升配

专线带宽要按业务峰值与增长预留：端口规格（如 1G/10G）决定物理上限，实际购买带宽可小于端口规格；升配通常需要变更订单，部分场景受物理端口与线路资源约束。

华为云企业路由器 ER 组网

华为云用企业路由器把 VPC、VPN、云专线统一接入：路由器内通过关联与传播控制路由表构成，适合多 VPC、多连接的集中组网；跨账号场景结合授权与共享能力接入。

独享端口与共享端口

接入方式分两类：独享端口由你独占物理端口，带宽与规格可扩展；共享/合作伙伴端口经合作伙伴共享接入，开通更快，适合中小带宽。接入点位置直接影响时延，选择时结合业务部署区域。

专线计费构成

专线成本通常由多部分组成：线路与端口租用费（运营商、云厂商各自计价）加云侧资源费（VBR/专线网关等），跨地域或跨账户组网还可能叠加 CEN/CCN 的带宽费用。签约前逐项确认口径。

混合云切换演练

冗余设计要配演练：按预案定期切换主备链路，记录切换时间、业务影响与告警触发情况，验证「检测、收敛、恢复」全链路。演练安排在低峰期，并准备明确的回退操作方案。

智能接入网关 SAG

智能接入网关把门店、分支机构的本地网络通过一体设备（硬件或软件形态）接入云上，支持经公网上云或搭配专线使用，适合网点多、缺少专职网络团队的场景。

云网络排障

安全组、网络 ACL、路由与连通性定位

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌