CEN 路由策略是什么
云企业网把多个网络实例放进一张大路由表，默认行为往往是「全部学习、全部互通」。实例一多，问题随之出现：测试环境能看到生产网段、本不该互通的业务被意外打通、默认路由扩散把出网路径带偏。路由策略就是在这张表上加规则——按实例与前缀决定哪些路由允许学习或发布、被拒绝或被降低优先级，从而把互通范围收窄到设计意图。
基本信息
| 作用对象 | 网络实例之间的路由学习与发布行为 |
|---|---|
| 匹配条件 | 源/目的实例、网段或前缀列表 |
| 动作 | 允许、拒绝、修改优先级等 |
| 执行顺序 | 多条策略按优先级顺序匹配，命中即执行 |
| 影响范围 | 涉及全网实例，变更风险等级高 |
| 配套手段 | 与安全组、网络 ACL 配合做纵深隔离 |
典型使用场景
- 生产与测试环境隔离：只允许测试访问公共依赖网段，不允许反向访问
- 按业务线收敛互通范围，避免所有 VPC 默认全通
- 多专线与多 VPN 并存时，用优先级决定选路次序
- 阻止默认路由在不同实例间扩散，保护各 VPC 的出网设计
- 临时排除某网段做故障隔离，事后回收策略
常见策略意图
| 意图 | 策略做法 | 易错点 |
|---|---|---|
| 环境隔离 | 拒绝非相关实例之间的网段学习 | 方向写反，把该通的也过滤掉 |
| 只放通必要网段 | 用前缀列表匹配后允许，其余拒绝 | 前缀写错导致部分业务网段被拦 |
| 主备选路 | 对主链路路由提高优先级 | 两侧都提优先级，等于没有主备 |
| 防默认路由扩散 | 拒绝默认路由的学习与发布 | 漏掉某个实例，从该实例泄漏出去 |
| 隔离故障段 | 临时拒绝问题网段并对齐回收时间 | 临时策略长期不回收，成为技术债 |
策略生效后的验证
策略生效后的验证
ping -c 4 10.30.0.10 # 应放通的仍然通
ping -c 4 -W 1 10.40.0.10 # 应隔离的应不通（超时属预期）
traceroute -n 10.30.0.10 # 路径是否符合预期，未经第三方实例跳转
mtr -n -c 20 10.30.0.10 # 确认时延与丢包没有因策略变化而异常
# 云控制台：确认策略命中计数与路由条目增减符合预期「默认全互通」的组网里，一个实例被攻陷就可能横向影响整网。路由策略负责可达性、安全组负责端口与来源，两者要配合使用，只靠其中一层都不够。
策略方向最容易写反：写反时症状是「该通的突然不通」，而不是「隔离失效」。上线前把每条策略的预期效果写成一句话，变更后逐条核对，比事后猜要省时间。