返回博客
AWS Direct Connect 与 Site-to-Site VPN 的混合云网络高可用方案
2025/12/255 min read

AWS Direct Connect 与 Site-to-Site VPN 的混合云网络高可用方案

NetworkAWSDirect ConnectVPNHybrid CloudHigh AvailabilityNetwork Architecture

1. 混合云网络的挑战

随着企业上云进程的加速，混合云（Hybrid Cloud）架构已成为主流。核心业务保留在本地数据中心（IDC），而弹性扩容、大数据分析或边缘业务则部署在 AWS 等公有云上。

在此架构中，网络连接的稳定性和**高可用性（HA）**是生命线。

  • Direct Connect (DX)：提供低延迟、高带宽、稳定的专线连接，但部署周期长、成本较高，且物理线路可能因施工等意外中断。
  • Site-to-Site VPN：基于互联网建立加密隧道，部署快、成本低，但网络质量受公网波动影响。

如何结合两者的优势，构建一个既经济又可靠的高可用网络架构？

2. 架构设计：DX 主用 + VPN 备用

我们推荐采用 Active/Passive（主备） 模式：

  • 主链路：AWS Direct Connect (1G/10G)。承载日常主要业务流量。
  • 备链路：AWS Site-to-Site VPN。当 DX 发生故障时，自动接管流量。

2.1 拓扑示意图

[Corporate Data Center] <========================> [AWS Region]
       |                                              |
       |---(Primary: Direct Connect BGP)------------->|---[Direct Connect Gateway]
       |                                              |            |
       |---(Backup: Site-to-Site VPN BGP)------------>|---[Transit Gateway / VGW]

3. 关键配置与路由策略

要实现自动故障切换（Failover），关键在于 BGP (Border Gateway Protocol) 的路由属性配置。AWS 侧会自动通过 DX 和 VPN 向 IDC 宣告 VPC 的网段路由，IDC 的路由器也会向 AWS 宣告本地网段。

3.1 路径选择原理 (AS Path Prepending)

AWS 对于发往本地数据中心的流量，会依据以下优先级选择路径：

  1. 最长前缀匹配 (Longest Prefix Match)：最优先。
  2. Direct Connect 优于 VPN：如果从 DX 和 VPN 收到相同的前缀，AWS 默认优先选择 DX 路径。

因此，从 AWS 回传 IDC 的流量，默认就会优先走 DX。当 DX 中断，路由表中 DX 路径撤销，流量自动切换至 VPN。

3.2 控制出云流量 (IDC -> AWS)

对于从 IDC 发往 AWS 的流量，我们需要在 IDC 的路由器（CPE）上进行配置：

  • Local Preference：在 BGP 属性中，给 DX 的邻居设置更高的 Local Preference。
  • AS Path Prepending（可选）：如果同时使用多条线路，可以通过增加 AS Path 长度来降低 VPN 路径的优先级。
# Cisco 路由器配置示例 (伪代码)
router bgp 65000
 neighbor 10.0.0.1 remote-as 64512 ! DX neighbor
 neighbor 10.0.0.1 route-map PREFER_DX in
 neighbor 192.168.1.1 remote-as 64512 ! VPN neighbor
!
route-map PREFER_DX permit 10
 set local-preference 200 ! Set higher preference for DX

4. 故障切换与恢复测试

4.1 切换时间

  • BGP Keepalive/Hold Time：默认 Hold Time 为 90秒。如果线路中断，可能需要 90秒 才能检测到。
  • 优化：启用 BFD (Bidirectional Forwarding Detection)。DX 支持 BFD，可以将故障检测时间缩短至毫秒级（通常 < 1秒），实现业务无感知的切换。

4.2 恢复

当 Direct Connect 线路恢复后，BGP 会话重新建立。由于 DX 的优先级（AWS 侧硬编码优于 VPN），流量会自动切回 DX 专线。建议在非业务高峰期进行演练，确保切回过程没有引发路由震荡。

5. 成本与安全考量

  • 成本：VPN 作为冷备，只有在 DX 故障期间才会产生较多的数据传输费用（Data Transfer Out），平时仅有少量的 VPN 连接小时费。相比双 DX 线路，成本大幅降低。
  • 安全：虽然 VPN 走公网，但 IPSec 提供了强大的加密保护。对于高安全需求场景，还可以考虑 AWS Direct Connect + MACsec 加密，但这需要硬件支持。

6. 总结

"DX + VPN" 是混合云网络中最具性价比的高可用方案。它结合了专线的性能和 VPN 的灵活性。通过合理的 BGP 配置和 BFD 优化，企业可以构建出企业级的坚实网络底座，保障业务连续性。