搜”阿里云路由器设置”的人，要解决的往往不是同一个问题。有人想让办公室电脑稳定访问云服务器，有人要在专有网络（VPC）里改路由表，也有人需要把本地网络和云上网络连起来。下面按场景分开讲：先把本地路由器设好，再说明云上路由表怎么配，最后用一个典型例子把两边串起来。
先确认你要改的是哪一层
动手前先分清三种设备，免得在错误的地方反复折腾。
- 本地路由器：办公室或家里的物理设备，负责局域网、DHCP、无线和出口上网。
- VPC路由表：阿里云专有网络里决定云主机流量去向的规则。
- 跨网连接组件：如VPN网关、云企业网，用来把本地网段和VPC安全连通。
一个简单的判断方法：改Wi-Fi密码、端口转发、管理后台，是本地路由器的事；改子网之间的转发规则，是路由表的事；要让两端内网互访，需要跨网连接组件。三者混在一起配，最常见的结果就是”能ping通，但业务访问不了”。
本地路由器的基础设置
不管最后要不要连云，这一步都应该先做。基础打好了，后面排查时才知道问题出在哪一层。
- 登录管理地址（常见为192.168.1.1或192.168.3.1，以设备背面标签为准），第一件事是改掉默认管理密码，没有需要就关闭远程管理。
- WAN口按运营商给的方式选择。宽带拨号用PPPoE；如果上级已经有路由器，一般用动态IP。拨号信息和分配到的地址最好记下来，以后排查会用到。
- LAN口网段要提前规划，避开和云上VPC网段重叠的范围。例如办公室用192.168.10.0/24，VPC用172.16.0.0/16，两边不冲突，后面打通会省很多事。
- 无线启用WPA2-PSK或WPA3，关闭WPS。访客设备单独开一个SSID和网段，别和办公设备混在一起。
- 需要固定地址的NAS或工作站，在DHCP里按MAC做静态绑定，比每台机器手动改IP更不容易出错。
一个典型例子：设计团队怎样访问云上服务器
设想一个十几人的设计团队，要把渲染素材同步到阿里云ECS上处理。常见的第一反应是给每台机器单独开放公网端口。这样做的代价是暴露面变大，安全扫描很容易报高危项，连接也常常不稳定。
更稳妥的做法分三步。第一步，办公室路由器的LAN按192.168.10.0/24规划，NAS和渲染工作站做静态绑定。第二步，在阿里云创建一个VPC，网段选172.16.0.0/16，下面放两个交换机，分别给应用服务器和数据服务器用。第三步，在VPC路由表里添加办公室网段的路由条目，再通过IPsec VPN网关建立站点到站点的加密通道。
改完之后，公网端口可以全部关掉，素材同步统一走加密隧道。这个例子里起作用的是顺序：先定网段，再配路由，最后才收紧安全策略。网段没理清楚就急着开端口，后面返工的概率很高。
云上VPC路由表怎么配
如果只是同一个VPC里的云主机互相访问，系统会自动生成路由条目，通常不用额外操作。需要手动配的，多半是跨VPC、跨地域，或者要连本地网络的场景。可以按下面的顺序检查：
- 确认VPC网段和交换机网段不重叠，交换机网段必须落在VPC网段之内。
- 进入对应的路由表，先看系统路由条目是否正常。
- 添加自定义路由，目标网段填办公室的192.168.10.0/24，下一跳类型按实际连接方式选择，比如VPN网关。
- 检查路由表绑定的每个交换机。如果有交换机仍绑着旧路由表，流量会走错地方，而且表面上看不出问题。
- 在安全组里放行实际需要的入方向和出方向规则，来源地址尽量写具体范围，不要图省事全部放行。
路由条目配对了，业务不一定就通。安全组、本地防火墙、路由器的访问控制都可能拦住流量，最好从下往上一层层确认。
IPsec VPN的关键参数
站点到站点VPN是把办公室和VPC连起来最常见的方式。开始配置前，建议先把参数列成一张表，两端逐项对齐，大部分连接失败都出在这里。
- IKE版本和加密算法：两端要一致，例如IKEv2配合AES加密和SHA系列认证。
- 预共享密钥：用足够长的随机字符串，通过安全渠道发给对方，不要贴在聊天记录或工单里。
- 网关地址：本端填路由器的公网IP，云端填VPN网关的公网IP。办公室如果是动态公网IP，要留意它是否会变化。
- 感兴趣流：也就是需要加密转发的网段，要和路由表里的目标网段对应起来。
- 生存周期和重协商：没有特殊要求时用默认值即可，频繁改动反而容易引入新问题。
隧道建好后，先从办公室网络ping云上的内网地址，通了再访问具体端口。ping不通时，优先看隧道状态和路由表，不要一上来就怀疑应用本身。
常见问题怎么查
- 网段冲突：两边用了相同网段，是最常见的原因。比较省事的办法是调整其中一侧的网段，而不是在路由上硬做地址转换。
- 隧道显示已建立，但访问不通：多数是路由条目缺失，或安全组没放行，逐条核对一遍通常就能找到。
- 速度时快时慢：先看路由器的带宽占用。如果VPN流量和视频会议抢带宽，可以给VPN流量做QoS限速。
- 固件版本偏旧：部分老型号路由器长时间运行后会出现隧道断开，定期更新固件能减少这类问题。
小结
阿里云路由器设置包含三部分：本地路由器、云上路由表和跨网连接。先把本地网段和基础安全做好，再按业务需要选择路由表或VPN方案，最后逐层验证。按这个顺序做，大部分场景都能稳定运行，后续扩展也轻松不少。
