很多团队上云时，服务器和数据库通常一下午就能开通，拖慢进度的往往是网络：网段撞了，公网出不去，两个地域的服务互相访问不通。把阿里云网络的几个基础组件分清楚，大部分问题在建网时就能避开。
先分清基础组件各管什么
- 专有网络 VPC：云上的逻辑隔离网络，有自己的私有网段，所有云资源都建在它上面。VPC 属于单个地域，跨地域需要其他组件来连接。
- 交换机：VPC 里按可用区切分出的子网。ECS、RDS 等资源挂在交换机上，所以交换机怎么划，决定了哪些机器能被访问到。
- 安全组：实例级的访问控制，按协议、端口和来源地址设置入站、出站规则。很多”不通”的问题出在这里，不在路由。
- 路由表：决定流量往哪里走。自定义路由可以把流量指向 NAT 网关或 VPN 网关。
- NAT 网关与弹性公网 IP：内网实例访问互联网，或者对外提供服务时使用。两者用途不同，配置前先想清楚要解决哪一个方向的问题。
- 负载均衡：把访问流量分发到多台后端实例，并通过健康检查剔除故障节点。
案例：服装电商的两地网络怎么重建
某服装电商（示例）主站部署在华东1（杭州），大促时需要在华北2（北京）部署一套备份站点，仓储系统仍留在本地机房。团队最初没有统一规划网段，北京和杭州的网段有重叠，两地服务连不上。重建时他们按下面的顺序做：
- 先规划网段。杭州 VPC 用 10.0.0.0/16，北京 VPC 用 10.1.0.0/16，避开本地机房的 192.168.0.0/16。VPC 网段上线后再改，要迁移资源，代价很大，所以这一步必须在建网前完成。
- 按业务分层划交换机。负载均衡和 Web 服务放在可以接收公网访问的交换机上，数据库放在不对公网开放的交换机上。
- 用云企业网 CEN 连接两个地域。把两个 VPC 加入同一个 CEN 实例，并购买跨地域带宽。连通之后还要检查两端路由是否已经学到对方网段，否则私网依然不通。
- 用高速通道接入本地机房。仓储系统的数据走专线进入阿里云，减少公网抖动对库存同步的影响。
- 收紧安全组。数据库安全组只允许应用服务器所在的安全组访问 3306 端口，不再开放 0.0.0.0/0。
调整后，跨地域内网延迟稳定。大促期间备份站点承接了约三成的读请求，主站没有因为网络问题降级。注意，这个数字来自示例中的假设场景，你的业务需要按自己的压测结果来判断。
跨地域与混合云该选哪种连接
连接方式主要取决于要互通的范围，以及对稳定性的要求。
- 同地域内几个 VPC 互通：对等连接或 CEN 都能用。VPC 数量少、以后也不会大幅扩展时，对等连接的配置更直接。
- 跨地域、多 VPC 互通：优先考虑 CEN。以后新增 VPC 或地域时，只需把网络实例挂上去，不用逐对配置连接。
- 本地机房接入：对带宽和稳定性有要求，用高速通道。临时测试或预算有限，可以先用 VPN 网关。它走公网传输，抖动和带宽上限都要提前评估。
常见问题怎么排查
网段冲突
两个 VPC，或者 VPC 与本地网络的网段重叠时，路由无法判断该把包发往哪一端，表现就是连接失败。建网前把所有网段登记在一张表里，包括本地机房和以后可能新增的地域，并为每个 VPC 预留足够的网段空间。
实例无法访问公网
先确认实例绑定了弹性公网 IP，或者所在交换机关联的路由表里有指向 NAT 网关的默认路由。两项都正常时，再检查安全组的出站规则。排查时容易只看入站，忽略出站规则同样可能挡住请求。
内网服务互相不通
安全组规则是最常见的原因。在控制台打开目标实例的安全组，确认来源地址和端口与实际访问一致。修改后，在源实例上用 telnet 或 nc 验证端口，例如 nc -zv 数据库内网IP 3306。端口通了，问题多半在应用层；端口不通，就回到安全组和路由表继续查。
