AWS授权代理 AWS混合云基础设施实战教程：连接本地数据中心与云端资源的配置步骤、网络打通与故障排查

很多团队搜索“AWS 混合云基础设施实战”时，并不是想了解概念，而是卡在实际落地：本地机房已有业务，想把Web、API、数据库备份、缓存或灾备节点部署到AWS，但一上手就遇到CIDR冲突、VPN不通、服务器连不上、数据库跨网访问失败、DNS解析混乱、延迟高和路由异常。本文直接从这些决策点入手，给出一套可执行的操作路径，帮助你把本地数据中心与AWS资源真正打通并稳定运行。

先回答用户最关心的几个决策问题

在开始配置前，用户通常最关心的不是“什么是混合云”，而是下面这些会影响实施成败的问题：

如果你当前目标是先把内网打通、验证服务器和数据库可用，建议第一阶段使用AWS Site-to-Site VPN；如果业务已经稳定，日均流量大、跨网调用多，再考虑Direct Connect，并保留VPN做冗余。

实施前准备：避免一开始就返工

账号与权限要求

• 已开通AWS账号，并具备创建VPC、EC2、VPN、Route Table、Security Group、IAM只读监控权限。
• 本地机房防火墙或路由器需要可配置IPsec VPN，且你拥有设备管理权限。
• 若需部署Windows服务器，需具备RDP管理权限；Linux服务器需具备SSH密钥管理能力。

需要提前确认的资源清单

推荐的初始拓扑

一套适合大多数团队的起步方案是：1个VPC、2个可用区、2个私有子网部署应用和数据库、1个公有子网部署跳板机或NAT、1条Site-to-Site VPN连接本地IDC。这样后续扩容、迁移、做灾备都比较顺手。

步骤一：先规划网络，再创建资源

混合云项目最容易出问题的不是实例创建，而是网络规划错误。很多实施失败都源于本地和云上网段冲突，后期只能改IP或做复杂NAT。

推荐网段规划示例

规划要点：

• 不要与本地IDC现有网段重叠。
• 未来若还要接入第二机房、办公网或其他云，避免使用过于常见的10.0.0.0/16。
• 应用、数据库、跳板机分子网，便于路由和安全策略分层。

步骤二：在AWS控制台创建VPC、子网和测试服务器

1. 创建VPC

进入AWS控制台，打开VPC服务，点击“Create VPC”。

• Name tag：hybrid-prod-vpc
• IPv4 CIDR：10.20.0.0/16
• AWS授权代理 Tenancy：Default

注意：如果你未来需要与多个网络互联，不要把VPC建得过小，比如/24几乎无法扩容。

2. 创建子网

在Subnets中创建至少4个子网，分别分配到两个可用区。数据库建议全部放私有子网，不绑定公网IP。

3. 创建Internet Gateway与路由表

点击Internet Gateways，创建并Attach到该VPC。然后创建两套路由表：

• 公有路由表：0.0.0.0/0 指向 Internet Gateway
• 私有路由表：本地IDC网段指向 VPN Virtual Private Gateway 或 Transit Gateway；出网如需公网更新，可经NAT Gateway

4. 创建EC2实例用于验证连通性

建议至少创建两台：

创建Linux实例时：

• Network：选择hybrid-prod-vpc
• Subnet：优先公有子网或私有子网+跳板接入
• Auto-assign public IP：仅跳板机需要启用
• Key pair：新建或导入现有SSH公钥

创建Windows实例时：

• 安全组放通3389，但源地址只填本地IDC出口IP或本地办公网段
• 实例启动后，通过“Get Windows password”解密管理员密码

5. 配置安全组

常见错误：安全组放通了，但本地防火墙没放行；或者安全组允许CIDR，NACL却拒绝返回流量。

步骤三：创建Site-to-Site VPN，打通本地与AWS

1. 创建Customer Gateway

进入VPC控制台，选择Customer Gateways，点击Create。填写：

• Name：idc-cgw-01
• Routing：Static 或 Dynamic(BGP)
• IP address：本地VPN设备公网固定IP
• BGP ASN：若使用BGP，填写本地ASN，例如65010

如果本地设备不支持BGP，可先用静态路由，但后期扩容和高可用会更麻烦。

2. 创建Virtual Private Gateway并绑定VPC

AWS授权代理 创建Virtual Private Gateway，ASN可保留默认，然后Attach到hybrid-prod-vpc。

3. 创建VPN Connection

在Site-to-Site VPN Connections中点击Create：

• Target Gateway Type：Virtual Private Gateway
• Virtual Private Gateway：选择刚创建的VGW
• AWS授权代理 Customer Gateway：选择idc-cgw-01
• AWS授权代理 Routing Options：Static或Dynamic
• Static IP Prefixes：填写本地IDC网段，如172.16.0.0/16

创建完成后，下载对应厂商的配置模板。如果你的本地设备是FortiGate、Cisco、Juniper、Sophos，AWS通常会提供示例参数。

4. 配置本地网关设备

AWS授权代理 这一部分不是在AWS里点几下就结束。你需要把下载的模板中的以下参数准确填到本地设备：

如果你使用静态路由，记得在本地防火墙或路由器上添加指向AWS网段的静态路由；在AWS侧私有路由表中，也要添加指向本地IDC网段的传播或静态路由。

5. 更新AWS路由表

在私有子网关联的Route Table中添加或确认：

• Destination：172.16.0.0/16
• Target：Virtual Private Gateway

若使用BGP并启用路由传播，可在路由表中开启Route Propagation，减少手工维护错误。

步骤四：验证SSH、RDP、数据库和DNS解析

1. 验证Linux SSH

从本地IDC或办公网执行：

<code>ssh -i hybrid-key.pem [email protected]</code>

AWS授权代理 若私网直连失败，先检查：

• 隧道状态是否为UP
• 安全组是否放行22
• 实例OS防火墙是否允许SSH
• 子网路由是否已指向VGW

2. 验证Windows RDP

在本地电脑使用远程桌面连接私网IP，例如10.20.11.20。如果出现超时，优先排查Windows防火墙是否启用了“Remote Desktop”，以及安全组和本地IDC返回路由是否完整。

3. 验证MySQL连接

如果云上部署MySQL或RDS，并允许本地IDC访问，可在本地主机执行：

<code>mysql -h 10.20.21.15 -u appuser -p -P 3306</code>

若连接失败，重点看4个地方：

4. Redis配置建议

Redis不建议直接跨公网开放。若部署在EC2上，redis.conf中保留私网绑定，设置requirepass或ACL；安全组仅允许应用服务器子网或本地缓存管理网段访问6379。若本地访问超时，先验证telnet 10.20.x.x 6379，再查防火墙和bind配置。

5. DNS互通

很多混合云项目网络已通，但应用仍报“域名解析失败”。常见做法是：

• 本地域名继续由本地DNS解析
• AWS内部私有域名用Route 53 Private Hosted Zone
• 使用Route 53 Resolver Inbound/Outbound Endpoint做双向转发

如果不做DNS规划，应用可能能ping通IP，却无法通过内部域名调用数据库和服务。

步骤五：迁移、备份、重装与性能测试

服务器迁移建议

如果你要把本地应用服务器迁到AWS，先不要整机一次性搬迁。建议顺序是：先在AWS创建新Linux或Windows实例，完成网络打通后迁移应用，再迁移数据，最后切换DNS或流量。

Linux常见迁移命令：

<code>rsync -avz /data/app/ [email protected]:/data/app/</code>

Windows可先通过RDP复制小量文件，数据量大则走SMB专线或迁移工具。

快照备份

对EC2卷可在EBS中创建快照，关键操作前先做一次。对于数据库，卷快照不能替代逻辑备份，MySQL仍应保留mysqldump或物理热备。

系统重装

EC2可通过替换AMI或重新Launch新实例完成“重装”。真实运维中更推荐不可变重建，而不是在原机上长时间修补。重装前保留：

• 数据卷快照
• 安全组和IAM Role配置
• 启动脚本与应用配置文件

网络性能测试

打通后建议做三类测试：

• AWS授权代理 延迟：使用ping或mtr看往返时延与丢包
• 带宽：使用iperf3测试内网吞吐
• 应用性能：通过curl、ab、wrk或JMeter测试真实业务接口

如果VPN延迟明显波动，且高峰期吞吐不足，说明该链路只适合作为过渡或管理链路，数据库主交易流量不建议长期走VPN。

不同用户的配置建议

常见故障处理思路

案例1：VPN状态UP，但服务器仍然不通

大概率不是隧道本身，而是路由或安全策略问题。先看AWS私有子网路由表是否有本地IDC网段，再检查本地防火墙有没有到10.20.0.0/16的回程路由。

案例2：Linux能SSH，MySQL却连不上

通常是数据库用户权限或监听地址配置错误。很多团队只放通了3306，却忘了把用户从app@localhost改为[email protected].%。

案例3：RDP偶发卡顿

如果VPN带宽没满却卡顿，先检查MTU/MSS。IPsec场景下分片常导致远程桌面体验差，可在本地设备上调整TCP MSS，减少大包丢弃。

优化建议

安全优化

• 跳板机与业务机分离，业务机尽量无公网IP。
• 数据库只允许指定安全组或IDC网段访问。
• 开启CloudTrail、VPC Flow Logs，排查谁在访问关键端口。
• Windows启用复杂密码和定期轮换；Linux使用密钥登录，关闭密码SSH。

性能优化

• 将延迟敏感服务尽量部署在同一侧，减少跨云跨机房实时调用。
• AWS授权代理 数据库连接池要收敛，避免跨VPN创建大量短连接。
• 对静态资源使用CDN，减少应用层回源压力。
• 批量数据同步优先异步传输，不要把主交易流程放在高延迟链路上。

成本优化

• 验证阶段先用VPN，不必一开始就上专线。
• 测试实例使用t3/t4g小规格，压测后再升级。
• 快照做生命周期管理，避免长期累积费用。

稳定性优化

• 使用VPN双隧道，并定期做故障切换演练。
• 关键应用至少跨两个可用区。
• 重要配置参数、PSK、路由信息形成变更文档，避免人员变更后无法维护。