4 种高速安全混合云解决方案，助力您的云迁移之旅！

2022 年 1 月 17 日
本文字数：3742 字
阅读完需：约 12 分钟

概述

企业上云是企业在数字化转型的关键一步，数据表明全球有 88%的企业将上云作为优先战略，但同时，86％的企业基础架构支出中仍在本地的系统部署上，这说明企业向云端迁移还需要一段时间。同时，公有云、混合云、多云的多种方式接入已成为企业的主流选择。亚马逊云科技希望把云迁移变得更加简单，所以亚马逊云科技一直致力于更新和迭代混合云的功能，帮助客户实现高速、安全、平滑、高可用的混合云构造解决方案。

本文通过 Amazon Direct Connect、Transit VIF、Amazon Transit Gateway Connect 等亚马逊云科技网络服务，推荐了以下几种混合云方案：

📢 想要了解更多亚马逊云科技最新技术发布和实践创新，敬请关注 2021 亚马逊云科技中国峰会！点击图片报名吧～

方案一：混合云组网

利用中转虚拟接口(Transit VIF)实现客户本地私有云和云上网络的高速互联

随着云计算的发展，企业私有云和公有云互联互通已成为企业普遍的选择。利用亚马逊云科技的 Amazon Direct Connect Gateway 的中转虚拟接口(Transit VIF)，可以轻松帮助客户搭建一个高速、低延迟且安全的混合云。

目前，亚马逊云科技北京区域和宁夏区域的 Amazon Direct Connect 已经支持连接 Amazon Transit Gateway。借助此功能，客户可以使用 1/10/100 Gbps Amazon Direct Connect 将多个亚马逊云区域中的数千个 VPC 连接到他们的本地私有云。

Amazon Direct Connect 引入了一种称为中转虚拟接口的新型虚拟接口(Transit VIF)，以支持与 Amazon Transit Gateway 的连接。客户可以在任何 Amazon Direct Connect 接入点使用 1/10/100Gbps Amazon Direct Connect 创建 Transit VIF。通过创建 Transit VIF，客户可以让其本地私有云和亚马逊云上数千个 VPC 互联，打通南北向流量，实现混合云组网的快速一建部署。

相比于本地私有云通过 VGW 和 VPC 建立点到点的 Amazon Direct Connect 专线不同，使用 Transit VIF 可以帮助本地私有云和亚马逊云上的上千 VPC 同时互联，让客户可以通过一条专线、一次部署、一键构造点到多点的本地到云上的网络，实现混合云组网。

利用 Amazon Transit Gateway Connect 实现客户 SD-WAN 网络和云上网络的定制化互联

随着 SD-WAN 的蓬勃发展，目前已经有大量的客户完成了企业网络的 SD-WAN 改造。很多企业希望除了通过专线的方式连接亚马逊云之外，还可以快速高效的将亚马逊云上资源与企业 SD-WAN 网络互联互通。亚马逊云科技的 Amazon Transit Gateway Connect 服务正是为满足此类客户的需求应运而生。

目前，亚马逊云科技北京区域和宁夏区域推出了 Amazon Transit Gateway Connect 服务，给客户提供安全通道和 SD-WAN 接入云上 VPC 的能力。

Amazon Transit Gateway Connect 是 Amazon Transit Gateway 新推出的一项功能，它通过将软件定义的广域网(SD-WAN)设备本地集成到亚马逊云中，简化分支机构的连接。客户现在只需在 SD-WAN 应用上单击几下，就可以使用通用路由封装(GRE)和边界网关协议(BGP)等标准协议，将其 SD-WAN 边缘无缝扩展到亚马逊云。Amazon Transit Gateway Connect 让客户无需在 SD-WAN 设备和亚马逊云之间设置多条安全通道，只需要和云上的 SD-WAN 厂商应用或客户自有的虚拟化应用之间建立一条安全通道，即可实现客户本地私有云和亚马逊云上数千个 VPC 互联，这大大简化了客户整体网络设计并降低了运营成本。

方案二：混合云容灾

部署 Amazon Direct Connect 多线路实现混合云容灾

当客户部署 Amazon Direct Connect 连接到亚马逊云时，我们建议客户至少在两个 Amazon Direct Connect 接入点创建两个 Amazon Direct Connect 连接，保证混合云通道的高可用。

最佳实践如上图所示，客户在两个 Amazon Direct Connect 接入点创建两个 Amazon Direct Connect 连接，并创建一个 Amazon Direct Connect 网关关联多个 VPC。客户再通过创建两个 VIF 建立本地私有云 CGW 和 Amazon Direct Connect 网关的两个 BGP Peer，配置 AS-Path 或 BGP community 等 BGP 策略实现进出云流量的双活负载分担或主备流量冗余。

部署单线路 Amazon Direct Connect 和 Amazon Transit Gateway Connect 实现混合云容灾

当客户由于预算或其他原因不能部署 Amazon Direct Connect 双线路时，我们建议客户使用 Amazon Transit Gateway Connect 实现混合云容灾。客户可以通过此方案，构建一条本地数据中心到云上 VPC 的安全通道或 SD-WAN 链路，当 Amazon Direct Connect 出现故障或维护时，Amazon Transit Gateway Connect 可以承载客户本地私有云到 VPC 的业务流量，保护您的业务实时在线。容灾备份方案如下图所示：

客户构建一个 Amazon Transit Gateway 和 Transit VPC，并在 Transit VPC 中安装 Amazon Transit Gateway Connect 合作伙伴的云上 SD-WAN 应用或客户自有的支持 GRE+BGP+安全通道的应用，再使用本地机房 CGW 用安全通道和此应用互联，就可以构建一条从 VPC 到 Amazon Transit Gateway 到 SD-WAN 应用最终到数据中心本地路由器的备份链路（图中黄线），当客户的 Amazon Direct Connect 专线（图中绿线）出现故障时，备份链路就可以无缝承载客户的业务，保证客户混合云永远在线。

方案三：多云环境互联

随着数字化转型越来越深入，越来越多的客户会在不同云服务提供商搭建服务来满足业务的多样化和冗余需要，如何构建稳定高效的多云环境是客户的迫切需求。

用 Amazon Direct Connect 和第三方云专线实现客户多云互联

用 Amazon Direct Connect 连接亚马逊云科技云资源和第三方云，最简单的方式就是用客户的本地私有云出口 CGW 同时创建两个 BGP Peer，同时客户在 CGW 上配置 BGP 策略实现两个云资源的流量打通。

然而，这样的解决方案有两个缺陷：

客户本地私有云所在城市，可能不同时存在 Amazon Direct Connect 接入点和第三方云的接入点
客户有多个本地机房，实现多云互联的同时还需要实现企业自组网，需要配置 MPLS VPN 或 DMVPN，配置复杂、维护困难

为了解决上述问题，我们建议客户使用 Amazon Direct Connect 和亚马逊云科技的合作伙伴网络共同解决方案连接多云，如下图所示：

客户找到亚马逊云科技的合作伙伴，该合作伙伴既有亚马逊云的 Amazon Direct Connect 专线的接入能力，又有第三方云的云专线接入能力。合作伙伴的骨干网和 POP 接入点覆盖全国，客户可以在全国任意位置接入合作伙伴的骨干网络，通过其骨干网接入各个公有云服务商。同时，合作伙伴的骨干网还可以帮助客户构建自身企业的网络互联，客户无需维护复杂 MPLS VPN 或 DMVPN 的网络配置，即可实现即插即用的企业自组网和多云互联。

用 SD-WAN 方式实现客户多云互联

客户除了用 Amazon Direct Connect 实现多云连接，还可以通过 SD-WAN 方式实现多云的互联互通，Amazon Direct Connect 的优势在于高速、稳定，SD-WAN 的优势在于部署的快速和灵活。如下图所示：

客户可以在本地私有云中部署 SD-WAN CPE、在亚马逊云中部署 SD-WAN vCPE、在第三方云部署 SD-WAN vCPE，通过 SD-WAN 厂家的 SD-WAN Overlay 协议跨越 Internet 打通用户本地私有云、亚马逊云和第三方云，快速实现多云资源的互联互通。

方案四：亚马逊云科技 WAN as a Service

WANaaS 是一种新的公有云网络服务，它能够帮助客户够轻松地构建企业的骨干网络，客户无需真正拥有、构建和维护自己的基础架构，包括交换机、路由器和传输设备等基础设施。不仅如此，客户还可以随着自身需求的变化，快速部署网络服务和灵活扩展企业的网络覆盖范围，在帮助客户增加灵活性和扩展性的同时，帮助客户消除硬件支出成本。

亚马逊科技可以为用户提供 WANaaS 服务，如下图所示：

客户本地私有云分别在两个区域所在的城市，客户没有自己的企业骨干网，客户可以通过 Amazon Direct Connect 网关+Amazon Transit Gateway 方式或 Amazon Transit Gateway Connect 的方式，将两个本地 IDC 资源连接至亚马逊云的两个区域，再通过路由配置让流量穿越亚马逊云骨干网，实现本地 IDC 流量通过亚马逊云骨干网转发。亚马逊云骨干网作为客户企业骨干网承载客户两地私有云间的流量，客户只需按使用量付费，无需再花很大的成本构建企业骨干网。

如果客户已经部署了自己的企业骨干网，还可以利用上述方式构造一个备份骨干网线路，如上图所示，一旦客户企业骨干网（图中绿线）出现故障，流量立刻可以切换至亚马逊云骨干网（图中灰线），实现企业网业务永不掉线。使用本方案的另外一个好处是，亚马逊云骨干网按流量收费，如果客户企业骨干网不出现故障，亚马逊云骨干网线路是客户的免费备份通道，为客户实时提供免费的骨干网备份线路资源。

最佳实践举例

综上所述，亚马逊云科技的混合云推荐的部署方案如下图所示：客户在多个 Amazon Direct Connect 接入点部署多条 Amazon Direct Connect 连接，通过 Amazon Direct Connect 网关和 Transit VIF 实现客户本地私有云和云上网络的南北流量和东西流量的互联互通。同时，通过 Amazon Transit Gateway Connect 功能利用 SD-WAN 的方式接入亚马逊云，构造 Amazon Direct Connect 专线接入亚马逊云的备份通道。不仅如此，客户再利用亚马逊云科技的合作伙伴网络，使用 Amazon Direct Connect 和第三方云专线将客户本地私有云、亚马逊云和第三方云打通，打造客户的多云环境。