华为云用户手册

路由 路由是网络报文转发的依据，包含目的地址、下一跳以及路由类型等信息。路由说明如表7所示。 表7 路由说明 路由类型 路由说明 支持的连接类型 传播路由 通过传播自动学习的路由，创建传播时会自动创建路由，不支持修改和删除。 虚拟私有云（VPC） 虚拟网关（VGW） VPN网关（VPN） 对等连接（Peering） 全球接入网关（DGW） 企业连接网（ECN） 云防火墙（CFW） 静态路由 手动创建的路由，支持修改和删除。 虚拟私有云（VPC） 对等连接（Peering） 云防火墙（CFW）

传播 传播是企业路由器和连接的路由学习关系，一个连接可以和多个ER路由表建立传播关系，为连接创建传播后，可以将连接的路由信息自动学习到ER路由表中。 对于不同类型的连接，传播路由的学习内容有差异，具体如表6所示。 表6 传播说明 连接类型 路由学习内容 虚拟私有云（VPC） VPC的网段 虚拟网关（VGW） 全部路由信息 VPN网关（VPN） 全部路由信息 对等连接（Peering） 全部路由信息 企业连接网（ECN） 全部路由信息 全球接入网关（DGW） 全部路由信息 云防火墙（CFW） 云防火墙承载VPC的网段

连接 将网络实例接入企业路由器中，则需要为网络实例在企业路由器中添加对应的连接。企业路由器支持接入多种网络实例，不同网络实例对应的连接类型不同，具体说明如表3所示。 表3 连接说明 连接类型 网络实例 虚拟私有云（VPC） 虚拟私有云VPC。 虚拟网关（VGW） 云专线DC的虚拟网关。 VPN网关（VPN） 虚拟专用网络VPN。 对等连接（Peering） 位于其他区域的另一个企业路由器ER。通过云连接中心网络加载不同区域的企业路由器来创建“对等连接（Peering）”连接。 企业连接网（ECN） 企业连接中的企业连接网络ECN。 全球接入网关（DGW） 云专线DC的全球接入网关。 云防火墙（CFW） 云防火墙

路由表 路由表是企业路由器发送报文的依据，包含了连接的关联关系、传播关系以及路由信息。路由表分为自定义路由表和默认路由表，具体说明如表4所示。 表4 路由表说明 路由表类型 说明 自定义路由表 您可以在企业路由器中创建多个路由表，通过不同的路由策略实现网络实例的灵活互通和隔离。 默认路由表 开启“默认路由表关联”和“默认路由表传播”功能，并指定默认路由表，系统会自动为新接入的连接在默认路由表中创建关联和传播。 默认路由表可以是自定义路由表，不指定的话系统会自动创建一个路由表作为默认路由表，支持修改。

关联 关联是将连接关联至ER路由表中，一个连接只能关联至一个ER路由表，将连接关联至ER路由表后，可以实现以下功能： 路由转发：来自连接的报文根据它关联的路由表进行转发。 路由学习：将关联路由表中的路由信息自动学习到连接网络中。 对于不同类型的连接，是否支持路由学习，具体如表5所示。 表5 关联说明 连接类型 路由学习 虚拟私有云（VPC） 不支持 虚拟网关（VGW） 支持 VPN网关（VPN） 支持 对等连接（Peering） 支持 企业连接网（ECN） 支持 全球接入网关（DGW） 支持 云防火墙（CFW） 不支持

修订记录 发布日期 修订记录 2024-05-16 第十次发布。 本次变更说明如下： 在方案概述~企业路由器和全球接入网关混合云组网构建步骤章节，增加企业路由器和全球接入网关混合云组网场景。 2023-12-26 第九次发布。 本次变更说明如下： 在方案概述~DC双链路负载混合云组网构建步骤章节，增加DC双链路负载混合云组网场景。 2023-12-07 第八次发布。 本次变更说明如下： 在方案概述~迁移DC直连VPC组网实施步骤章节，增加DC直连VPC组网迁移场景。 2023-10-25 第七次发布。 本次变更说明如下： 在方案概述~验证跨区域网络的通信情况章节，增加云连接中心网络内容。 2023-06-01 第六次发布。 本次变更说明如下： 在方案概述~通过企业路由器和中转VPC构建组网实施步骤章节，新增中转VPC场景。 2023-01-12 第五次正式发布。 本次变更说明如下： 在方案概述~DC/VPN双链路互备混合云组网构建步骤章节，增加DC/VPN双链路互备混合云组网内容。 2022-12-12 第四次正式发布。 本次变更说明如下： 在方案概述和在中心网络内为跨区域连接配置带宽章节，增加全域互联带宽的说明。 2022-10-30 第三次正式发布。 本次变更说明如下： 新增方案概述~迁移VPC对等连接实施步骤章节，新增VPC对等连接迁移场景。 2022-05-31 第二次正式发布。 本次变更说明如下： 在方案概述章节，增加共享企业路由器相关说明。 2022-03-30 第一次正式发布。

场景说明 企业路由器（Enterprise Router, ER）可以连接虚拟私有云（Virtual Private Cloud, VPC）或本地网络来构建中心辐射型组网，是云上大规格，高带宽，高性能的集中路由器。企业路由器使用边界网关协议（Border Gateway Protocol, BGP），支持路由学习、动态选路以及链路切换，极大的提升网络的可扩展性及运维效率，从而保证业务的连续性。 你可以通过企业路由器和华为云上的其他服务，灵活构建不同的组网，本文档提供典型组网的最佳实践供您参考。 表1 场景说明 组网 场景示例 云服务 说明 云上跨区域组网 通过企业路由器和云连接中心网络实现跨区域VPC互通 企业路由器ER 云连接中心网络 虚拟私有云VPC 弹性云服务器ECS 为了实现业务的就近接入，XX企业在华为云区域A、区域B以及区域C内均部署了业务，承载业务的不同VPC之间需要网络互通。 在三个区域中，分别创建三个企业路由器ER，包括区域A的ER-A、区域B的ER-B以及区域C的ER-C。 创建云连接中心网络，并在云连接中心网络中加入ER-A、ER-B以及ER-C，连通不同区域的企业路由器。 在区域A内，将VPC-A01和VPC-A02接入ER内，实现同区域内VPC互通。在区域B和区域C进行同样的操作。最终，通过中心网络和企业路由器，实现不同区域的VPC网络互通。 云上同区域组网 通过企业路由器实现同区域VPC隔离 企业路由器ER 虚拟私有云VPC 弹性云服务器ECS XX企业在华为云区域A内部署了4个虚拟私有云VPC，业务A、业务B、业务C分别部署在VPC1、VPC2、VPC3，公共业务部署在VPC4中，网络要求如下： 业务A、业务B以及业务C所在的3个VPC需要隔离，不互通。 业务A、业务B以及业务C都需要和公共业务所在的VPC4互通。 云上同区域组网 通过企业路由器和第三方防火墙实现多VPC互访流量清洗 企业路由器ER 虚拟私有云VPC 弹性云服务器ECS XX企业在华为云区域A内部署了3个虚拟私有云VPC，其中业务A、业务B分别部署在VPC1、VPC2，VPC3部署有第三方防火墙软件。出于安全考虑，要求业务A和业务B互相访问的流量必须通过VPC3中防火墙软件的过滤清洗。 混合云组网 通过企业路由器和中转VPC构建组网 企业路由器ER 云专线DC 虚拟专用网络VPN 虚拟私有云VPC 弹性云服务器ECS 您可以通过企业路由器构建中心辐射型组网，简化网络架构。当前为您提供两种典型组网方案，方案一是将业务VPC直接接入企业路由器，方案二是使用中转VPC，结合VPC对等连接和企业路由器共同构建组网。相比方案一，方案二可以降低成本，并且免去一些限制。 混合云组网 通过企业路由器和云专线实现线下IDC和云上VPC互通（虚拟网关VGW） 企业路由器ER 云专线DC（虚拟网关VGW） 虚拟私有云VPC 弹性云服务器ECS XX企业在华为云区域A内部署了2个虚拟私有云VPC，这2个VPC需要互相访问，并且共享同一条云专线DC访问客户线下的IDC。 在区域A内创建一个企业路由器ER，将VPC和DC的虚拟网关接入ER内，ER可以在接入的VPC和虚拟网关之间转发流量，实现2个VPC共享DC。 混合云组网 通过企业路由器构建DC/VPN双链路主备混合云组网（虚拟网关VGW） 企业路由器ER 云专线DC（虚拟网关VGW） 虚拟专用网络VPN 虚拟私有云VPC 弹性云服务器ECS 为了提升混合云组网的可靠性，XX企业同时部署了DC和VPN两条网络链路，均可以连通云上VPC和线下IDC的网络。DC和VPN两条网络链路互为主备，主链路为DC，备链路为VPN，当DC链路故障时，可自动切换到VPN链路，降低网络中断对业务造成的影响。 将VPC1、VPC2以及DC接入企业路由器中，VPC1和VPC2网络互通，并且均可以通过DC和线下IDC通信。 将VPN接入企业路由器中，当主链路DC故障时，VPC1和VPC2可以通过备链路VPN和线下IDC通信。 混合云组网 通过企业路由器构建DC双链路负载混合云组网（虚拟网关VGW） 企业路由器ER 云专线DC（虚拟网关VGW） 虚拟私有云VPC 弹性云服务器ECS 为了提升混合云组网的网络性能以及可靠性，XX企业同时部署了两条专线DC链路，均可以连通云上VPC和线下IDC的网络。两条DC链路形成负载均衡，当两条DC链路网络均正常，同时工作可提升网络传输能力。当其中一条DC链路故障时，另外一条DC链路可确保整个混合云组网的正常运行，避免了单点故障带来的业务中断。 将VPC1、VPC2以及DC接入企业路由器中，VPC1和VPC2网络互通，并且均可以通过两条DC和线下IDC通信。 当其中一条DC链路故障时，VPC1和VPC2可以通过另外一条DC链路和线下IDC通信。 混合云组网 通过企业路由器和云专线构建混合云组网（全球接入网关DGW） 企业路由器ER 云专线DC（全球接入网网关DGW） 虚拟私有云VPC 弹性云服务器ECS XX企业在华为云区域A内部署了2个虚拟私有云VPC，这2个VPC需要互相访问，并且通过DC全球接入网关和线下IDC网络互通。 云内网络访问公网 通过企业路由器和NAT网关实现同区域VPC共享SNAT访问公网 企业路由器ER NAT网关 弹性公网IP 虚拟私有云VPC 弹性云服务器ECS XX企业在华为云区域A内部署了4个虚拟私有云VPC，VPC1、VPC2、VPC3需要互相访问，并且可以共享VPC4的SNAT访问公网。 组网迁移 将VPC对等连接迁移至企业路由器ER 企业路由器ER 虚拟私有云VPC 弹性云服务器ECS VPC-A、VPC-B、VPC-C位于区域A，通过对等连接连通三个VPC的网络，为了提升网络可扩展性、降低运维成本，现在需要将这三个VPC的网络迁移至企业路由器上。 组网迁移 将DC直连VPC组网迁移至企业路由器ER 企业路由器ER 云专线DC 虚拟私有云VPC 弹性云服务器ECS VPC-X和云专线DC的虚拟网关VGW-A、虚拟接口VIF-A01、虚拟接口VIF-A02位于区域A，通过DC连通VPC-X和线下IDC之间的网络，为了提升混合云组网可靠性并降低维护成本，现在需要将VPC-X和云专线网络迁移至企业路由器上。

规划资源 企业路由器ER、云专线DC、虚拟私有云VPC、弹性云服务器ECS只要位于同一个区域内即可，可用区可以任意选择，不用保持一致。 以下资源规划详情仅为示例，您可以根据需要自行修改。 表5 DC双链路负载混合云组网资源规划总体说明 资源类型 资源数量 说明 VPC 2 业务VPC，实际运行客户业务的VPC，需要接入ER中。 VPC名称：请根据实际情况填写，本示例为vpc-A和vpc-B。 IPv4网段：VPC网段与客户IDC侧网段不能重复，请根据实际情况填写，本示例vpc-A为192.168.0.0/16，vpc-B为172.16.0.0/16。 子网名称：请根据实际情况填写，本示例为subnet-A01和subnet-B01。 子网IPv4网段：VPC子网网段与客户IDC侧子网网段不能重复，请根据实际情况填写，本示例subnet-A01为192.168.0.0/24，subnet-B01为172.16.0.0/24。 ER 1 名称：请根据实际情况填写，本示例为er-X。 ASN：企业路由器不能和线下IDC的AS号一样，且建议企业路由器和全球接入网关的AS号也不一样，由于64512是全球接入网关的系统预留AS号，因此本示例企业路由器的AS号为64513。 默认路由表关联：开启 默认路由表传播：开启 自动接受共享连接：请根据实际情况选择，本示例选择“开启”。 连接，本示例需要在企业路由器中添加3个连接： VPC-A连接：er-attach-vpc-A VPC-B连接：er-attach-vpc-B DGW连接：er-attach-dgw DC 1 物理连接：请根据实际需求创建。 本示例中，1个物理连接为dc-X。 全球接入网关，请根据实际需求创建，本示例说明如下： 名称：请根据实际情况填写，本示例为dgw-X。 BGP ASN：建议全球接入网关和企业路由器的AS号不一样，本示例中全球接入网关的AS号为64512。 地址类型：请根据实际情况选择，本示例为IPv4。 虚拟接口，请根据实际需求创建，本示例说明如下： 名称：本示例虚拟接口为vif-X。 虚拟接口优先级：此处请选择“优先”。 物理连接：本示例中虚拟接口vif-X关联的物理连接为dc-X。 全球接入网关：本示例中虚拟接口vif-X关联的全球接入网关为dgw-X。 本端网关：本示例为10.0.0.1/30。 远端网关：本示例为10.0.0.2/30。 远端子网：此处为IDC侧子网网段，本示例为10.1.123.0/24。 路由模式：请选择“BGP”。 BGP邻居AS号：此处为线下IDC侧的AS号，不能和云上全球接入网关、ER等服务的AS号一样，本示例为64515。 关联实例，即将全球接入网关加入到企业路由器中，请根据实际需求创建，本示例说明如下： 实例类型：此处请选择“连接”。 连接名称：请根据实际情况填写，本示例为er-attach-dgw。 连接类型：此处请选择“企业路由器”。 连接资源：选择您的企业路由器，本示例为er-X。 ECS 2 ECS主要用来验证网络通信情况，本示例如下： 名称：根据实际情况填写，本示例分别为ecs-A和ecs-B。 镜像：请根据实际情况选择，本示例为公共镜像（CentOS 8.2 64bit）。 网络： 虚拟私有云：选择业务VPC，本示例为ecs-A选择vpc-A，ecs-B选择vpc-B。 子网：选择和线下IDC通信的子网，本示例为ecs-A选择subnet-A01，ecs-B选择subnet-B01。 安全组：请根据实际情况选择，本示例安全组模板选择“通用Web服务器”，名称为sg-demo。 私有IP地址：本示例中，ecs-A为192.168.1.99，ecs-B为172.16.1.137。

规划组网 企业路由器和全球接入网关混合云组网规划如图1所示，将2个VPC和1个DGW网关接入ER中，组网规划说明如表2所示。 图1 企业路由器和全球接入网关混合云组网规划 表1 网络流量路径说明 路径 说明 请求路径：VPC-A→线下IDC 在VPC-A路由表中，通过下一跳为ER的路由将流量转送到ER。 在ER路由表中，通过下一跳为DGW连接的路由将流量转送到全球接入网关。 全球接入网关连接虚拟接口，通过虚拟接口将流量从远端网关转送到物理专线。 通过物理专线将流量送达线下IDC。 响应路径：线下IDC→VPC-A 通过物理专线将流量转送到虚拟接口。 虚拟接口连接全球接入网关，通过虚拟接口将流量从本端网关转送到全球接入网关。 通过全球接入网关将流量转送到ER。 在ER路由表中，通过下一跳为VPC-A连接的路由将流量送达VPC-A。 表2 企业路由器和全球接入网关混合云组网规划说明 资源 说明 VPC 业务VPC，实际运行客户业务的VPC，具体说明如下： VPC网段（CIDR）不能重叠。 本示例中，ER路由表使用的是“虚拟私有云（VPC）”连接的传播路由，由ER自动学习VPC网段作为目的地址，不支持修改，因此重叠的VPC网段会导致路由冲突。 如果您已有的VPC存在网段重叠，则不建议您使用传播路由，请在ER路由表中手动添加静态路由，目的地址可以为VPC子网网段或者范围更小的网段。 VPC网段与客户IDC侧网段不能重复。 VPC有一个默认路由表。 VPC默认路由表中的路由信息如表3所示。 固定网段：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16三个固定网段是添加VPC连接时，开启“配置连接侧路由”选项，系统自动在VPC路由表配置的静态路由。如果ER内同时接入多个VPC连接，则这些路由可以将当前VPC访问其他VPC的路由转发至ER，再通过ER将流量转发至下一跳网络实例。 线下IDC侧网段：除了系统自动添加的3个VPC固定网段，您还需要在VPC路由表中添加目的地址为IDC侧网段，下一跳指向ER的路由，本示例为10.1.123.0/24，该路由可以将VPC访问线下IDC侧的流量转发至ER，再通过ER将流量转发至下一跳网络实例。 须知： 如果VPC路由表中的路由与这三个固定网段冲突，则会添加失败。此时建议您不要开启“配置连接侧路由”选项，并在连接创建完成后，手动添加路由。 DC 1个物理连接：需要运营商施工搭建连通华为云和线下IDC的物理专线。 1个全球接入网关：将全球接入网关接入ER中，即表示将“全球接入网关（DGW）”连接添加到ER。 1个虚拟接口：连接全球接入网关和物理连接。 ER 开启“默认路由表关联”和“默认路由表传播”功能，添加完“全球接入网关（DGW）”连接和“虚拟私有云（VPC）”连接，系统会自动执行以下配置： DC： 将1个“全球接入网关（DGW）”连接关联至ER默认路由表。 在默认路由表中创建“全球接入网关（DGW）”连接的传播，路由自动学习DC侧的所有路由信息，包括本端网关和远端网关、IDC侧网段等信息，路由信息如表4所示。 VPC： 将2个“虚拟私有云（VPC）”连接关联至ER默认路由表。 在默认路由表中创建“虚拟私有云（VPC）”连接的传播，路由自动学习VPC网段，路由信息如表4所示。 ECS 2个ECS分别位于不同的VPC内，VPC中的ECS如果位于不同的安全组，需要在安全组中添加规则放通网络。 表3 VPC路由表 目的地址 下一跳 路由类型 固定网段：10.0.0.0/8 企业路由器 静态路由：自定义 固定网段：172.16.0.0/12 企业路由器 静态路由：自定义 固定网段：192.168.0.0/16 企业路由器 静态路由：自定义 线下IDC侧网段：10.1.123.0/24 企业路由器 静态路由：自定义 如果您在创建连接时开启“配置连接侧路由”选项，则不用手动在VPC路由表中配置静态路由，系统会在VPC的所有路由表中自动添加指向ER的路由，目的地址固定为10.0.0.0/8，172.16.0.0/12，192.168.0.0/16。 如果VPC路由表中的路由与这三个固定网段冲突，则会添加失败。此时建议您不要开启“配置连接侧路由”选项，并在连接创建完成后，手动添加路由。 除了系统自动添加的3个VPC固定网段，您还需要在VPC路由表中添加目的地址为IDC侧网段，下一跳指向ER的路由。 表4 ER路由表 目的地址 下一跳 路由类型 VPC-A网段：192.168.0.0/16 VPC-A连接：er-attach-vpc-A 传播路由 VPC-B网段：172.16.0.0/16 VPC-B连接：er-attach-vpc-B 传播路由 本端网关和远端网关：10.0.0.0/30 DGW连接：er-attach-dgw 传播路由 IDC侧网段：10.1.123.0/24 DGW连接：er-attach-dgw 传播路由

步骤四：验证网络通信情况 登录弹性云服务器。 弹性云服务器有多种登录方法，具体请参见登录弹性云服务器。 本示例是通过管理控制台远程登录（VNC方式）。 在弹性云服务器的远程登录窗口，执行以下命令，验证网络互通情况。 执行以下命令，验证VPC之间的网络互通情况。 ping 弹性云服务器IP地址 以登录ecs-A，验证vpc-A与vpc-B的网络互通情况为例： ping 172.16.1.137 回显类似如下信息，表示vpc-A与vpc-B可以通过ER通信。 [root@ecs-A ~]# ping 172.16.1.137 PING 172.16.1.137 (172.16.1.137) 56(84) bytes of data. 64 bytes from 172.16.1.137: icmp_seq=1 ttl=64 time=0.849 ms 64 bytes from 172.16.1.137: icmp_seq=2 ttl=64 time=0.455 ms 64 bytes from 172.16.1.137: icmp_seq=3 ttl=64 time=0.385 ms 64 bytes from 172.16.1.137: icmp_seq=4 ttl=64 time=0.372 ms ... --- 172.16.1.137 ping statistics --- 执行以下命令，验证VPC和DC网络互通情况。 ping 本端网关（华为云侧）地址 ping 远端网关（IDC侧）地址 ping IDC侧IP地址 以登录ecs-A，验证vpc-A与本端网关（华为云侧）的网络互通情况为例： ping 10.0.0.1 回显如下信息，表示VPC与本端网关（华为云侧）的网络已通。 [root@ecs-A ~]# ping 10.0.0.1 PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data. 64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=0.849 ms 64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=0.455 ms 64 bytes from 10.0.0.1: icmp_seq=3 ttl=64 time=0.385 ms 64 bytes from 10.0.0.1: icmp_seq=4 ttl=64 time=0.372 ms ... --- 10.0.0.1 ping statistics --- 重复执行1~2，验证其他VPC和DC之间的网络互通情况。

步骤一：创建云服务资源（业务VPC、ECS、ER） 本步骤指导您创建业务VPC、ECS以及ER服务资源，云服务资源的总体规划说明，请参见表5。 创建企业路由器。 创建企业路由器，具体方法请参见创建企业路由器。 创建业务VPC。 创建VPC及子网，具体方法请参见创建虚拟私有云和子网。 创建业务ECS。 本示例中2个业务ECS主要用于验证云上VPC和线下IDC通信使用，数量和配置仅供参考，请您根据实际需要创建业务ECS。 创建ECS，具体方法请参见购买方式概述。

步骤二：在企业路由器中添加并配置VPC连接 分别将2个业务VPC接入企业路由器中。 添加“虚拟私有云（VPC）”连接，具体方法请参见在企业路由器中添加VPC连接。 检查ER路由表中指向VPC连接的路由。 本示例中，ER开启了“默认路由表关联”和“默认路由表传播”功能，那么在ER中添加“虚拟私有云（VPC）”连接时，系统会自动添加ER指向VPC的路由，无需手动添加，只需要检查即可。 ER路由规划详情，请参见表2和表4，本示例中两条路由的下一跳分别为VPC-A连接和VPC-B连接。 查看ER路由，具体方法请参见查看路由。 在2个业务VPC的路由表中，分别添加指向ER，目的地址为线下IDC网段的路由。 VPC路由规划详情，请参见表3，本示例添加目的地址为10.1.123.0/24的路由。 配置路由信息，具体方法请参见在VPC路由表中配置路由。

步骤三：在企业路由器中添加并配置DGW连接 本示例中，云专线DC资源的总体规划说明，请参见表5。 创建物理连接。 创建方法，具体请参见物理连接接入。 在企业路由器中添加“全球接入网关（DGW）”连接。 在云专线管理控制台，执行以下操作： 创建全球接入网关。 创建虚拟接口。 将全球接入网关接入企业路由器，即添加“全球接入网关（DGW）”连接。 具体方法请参见创建全球接入网关。 在企业路由器控制台，查看“全球接入网关（DGW）”连接的添加情况。 具体方法请参见查看连接。 “全球接入网关（DGW）”连接的状态“正常”，表示已成功接入企业路由器中。 由于本示例创建ER时，开启“默认路由表关联”和“默认路由表传播”，因此添加完“全球接入网关（DGW）”连接后，以下均为系统自动配置： 在ER默认路由表中创建关联。 在ER默认路由表中创建传播，并自动学习IDC侧的路由信息。 需要执行以下步骤连通DC后，才可以在ER路由表中查看到IDC侧的路由信息。 配置IDC侧路由到华为云的路由。 以华为网络设备为例，配置BGP路由： bgp 64515 peer 10.0.0.1 as-number 64512 peer 10.0.0.1 password simple 12345678 network 10.1.123.0 255.255.255.0 表1 BGP路由 命令 命令说明 bgp 64515 启动BGP，其中： 64515：IDC侧AS号。 peer 10.0.0.1 as-number 64512 创建BGP的对等体(EBGP)，其中： 10.0.0.1：华为云侧网关。 64512：全球接入网关的BGP ASN。 peer 10.0.0.1 password simple 12345678 BGP对等体建立TCP连接时对BGP消息进行MD5认证，其中： 12345678：BGP MD5认证密码。 network 10.1.123.0 255.255.255.0 将IP路由表中已存在的路由添加到BGP路由表中，其中： 10.1.123.0：IDC侧子网。 255.255.255.0：IDC侧子网掩码。

应用场景 云专线（Direct Connect，DC）用于搭建线下IDC和云上虚拟私有云（Virtual Private Cloud，VPC）之间高速、低时延、稳定安全的专属连接通道，您可以通过企业路由器和云专线的全球接入网关，构建满足企业通信的大规模混合云组网。 通过企业路由器，可以实现专线的动态选路和切换，多个专线链路之间形成负载均衡，有效扩展网络带宽，增加吞吐量，提升网络性能的同时保证高可靠性。 接下来，将主要为您介绍如何通过企业路由器和全球接入网关实现云上VPC和线下IDC网络互通。

企业路由器和全球接入网关混合云组网构建流程 本文档介绍如何通过企业路由器和DC的全球接入网关构建线下IDC和云上VPC互通的混合云组网，流程如图1所示。 图1 企业路由器和全球接入网关混合云组网构建流程图 表1 企业路由器和全球接入网关混合云组网构建流程说明 步骤 说明 步骤一：创建云服务资源 创建1个企业路由器，构建一个同区域组网只需要1个企业路由器。 创建业务VPC和子网，本示例中创建2个VPC和子网。 在业务VPC子网内，创建ECS，本示例中创建2个ECS。 步骤二：在企业路由器中添加并配置VPC连接 在企业路由器中添加“虚拟私有云（VPC）”连接：分别将2个业务VPC接入企业路由器中。 在VPC路由表中配置路由：分别在两个VPC的路由表中配置到企业路由器的路由信息，目的地址为IDC侧网段。 步骤三：在企业路由器中添加并配置DGW连接 创建1个物理连接：物理连接是线下IDC侧和华为云的专属通道，需要运营商进行施工，搭建物理专线链路连接线下和云上。 创建1个全球接入网关：创建1个全球接入网关。 创建1个虚拟接口：虚拟接口用来连接全球接入网关和物理连接。 将全球接入网关接入企业路由器：接入后，在企业路由器的连接列表中可以查看“全球接入网关（DGW）”连接。 配置IDC侧路由：在线下IDC侧路由设备配置网络参数。 步骤四：验证网络通信情况 登录ECS，执行ping命令，验证VPC和DC链路通信情况。 父主题： 通过企业路由器和云专线构建混合云组网（全球接入网关DGW）

操作步骤 进入企业路由器列表页面。 通过名称过滤，快速找到待创建传播的企业路由器。 您可以通过以下两种操作入口，进入企业路由器的“路由表”页签。 在企业路由器右上角区域，单击“管理路由表”。 单击企业路由器名称，并选择“路由表”页签。 在路由表列表中选择目标路由表，并在“传播”页签下，单击右侧区域的“创建传播”。 弹出“创建传播”对话框。 根据界面提示，配置传播的基本信息，如表1所示。 表1 创建传播-参数说明 参数名称 参数说明 取值样例 连接类型 必选参数。 选择连接类型，连接类型说明如下： “虚拟私有云（VPC）”：表示接入的网络实例是虚拟私有云。 “虚拟网关（VGW）”：表示接入的网络实例是云专线的VGW网关。 “VPN网关（VPN）”：接入的网络实例是虚拟专用网络VPN。 “对等连接（Peering）”：表示接入的网络实例是其他区域的另一个企业路由器。 “企业连接网（ECN）”：表示接入的网络实例是同区域或者不同区域的企业连接网络。 “全球接入网关（DGW）”：表示接入的网络实例是云专线的全球接入网关。 “云防火墙（CFW）”连接：表示接入的网络实例是云防火墙。 关于连接更多信息，请参见连接概述。 虚拟私有云（VPC） 传播 必选参数。 在传播下拉列表中，选择待创建传播的连接。 er-attach-02 基本信息设置完成后，单击“确定”。 返回传播列表页面，可以看到创建的传播。

操作场景 本章节指导用户将路由策略绑定至ER，路由策略可以控制ER发送或接收的路由流量路径，详细说明和操作指导请参见表1。 表1 路由策略控制ER路由详细说明 流量走向 说明 ER发送的路由： ER-A→DC/VPN/ER-B 控制ER发送出去的路由，即从ER发送到DC/VPN/其他ER的路由，这些路由位于ER路由表中，包括静态路由和BGP路由。 您需要在ER“关联”页签中，将路由策略绑定至ER连接对应的关联，具体请参见将路由策略绑定至ER连接的关联。 ER接收的路由： DC/VPN/ER-B→ER-A 控制ER接收的路由，即从ER接收到DC/VPN/其他ER的路由，均为BGP路由。 您需要在ER“传播”页签中，将路由策略绑定至ER连接对应的传播，具体请参见将路由策略绑定至ER连接的传播。

传播概述 传播是企业路由器和连接的路由学习关系，一个连接可以和多个ER路由表建立传播关系，为连接创建传播后，可以将连接的路由信息自动学习到ER路由表中。 如果不创建传播，可以手动在路由表中添加连接的静态路由。 图1 传播路由和静态路由概述 表1 传播概述 连接类型 路由学习内容 创建传播的方法 图示说明 虚拟私有云（VPC） VPC的网段 自动创建：开启“默认路由表传播”功能，并指定默认传播路由表，系统会自动在默认传播路由表中为新接入的连接创建传播。 创建企业路由时，直接开启该功能，具体请参见创建企业路由器。 企业路由器创建完成后，再开启该功能，具体请参见修改企业路由器配置。 手动创建：您可以选择任意一个路由表，并在路由表中为连接创建传播，具体请参见在路由表中创建连接的传播。 一个连接可以在多个路由表中创建传播，图1中连接的传播关系说明如下： 自动创建传播：自动在ER默认传播路由表中创建传播，比如Peering2连接 、VGW1连接、VPN1连接、VPC1连接。 手动创建传播：手动在ER自定义路由表中创建传播，比如VGW1连接、VPC1连接、VPN2连接、VGW2连接。 不创建传播：不使用传播路由，手动在ER自定义路由表中创建静态路由，比如VPC2连接、Peering3连接 。 虚拟网关（VGW） 全部路由信息 VPN网关（VPN） 全部路由信息 对等连接（Peering） 全部路由信息 企业连接网（ECN） 全部路由信息 全球接入网关（DGW） 全部路由信息 云防火墙（CFW） 云防火墙承载VPC的网段 父主题： 传播

修订记录 发布日期 修订记录 2024-05-16 第十一次正式发布。 本次变更说明如下： 在在企业路由器中添加DGW连接、删除DGW连接、关联概述、传播概述、路由概述和路由策略概述等章节，增加支持DGW连接的说明。 2024-04-25 第十次正式发布。 本次变更说明如下： 根据控制台风格变化修改全文截图。 2024-03-15 第九次正式发布。 本次变更说明如下： 在创建企业路由器和在企业路由器中添加VPC连接等章节，增加标签策略说明。 2023-10-23 第八次正式发布。 本次变更说明如下： 在创建企业路由器、连接概述和删除Peering连接等章节，修改云连接中心网络的内容。 2023-08-08 第七次正式发布。 本次变更说明如下： 在连接概述、关联概述、传播概述和路由概述等章节，增加支持CFW的说明。 在在企业路由器中添加VPC连接章节，修改创建连接截图。 2023-06-30 第六次正式发布。 本次变更说明如下 在连接概述、关联概述、传播概述和路由概述等章节，增加支持ECN的说明。 2023-04-20 第五次正式发布。 本次变更说明如下： 在流日志章节，增加流日志内容。 2023-01-13 第四次正式发布。 本次变更说明如下： 在路由概述、创建静态路由和修改静态路由章节，增加黑洞路由相关说明。 2022-10-30 第三次正式发布。 本次变更说明如下： 在在企业路由器中添加VPC连接章节，修改ER接入子网的参数说明。 增加删除VPN连接章节。 在连接概述、关联概述和传播概述章节，增加VPN描述。 全文增加企业路由器控制台截图。 2022-05-31 第二次正式发布。 本次变更说明如下： 在创建企业路由器和支持审计的关键操作章节，删除企业路由器规格相关说明。 2022-03-30 第一次正式发布。

标签的使用约束 每个标签由“标签键”和“标签值”组成，“标签键”和“标签值”的命名规则如下： “标签键”： 不能为空。 最大长度不超过36个字符。 由英文字母、数字、下划线、中划线组成。 “标签值”： 可以为空。 最大长度不超过43个字符。 由英文字母、数字、下划线、点、中划线组成。 每个云资源最多可以添加20个标签。 对于每个云资源，每个“标签键”都必须是唯一的，每个“标签键”只能有一个“标签值”。

标签的基本知识 标签用于标识资源，当您拥有相同类型的许多云资源时，可以使用标签按各种维度（例如用途、所有者或环境）对云资源进行分类。 标签的工作方式如图1所示。在此示例中，您为每个云资源分配了两个标签，每个标签都包含您定义的一个“键”和一个“值”，一个标签使用键为“所有者”，另一个使用键为“用途”，每个标签都拥有相关的值。 您可以根据为云资源添加的标签快速搜索和筛选特定的云资源。例如，您可以为账号中的资源定义一组标签，以跟踪每个云资源的所有者和用途，使资源管理变得更加轻松高效。 图1 企业路由器标签示例

路由策略简介 路由策略（Routing Policy）作用于路由，主要具备路由过滤和路由策略值设置等功能，它通过改变路由策略值来改变网络流量所经过的路径。 当前路由策略可应用于企业路由器以下类型的连接： 虚拟网关（VGW） 对等连接（Peering） VPN网关（VPN） 全球接入网关（DGW） 企业路由器在发送、接收和学习路由信息时，根据实际组网需要实施一些路由策略，以便对路由信息进行过滤和改变路由信息的属性，具体如下： 控制路由的发送：只发送满足条件的路由信息。 控制路由的接收：只接收必要、合法的路由信息，以控制路由表的容量，提高网络的安全性。 过滤和控制学习的路由：一种路由协议在学习其它路由协议发现的路由信息丰富自己的路由知识时，只引入一部分满足条件的路由信息，并对所引入的路由信息的某些属性进行设置，以使其满足本协议的要求。 设置特定路由的策略值：修改通过路由策略过滤的路由的策略值，满足自身需要。

路由策略功能说明 路由策略中可以包含一个或多个路由策略节点，路由策略节点由过滤路由的匹配条件和路由策略值组成，可看做是一个路由过滤器。 匹配条件：设置路由的过滤条件，匹配上的路由，根据匹配原则，被允许通过或拒绝，具体请参见表1。 路由策略值：根据匹配条件，可匹配的路由，依据路由策略设定修改策略值，具体请参见表2。 表1 路由匹配条件说明 路由匹配条件 说明 路由类型 静态路由：用户手动配置的路由。 在ER场景下，位于ER路由表中的自定义路由和“虚拟私有云（VPC）”连接对应的传播路由属于静态路由。 BGP路由：通过BGP协议学习的路由。 在ER场景下，以云专线DC为例，DC的虚拟网关和ER在云上通信使用BGP协议，那么在ER路由表中，“虚拟网关（VGW）”连接学习来的传播路由，属于BGP路由。 “对等连接（Peering）”、“VPN网关（VPN）”以及“全球接入网关（DGW）”类型的连接同理。 IP地址前缀列表 IP地址前缀列表是一种包含一组路由信息过滤规则的过滤器，用户可以在规则中定义IP地址前缀和掩码长度范围，用于匹配路由信息的目的网段地址或下一跳地址。 地址前缀列表可以应用在各种动态路由协议中，对路由协议发布和接收的路由信息进行过滤。更多详细信息，请参见IP地址前缀列表概述。 AS_Path列表 AS_Path列表是一组针对BGP路由的AS_Path属性进行过滤的规则。在BGP的路由信息中，包含有AS_Path属性，AS_Path属性按矢量顺序记录了BGP路由从本地到目的地址所要经过的所有AS编号，因此基于AS_Path属性定义一些过滤规则，就可以实现对BGP路由信息的过滤。 由于AS_Path属性是BGP协议的私有属性，因此AS路径过滤器也仅应用于BGP协议。更多详细信息，请参见AS_Path列表概述。 表2 路由策略值说明 路由属策略值 说明 PrefVal 华为规定的路由特有属性，代表路由的优先级。PrefVal值越大，路由优先级越高。 通过在路由策略中设置PrefVal值，可以修改路由的PrefVal值。 企业路由器中不同类型连接的默认值如下： 虚拟网关（VGW）：100 对等连接（Peering）：60 VPN网关（VPN）：80 全球接入网关（DGW）：100 须知： 修改路由的PrefVal值，会影响不同类型连接路由的选路策略。如果您修改不当，可能会对业务造成影响，请您提交工单联系华为云客服，评估修改方案。 AS_Path 在BGP的路由信息中，包含有AS_Path属性，AS_Path属性按矢量顺序记录了BGP路由从本地到目的地址所要经过的所有AS编号。 通过在路由策略中设置AS_Path，可以为路由执行以下动作: 追加：在AS_Path的左侧位置中追加策略中设置的值。 替换：替换路由原有的AS_Path为路由策略中设置的值。 删除：删除路由原有AS_Path中的指定值。

路由策略匹配规则 一个路由策略中可以创建多个路由策略节点，路由策略节点中包含路由的匹配条件和路由策略值。路由策略的匹配规则如图1所示，待过滤路由按照节点号从小到大的顺序匹配路由策略节点： 当匹配上策略节点中的所有过滤条件，则执行以下操作： 如果该策略节点的匹配模式是允许，则这条路由被允许通过。 当匹配模式是允许时，如果路由策略中设置了策略值，则对已匹配路由的策略值执行指定的动作，包含修改、替换、删除。 如果该策略节点的匹配模式是拒绝，则这条路由被拒绝通过。 当遍历了路由策略中的所有策略节点，均没有匹配上，那么这条路由就被拒绝通过。 图1 路由策略匹配规则 路由策略过滤路由的原则可以总结为：顺序匹配、唯一匹配、默认拒绝。 顺序匹配：按节点号从小到大按顺序进行匹配。同一个路由策略中的多个路由策略节点设置不同的节点号，可能会有不同的过滤结果，实际配置时需要注意。 唯一匹配：待过滤路由只要与一个路由策略节点匹配，就不会再去尝试匹配其他路由策略节点。 默认拒绝：默认所有未与任何一个路由策略节点匹配的路由，均为未通过路由策略的过滤。因此在一个路由策略中创建了一个或多个拒绝模式的路由策略节点后，需要创建一个路由策略节点来允许所有其他路由通过。

路由简介 路由表中存在多条路由，路由是网络报文转发的依据，包含目的地址、下一跳以及路由类型等信息。 您可以通过创建传播从而自动学习连接的路由，或者手动在路由表中配置连接的静态路由。 图1 传播路由和静态路由概述 表1 路由概述 路由类型 路由说明 支持的连接类型 创建方法 图示说明 传播路由 通过传播自动学习的路由，创建传播时会自动创建路由，不支持修改和删除。 虚拟私有云（VPC） 虚拟网关（VGW） 对等连接（Peering） VPN网关（VPN） 全球接入网关（DGW） 企业连接网（ECN） 云防火墙（CFW） 创建传播，具体请参见在路由表中创建连接的传播。 路由分为传播路由和静态路由，图1中连接的路由说明如下： 传播路由：通过自动或手动创建传播，从而学习的路由均为传播路由。 通过在ER默认路由表自动创建传播学习的路由，比如Peering2连接 、VGW1连接、VPN1连接、VPC1连接。 通过在ER自定义路由表手动创建传播学习的路由，比如VGW1连接、VPC1连接、VPN2连接、VGW2连接。 静态路由：手动在ER自定义路由表中创建路由，比如VPC2连接、Peering3连接 。 静态路由 手动创建的路由，支持修改和删除。 静态路由包括常规路由和黑洞路由。和常规路由相比，黑洞路由只有目的地址，没有下一跳，如果路由匹配上黑洞路由的目的地址，则该路由的报文会被丢弃。 虚拟私有云（VPC） 对等连接（Peering） 云防火墙（CFW） 创建路由，具体请参见创建静态路由。

流日志简介 依托于云日志服务（Log Tank Service，简称LTS），企业路由器支持流日志功能。通过流日志功能可以实时记录企业路由器中连接的流量日志信息。通过这些日志信息，您可以监控连接的网络流量、进行网络攻击分析等，帮助您实现高效的网络运维。 企业路由器流日志功能支持采集以下连接的流日志： 虚拟私有云（VPC） 虚拟网关（VGW） VPN网关（VPN） 对等连接（Peering） 全球接入网关（DGW）

关联概述 关联是将连接关联至ER路由表中，一个连接只能关联至一个ER路由表，将连接关联至ER路由表后，可以实现以下功能： 路由转发：来自连接的报文根据它关联的路由表进行转发。 路由学习：将关联路由表中的路由信息自动学习到连接网络中。 图1 关联概述 表1 关联概述 连接类型 路由学习 创建关联的方法 图示说明 虚拟私有云（VPC） 不支持 自动创建：开启“默认路由表关联”功能，并指定默认关联路由表，系统会自动在默认关联路由表中为新接入的连接创建关联。 创建企业路由时，直接开启该功能，具体请参见创建企业路由器。 企业路由器创建完成后，再开启该功能，具体请参见修改企业路由器配置。 手动创建：您可以选择任意一个路由表，并在路由表中创建关联，将指定连接关联至路由表中，具体请参见创建关联将连接关联至路由表中。 一个连接只能关联至一个路由表，图1中连接的关联关系说明如下： 自动创建关联：自动在ER默认关联路由表中创建关联，比如Peering2连接 、VGW1连接、VPC1连接、VPN1连接。 手动创建关联：手动在ER自定义路由表中创建关联，比如VPC2连接、VPN2连接、Peering3连接 、VGW2连接。 虚拟网关（VGW） 支持 VPN网关（VPN） 支持 对等连接（Peering） 支持 企业连接网（ECN） 支持 全球接入网关（DGW） 支持 云防火墙（CFW） 不支持 父主题： 关联

连接概述 将网络实例接入企业路由器中，则需要为网络实例在企业路由器中添加对应的连接。企业路由器支持接入多种网络实例，不同网络实例对应的连接类型不同，连接的说明及配置方法如表1所示。 图1 连接概述 表1 连接概述 连接类型 网络实例 添加连接 查看连接 删除连接 虚拟私有云（VPC） 虚拟私有云VPC。 在企业路由器中添加VPC连接 查看企业路由器中的连接 删除VPC连接 虚拟网关（VGW） 云专线DC的虚拟网关。 在企业路由器中添加VGW连接 查看企业路由器中的连接 删除VGW连接 VPN网关（VPN） 虚拟专用网络的VPN网关。 在企业路由器中添加VPN连接 查看企业路由器中的连接 删除VPN连接 对等连接（Peering） 位于其他区域的另一个企业路由器ER。通过云连接中心网络加载不同区域的企业路由器来创建“对等连接（Peering）”连接。 在企业路由器中添加Peering连接 查看企业路由器中的连接 删除Peering连接 企业连接网（ECN） 企业连接中的企业连接网络ECN。 在企业路由器中添加ECN连接 查看企业路由器中的连接 删除ECN连接 全球接入网关（DGW） 云专线DC的全球接入网关。 在企业路由器中添加DGW连接 查看企业路由器中的连接 删除DGW连接 云防火墙（CFW） 云防火墙。 在企业路由器中添加CFW连接 查看企业路由器中的连接 您无法直接删除CFW连接，如果确认不再使用，请退订云防火墙，将会同步删除CFW连接。 父主题： 连接

操作步骤 进入企业路由器列表页面。 通过名称过滤，快速找到待创建关联的企业路由器。 您可以通过以下两种操作入口，进入企业路由器的“路由表”页签。 在企业路由器右上角区域，单击“管理路由表”。 单击企业路由器名称，并选择“路由表”页签。 在路由表列表中选择目标路由表，并在“关联”页签下，单击右侧区域的“创建关联”。 弹出“创建关联”对话框。 根据界面提示，配置关联的基本信息，如表1所示。 表1 创建关联-参数说明 参数名称 参数说明 取值样例 连接类型 必选参数。 选择连接类型，连接类型说明如下： “虚拟私有云（VPC）”：表示接入的网络实例是虚拟私有云。 “虚拟网关（VGW）”：表示接入的网络实例是云专线的VGW网关。 “VPN网关（VPN）”：接入的网络实例是虚拟专用网络VPN。 “对等连接（Peering）”：表示接入的网络实例是其他区域的另一个企业路由器。 “企业连接网（ECN）”：表示接入的网络实例是同区域或者不同区域的企业连接网络。 “全球接入网关（DGW）”：表示接入的网络实例是云专线的全球接入网关。 “云防火墙（CFW）”连接：表示接入的网络实例是云防火墙。 关于连接更多信息，请参见连接概述。 虚拟私有云（VPC） 连接 必选参数。 在连接下拉列表中，选择待关联路由表的连接。 er-attach-02 基本信息设置完成后，单击“确定”。 返回关联列表页面，可以看到创建的关联。

操作步骤 进入企业路由器列表页面。 通过名称过滤，快速找到目标企业路由器。 单击企业路由器名称，并选择“流日志”页签。 进入流日志列表页面。 在“流日志”页签下，单击“创建流日志”。 弹出“创建流日志”对话框。 根据界面提示，配置流日志的基本信息，如表1所示。 表1 创建流日志-参数说明 参数名称 参数说明 取值样例 名称 必选参数。 输入ER流日志的名称。要求如下： 长度范围为1~64位。 名称由中文、英文字母、数字、下划线（_）、中划线（-）、点（.）组成。 flowlog-ab 资源类型 必选参数。 选择要采集流量信息的资源类型，企业路由器流日志功能支持采集以下类型连接的日志信息： 虚拟私有云（VPC）：虚拟私有云。 虚拟网关（VGW）：云专线DC的虚拟网关。 对等连接（Peering）：位于其他区域的另一个企业路由器ER。通过云连接中心网络加载不同区域的企业路由器来创建“对等连接（Peering）”连接。 VPN网关（VPN）：虚拟专用网络VPN的网关。 全球接入网关（DGW）：云专线DC的全球接入网关。 虚拟网关（VGW） 选择资源 必选参数。 在资源列表中，选择要采集日志信息的具体资源。 vgw-ab 日志组 必选参数。 选择已有的日志组。 如果没有可选的日志组，请单击“新建日志组”跳转至云日志服务控制台创建。 lts-group-ab 日志流 必选参数。 选择已有的日志流。 如果没有可选的日志流，请单击“新建日志流”跳转至云日志服务控制台创建。 lts-topic-ab 描述 可选参数。 您可以根据需要在文本框中输入对该流日志的描述信息。 - 基本信息设置完成后，单击“确定”。 返回流日志列表页面 在流日志列表页面，查看流日志状态。 待流日志状态由“创建中”变为“已开启”，表示流日志创建成功。