阿里云云企业网与智能接入网关：混合云网络互联指南

阿里云云企业网（Cloud Enterprise Network，简称 CEN）和智能接入网关（Smart Access Gateway，简称 SAG）共同构成了阿里云混合云及多地域云网络的基础设施。CEN 提供全球化的软件定义广域网（SD-WAN），将专有网络（VPC）、本地数据中心和分支机构连接为一个统一的高性能网络。智能接入网关则将这种连接能力延伸到边缘，通过硬件或软件方式从远程站点建立安全隧道接入 CEN 体系。本指南深入讲解如何利用 CEN 和 SAG 设计、部署和运维混合云网络，涵盖架构模式、配置、路由及性能优化。

企业云网络的演进

传统的云网络模型将每个 VPC 视为独立孤岛，通过手动对等连接或复杂的 VPN 网状结构进行互联。随着组织不断扩大云上布局——为降低延迟和实现灾备而跨多个地域部署，并将云资源与本地基础设施相连——点对点的方式变得难以管理。

CEN 用集中式星型（Hub-Spoke）架构取代了点对点模型，由中央传输网络实现所有接入网络之间的互联。新增一个 VPC 或本地站点只需将其接入 CEN 实例，即可根据已配置的路由策略自动获得与其他所有接入网络的连通性。这种集中化管理模式简化了运维流程、提高了网络可见性，并使安全策略能一致地应用于所有接入节点。

智能接入网关将 CEN 的覆盖范围延伸到那些部署专线（如阿里云高速通道）不切实际或成本高昂的场景——分支机构、零售网点、远程开发站点或 IoT 部署。SAG 设备与最近的阿里云接入点建立加密隧道，接入 CEN，提供与远程站点直接接入云骨干网相同的网络体验。

CEN 架构与核心概念

要设计出既高性能又便于管理的网络，理解 CEN 的架构至关重要。

CEN 实例与网络接入

CEN 实例是用于互联所有接入网络的逻辑传输网络。一个阿里云账号可创建多个 CEN 实例以服务不同目的——例如，为生产环境和非生产环境分别创建 CEN 实例，或为不同安全域的业务单元独立创建。

网络通过网络实例连接接入 CEN 实例。支持的接入类型包括任意地域的 VPC、用于高速通道专线连接的虚拟边界路由器（VBR）、用于智能接入网关的云连接网（CCN）实例以及 VPN 网关。单个 CEN 实例可跨所有阿里云地域实现网络互联，构建真正的全球网络结构。

接入后，网络之间可依据路由策略和访问控制列表相互通信。CEN 体系内的通信全部经过阿里云全球骨干网而非公共互联网，在各区域间提供持续稳定的低延迟和高吞吐量。

带宽包与跨地域互联

CEN 带宽通过带宽包进行管理，为跨地域流量预配容量。CEN 实例中每对地域间的通信都需要分配带宽，带宽以"包"形式购买。带宽包十分灵活：单个包可为多个跨地域连接分配带宽，超出实际使用的带宽不另计费，仅按包计费。

根据预期流量模式选择合适的带宽包大小。电商平台可能需要在主地域（应用运行地）与远端地域（内容分发地）之间配置高带宽，而灾备架构可能仅在故障切换期间才需要带宽。CEN 同时支持固定带宽和按流量计费两种模式，应根据流量可预测性选择定价模型。

跨地域网络加速

CEN 最具价值的特性之一是跨地域网络加速。当不同地域的 VPC 通过 CEN 通信时，流量经由阿里云优化的骨干网路由，而非公共互联网。该骨干网使用私有光纤、冗余路径和流量工程来提供持续稳定的低延迟和低丢包率。

对于服务全球用户的企业来说，这种加速是变革性的。托管在新加坡的应用可通过位于法兰克福和硅谷的 CEN 接入 VPC 服务欧洲和北美用户，后端数据库复制流量以公共互联网无法企及的速度在 CEN 骨干网上传输。全球加速实例还可以通过将流量经由最近的 CEN 边缘节点路由，进一步优化到达终端用户的最后一公里。

CEN 网络拓扑设计

CEN 支持多种拓扑模式，适应不同的组织结构和安全需求。

全网状拓扑

在全网状拓扑中，所有接入网络均可通过 CEN 直接相互通信。这是部署最简单的拓扑，适用于所有网络共享同一信任边界的场景——如同一业务单元的开发、预发和生产 VPC 需要访问共享服务的情况。

当网络接入 CEN 实例且未配置限制性路由策略时，默认即为全网状拓扑。每个接入网络通过 CEN 的路由传播机制，自动学习到其他所有接入网络的路由。

星型（Hub-Spoke）拓扑

星型拓扑将某个中心 VPC 指定为 Hub，所有跨 Spoke 的流量必须经过该 Hub。Spoke VPC 接入 CEN 实例但不能彼此直接通信，仅能与 Hub 通信。Hub VPC 承载共享服务——如安全审计、NAT 网关、VPN 终结或集中式日志——并控制 Spoke 之间的访问。

相比全网状拓扑，这种拓扑提供了更强的安全隔离，因为受到入侵或配置错误的 Spoke 网络无法直接访问其他 Spoke。同时，它还支持通过在 Hub 中部署安全设备，对跨 VPC 流量进行集中式审计。使用 CEN 路由策略来阻止 Spoke 学习其他 Spoke 的路由，即可配置星型拓扑。

共享服务拓扑

一种常见模式是在星型拓扑基础上扩展出独立的共享服务 VPC。不是将所有共享服务都部署在中心 Hub 中，而是为特定共享功能创建独立的 VPC——如身份认证服务、日志与监控、CI/CD 工具链、容器镜像仓库——并将其接入 CEN，配置路由使所有 Spoke 均可访问。

这种模式使共享服务在逻辑上保持分离——使成本归集和访问控制更加清晰——同时保持 CEN 体系带来的网络互联优势。路由策略确保共享服务 VPC 可与 Spoke 通信，但 Spoke 不能通过共享服务 VPC 主动发起与其他 Spoke 的连接。

多地域中转

对于全球化的组织而言，CEN 的多地域架构支持跨地域的中转路由。新加坡的 VPC 可以完全通过 CEN 骨干网与法兰克福的 VPC 通信，无需手动配置 VPC 对等连接。CEN 实例自动处理跨地域路由，无论地理位置如何，均能应用一致的路由策略。

这种全球中转能力对于应用层跨地域分布的异地多活（Active-Active）架构尤为重要。数据库复制、消息队列同步和服务发现等功能，均能受益于 CEN 在不同地域间提供的一致、低延迟连接。

智能接入网关：将边缘纳入 CEN

智能接入网关（SAG）将 CEN 体系的覆盖范围从阿里云地域扩展到本地环境。它提供硬件设备、虚拟设备及软件客户端，建立与 CEN 之间的加密隧道，将分支机构和数据中心接入云网络。

SAG 硬件设备

SAG 提供多种规格的物理设备，适用于不同规模的分支机构——从支持少量用户的小型设备到处理数千并发连接的企业级设备。硬件设备预配置了到阿里云的 IPsec VPN 隧道，并支持零接触配置（Zero-Touch Provisioning），分支机构非技术人员仅需插入设备即可自动完成网络接入。

设备支持本地路由、DHCP 和网络地址转换（NAT），可作为全功能的分支网关使用。连接后的分支用户访问云资源如同在同一网络内，流量通过加密隧道到达最近的阿里云边缘节点，随后进入 CEN 骨干网。

SAG 虚拟设备与软件客户端

对于部署物理设备不切实际的场景——如部署在第三方云环境、临时项目现场或单个远程工作人员——SAG 提供虚拟设备镜像（可作为 VM 部署在标准虚拟化平台上）和软件客户端（支持 Windows、macOS、Linux、iOS 和 Android）。

虚拟设备可集成到本地数据中心的现有虚拟化基础设施中，提供与硬件设备相同的连接能力而无需额外物理设备。软件客户端使单个用户能够从其终端设备直接连接到 CEN 体系，非常适合需要安全访问云资源的远程开发人员、管理员或第三方合作者。

云连接网（CCN）

SAG 设备通过云连接网（Cloud Connect Network，简称 CCN）实例接入 CEN。CCN 是 SAG 设备的逻辑分组，共享连接和管理策略。CCN 作为网络连接接入 CEN 实例，该 CCN 内的所有 SAG 设备根据路由策略继承 CEN 的连接能力。

CCN 支持对已连接设备的细粒度配置。你可以定义每个 SAG 设备向 CEN 宣告的私有 CIDR 网段，实施访问控制以限制每个设备可到达的 CEN 资源，并应用服务质量（QoS）策略进行流量优先级调度。对于拥有成百上千个分支机构的组织，可按地理位置、业务单元或安全区域来组织 CCN，实现可伸缩的规模化管理。

路由与流量管理

CEN 提供了强大的路由能力来控制流量在全球网络中的流转。

路由学习与传播

默认情况下，CEN 自动学习并在接入网络之间传播路由。当 VPC 接入 CEN 时，该 VPC 的系统路由（对应其 CIDR 网段）会发布到 CEN 并传播给其他接入网络。这种自动路由传播实现了即插即用的网络连通性，但如果未正确限定作用域，可能导致意外的路由行为。

可通过路由策略来控制路由传播，筛选从特定网络接入点学习和向特定网络接入点通告哪些路由。例如，你可以配置 Spoke VPC 仅学习共享服务 VPC 的路由，而不学习其他 Spoke VPC 的路由，从而在路由层面实现星型拓扑。

自定义路由表与策略

CEN 支持通过 Route Map 进行自定义路由控制，可根据前缀、Community 或 AS Path 匹配路由，并执行允许、拒绝和 Community 标记等操作。Route Map 按优先级顺序评估，首个匹配的规则决定最终操作。

当存在到同一目的地的多条路径时，路由优先级解决冲突。默认情况下，同地域路由的优先级高于跨地域路由，更长前缀匹配优先。路由策略中的显式优先级配置将覆盖默认行为，支持有目的的流量工程。

流量 QoE 与优化

CEN 提供体验质量（Quality of Experience，QoE）监控，持续测量跨地域的延迟、丢包率和抖动。QoE 数据可通过 CEN 控制台和 CloudMonitor 查看，为带宽分配和拓扑调整提供数据支撑。

对于延迟敏感型应用，可通过流量工程策略影响 CEN 骨干网的路径选择，优先选择特定路径或避开拥塞链路。虽然默认的最优路径选择适用于大多数工作负载，但有严格延迟 SLA 的组织可为自身特定的流量模式进一步优化路由。

CEN 部署安全

混合云环境中的网络安全需要在多个层面进行防御，从网络边界到单个资源。

网络访问控制

CEN 与阿里云安全组及 VPC 级别的网络 ACL 集成，提供第一层访问控制。附加到 ECS 实例及其他计算资源的安全组定义了实例级别的允许入站和出站流量，而网络 ACL 提供子网级别的访问控制。无论流量来源于同一 VPC、其他 CEN 接入网络还是通过 SAG 接入的本地网络，这些控制均持续生效。

对于超出安全组范围的网络级分段隔离，CEN 路由策略可以完全阻止特定网络接入之间的通信，在安全敏感环境之间创建物理隔离效果。结合 VPC 级别的控制，这提供了纵深防御，既能抵御外部威胁，也能阻止从已被入侵的网段进行横向移动。

流量加密

所有在 CEN 跨地域骨干网上传输的流量，在阿里云私有网络内默认已加密。对于经过互联网的 SAG 连接，采用 AES-256 加密的 IPsec 隧道保护分支与云端之间的流量安全。基于证书的设备认证确保只有经过授权的 SAG 设备才能建立通往你 CEN 体系的隧道。

对于需要在网络层之上实现端到端加密的组织，应用层 TLS 依然有效。CEN 不会干预或终止应用层加密，因此 TLS 连接即使在 CEN 骨干网上传输，仍能保持私密性。

集中式安全审计

星型拓扑天然适合集中式安全审计。在 Hub VPC 中部署下一代防火墙（NGFW）、入侵检测系统（IDS）或 Web 应用防火墙（WAF）。配置 CEN 路由策略将所有跨 Spoke 流量强制通过 Hub，安全设备在转发前进行流量审计。

阿里云云市场提供经认证可与 CEN 集成的第三方安全虚拟设备，使组织能够在 CEN 架构中使用其首选安全厂商的产品。或者，也可使用云防火墙等云原生安全服务来审计 CEN 流量，无需额外部署实例。

监控与运维

混合网络的 Day-2 运维需要全面的可见性和主动管理。

网络监控

CEN 通过 CloudMonitor 提供详细的网络监控，包括跨地域带宽利用率、丢包率、延迟以及已连接设备状态。预置仪表盘为所有接入点和跨地域连接展示上述指标，自定义告警可在带宽阈值被突破、连接中断或性能下降时通知运维团队。

SAG 设备通过 CCN 管理平面向 CloudMonitor 上报连接状态、隧道健康状况、吞吐量和客户端数量等指标。这些指标对于管理分布式分支网络至关重要，因为在这些场景下无法直接物理接触设备进行排障。

流日志

VPC 流日志捕获流经 VPC 网络接口的 IP 流量元数据，并将其发布到日志服务。在 CEN 互联环境中，流日志为跨 VPC 和混合流量模式提供可见性，帮助识别意外通信路径、排查连通性问题并支持安全调查。

对关键 VPC（尤其是承载跨 Spoke 流量的 Hub VPC）配置流日志，并使用 SLS 查询和仪表盘进行分析。对来自或发往非预期 IP 范围、协议或端口的流量设置告警，这可能表示配置错误或未授权访问。

路径分析

CEN 提供网络路径分析工具，可追踪端点之间的端到端路径，显示每一跳，包括 CEN 接入点、跨地域链路和 SAG 隧道。路径分析对于排查连通性问题非常宝贵：它能识别流量在网络路径的哪个位置被丢弃或被错误路由，区分出 CEN 路由问题、安全组拦截和端点配置问题。

CEN 与 SAG 最佳实践

为弹性而设计

在 CEN 拓扑的每一层都设计冗余。将每个 VPC 通过多个可用区接入 CEN。在关键分支位置部署冗余 SAG 设备并配置自动故障切换。从本地数据中心使用多条高速通道链路，通过不同的 VBR 接入，实现物理链路多样性。CEN 的 SD-WAN 能力包含自动路径选择和故障切换，因此冗余连接能同时提升可用性和性能。

合理配置带宽

跨地域 CEN 带宽是主要持续成本。持续监控利用率，调整带宽包以保持充裕的余量而不至于过度预配。利用 CEN 的突发能力（部分带宽包支持）应对流量峰值，并设置 CloudMonitor 告警在利用率持续超过 70% 时触发主动扩容。

按安全区域分段隔离

为不同的安全区域使用独立的 CEN 实例——如 PCI 合规的持卡人环境、PII 处理系统和通用企业工作负载。虽然路由策略可以在同一 CEN 实例内提供逻辑分段，但独立的实例能提供更强的隔离保证并简化合规审计。

通过基础设施即代码实现自动化

CEN 实例、接入点、路由策略和 SAG 配置均可通过 ROS 模板或 Terraform 进行编排。将你的 CEN 网络拓扑视为代码：对所有配置进行版本管理，在隔离环境中测试变更，通过带有变更评审门禁的 CI/CD 流水线进行部署。自动化编排可减少配置漂移，并通过模板重新部署整个网络拓扑实现灾备恢复。

总结

阿里云云企业网（CEN）和智能接入网关（SAG）为现代混合云和多地域云架构提供了网络基础。CEN 的全球 SD-WAN 能力以集中化、策略驱动的中转网络替代了复杂的点对点连接，而 SAG 则将安全、可管理的连接扩展到分支机构和远端站点。二者共同使组织能够以单一逻辑网络的性能、安全性和可管理性来运营分布式应用——不论底层资源实际相距多远。

本文由 7.chengzicloud.cloud 提供，点击访问首页了解更多