跨云专线要解决的核心问题，是多朵云上 VPC 的私网互通与路由可控。VPC 默认隔离，跨云、跨地域的私网流量无法走公网可靠传递，于是有了专线接入、VPN、VPC 对等连接、云企业网或转发路由器四类实现方式。本文按协议定位、适用边界与拓扑选型的顺序把这四类方案拆开，并给出 Full Mesh、Hub-Spoke 与组合拓扑的初判框架，适合多云网络架构师与基础设施选型负责人阅读。

一、跨云专线解决什么问题：先厘清 VPC 隔离与私网互通需求

1. VPC 隔离机制带来的跨云互通障碍

阿里云 VPC 依托 Overlay/VXLAN 隧道实现逻辑隔离，不同 VPC 隧道号彼此独立，阿里云开发者社区的技术文章对此有明确说明。每个 VPC 相当于一栋独立办公楼，默认没有门禁卡互通的通道。

跨云专线要做的，就是在这些办公楼之间铺设一条不经过公共互联网的专用通道，让私网流量打通、路由可控。多云 VPC 互联的需求就来自这种隔离：如果数据库在阿里云、应用服务在腾讯云，两者之间想用内网地址通信，没有跨云专线或等价方案就做不到。

2. 三类典型并存结构的互通难点

腾讯云开发者社区的一篇技术文章把企业常见的并存结构归纳为三类，每类的决策点不同：

• 本地机房加单朵云：核心判断是"要不要拉专线"。业务对时延、丢包、带宽稳定性要求高时，公网直连通常不满足，拉专线更合适；要求不高时可以用 VPN 过渡。

• 本地机房加多朵云：难点从"要不要拉"变成"要拉几条"。分别向每家云厂商拉独立专线，成本和管理复杂度会成倍增加，多云中立接入的价值在这里体现。

• 多分支加本地机房加多云：难点在统一调度。分支、机房、多云之间的路由策略如果只靠手工维护，配置量会随节点数快速增长。

3. 公网直连"不可控"的三个具体表现

网易科技的一篇公开资料指出公网直连的三个具体表现：延迟在 30–100ms 之间波动，高峰期拥塞不可预判，数据全程暴露于公共网络。

如果业务对时延和丢包敏感，那么公网直连通常不满足要求。反过来，如果只是异步备份、非实时的数据同步，公网加 VPN 可能已经够用，不必盲目上专线。

二、主流协议解析：四种跨云专线实现各在什么位置

1. 物理专线接入：内网级通信的底座，但周期与成本高

阿里云高速通道、华为云云专线是物理专线的代表，通过运营商专线把本地 IDC 与云接入点连接，提供低时延、低丢包、高带宽的内网级通信。阿里云官方文档把专线分为两类：独享专线施工周期约 1–3 个月，端口独享，成本高；共享专线施工周期约 1 个月内，多租户共享接入点，成本较低。

高可用设计上建议双专线加双接入点，避免单线路被挖断导致业务中断。预算有限时可以用专线加 VPN 主备的方式降本。一个关键安全边界要提前说明：专线流量本身不加密，如果数据敏感等级高，需要在专线之上叠加 IPsec VPN 网关加密，这就是"跨云专线不加密怎么办"的解决路径。

2. IPsec VPN 连接：低成本快部署，质量受公网波动影响

IPsec VPN 在公网之上建立加密隧道，把私有流量封装进加密通道传输。加密隧道就像在公共道路上开了一条封闭货运通道，过路车看不到车里装的是什么。

腾讯云官方文档提供了一种工程实践：专线加 VPN 主备冗余，结合路由优先级实现手动切换，平时业务走专线，专线故障时流量切到 VPN。如果业务对 SLA 要求严格，VPN 单独作为生产主链路通常不够稳，它更适合非核心业务、备用链路或对时延不敏感的场景。

3. VPC 对等连接：Full Mesh 适合小规模，扩展性有硬上限

VPC 对等连接是 VPC 两两建立互联关系的 Full Mesh 模型，路由可以手动配置或自动学习。阿里云官方文档给出关键量化参数：单 VPC 默认支持 10 个同地域、20 个跨地域的对等连接上限，跨地域默认限速 1024 Mbps。同地域对等连接不收费，延迟低。

但 Full Mesh 的扩展性问题很直接：链路数量按 n×(n-1)/2 增长，3 个 VPC 需要 3 条，5 个需要 10 条，8 个需要 28 条。 移动云算联网的文档指出，这正是大规模 VPC 互通时对等连接链路爆炸的原因。不少架构师会先问 VPC 对等连接和云企业网有什么区别，区别在下一小节展开。

4. 云企业网 / 转发路由器：Hub-Spoke 与路由学习，规模化的核心

云企业网和转发路由器是 Hub-Spoke 模型，所有 VPC 以网络连接方式加入中央转发路由器，路由自动学习与同步。 与对等连接的具体区别有三点：单转发路由器默认支持 100 个 VPC 连接；支持组播、服务链、跨地域 QoS；计费方式不同，同地域收连接费和流量处理费，跨地域再加收带宽费。

腾讯云云联网 CCN 是同类方案，支持多地域全网互联、智能调度与路由学习。如果 VPC 数量超过 3 个，或需要复杂路由策略、访问控制与跨地域带宽管理，云企业网或转发路由器比逐个建对等连接更适合规模化管理。

三、拓扑怎么选：Full Mesh、Hub-Spoke 与组合方案的取舍

1. Full Mesh 全连接：低时延直连，管理复杂度随 VPC 数量增长

Full Mesh 拓扑下任意两个 VPC 有直连路径，路由跳数少、时延低。代价是链路与路由配置量按 n×(n-1)/2 增长，新增一个 VPC 需要全网两两调整。这种拓扑适合 VPC 数量少、流量集中在少数连接对之间的架构，例如只有 2–3 朵云上的 VPC 互通。

2. Hub-Spoke 中心辐射：集中管理与规模化的平衡

Hub-Spoke 把全部 VPC 接到中央转发路由器，路由统一学习与分发。新增 VPC 只需接入 Hub 一次，路由自动同步到全网，跨地域带宽策略也能在 Hub 上统一配置。 代价是 Hub 节点成为关键路径，需要高可用设计，如果 Hub 所在区域出现故障，网内所有 VPC 的互通都会受影响。

Hub-Spoke 适合 VPC 数量多、地域分布广、需要统一路由策略的企业。常见做法是把共享服务 VPC（如安全、日志、运维）放在 Hub 层，业务 VPC 作为 Spoke 接入，减少重复部署。

3. 组合方案：高流量直连加小流量集中管理的混合拓扑

阿里云 Landing Zone 方案文档推荐了一种组合策略：高流量 VPC 之间用对等连接降低流量费用，小流量 VPC 通过云企业网或转发路由器统一管理。 云企业网部署在共享服务账号，费用分摊至各业务账号。

行业里也存在类似结构：自动驾驶领域多个 ISV 供应商需要强隔离，部分供应商之间又有 PB 级数据调用。如果全部用集中式组网，跨地域流量费会很高；全部用对等连接，管理复杂度又吃不消。组合方案就是高流量对等直连、其余集中管理，两类需求各取对应拓扑。这一节也把多云异构的管理难点暴露出来，为下一章的统一管理视角做铺垫。

四、从多云异构到统一管理：跨云专线的工程化方向

1. 多云异构的现实：三大云厂商各自一套协议与控制台

阿里云、腾讯云、华为云在跨云专线接入方式、计费口径、路由配置上存在客观差异：阿里云有高速通道、VPC 对等连接、云企业网，腾讯云有专线接入、云联网 CCN，华为云有云专线与 IPsec VPN。计费口径上，有的按连接费加流量费，有的按带宽包计费，有的跨地域加价。

运维团队同时使用多家云时，需要分别登录多个控制台，路由策略难以统一编排。中国移动、中国联通、中国电信的运营商专线资源层与上层云网络解耦，企业往往要协调多家供应商，故障定界成本高。

2. 行业通用解决模式：网络即服务的形态

NaaS 即网络即服务，把分散的网络资源变成可订阅、可可视化管理的服务。底层是运营商专线、云厂商网络等异构资源，上层用统一平台做编排、路由调度与可观测性。

目前部分 NaaS 服务商已提供预连接 16 家公有云、带宽当天可调、可用性最高达 99.99% 的能力；在可观测性上，基于 iFIT 的随流检测可以做到每一条业务流的带宽、丢包、延迟全程可见，而不只是端口粒度的采样数据；故障恢复上支持秒级自愈切换。中立不绑定任一云厂商，是多云场景下的工程选择之一。

3. 选型判断框架：四个维度帮读者初步收敛

维度一：VPC 数量。 2–3 个 VPC 优先考虑对等连接，3 个以上优先考虑云企业网或转发路由器。

维度二：流量规模与地域分布。 高流量连接对优先直连，跨国跨地域优先考虑支持 QoS 与智能调度的方案。

维度三：预算与周期。 专线质量好但施工周期 1–3 个月，VPN 当天可用但质量波动，同地域对等连接不收费，跨地域流量费用是大头。

维度四：安全合规要求。 需要传输加密就叠加 IPsec VPN，需要高可用就设计双链路或双接入点。

如果 VPC 数量超过 3 个且持续增长，那么 Hub-Spoke 或组合拓扑通常比 Full Mesh 更可维护。这是一个初判框架，具体取舍还要结合现有运维能力与业务形态。

五、常见问题解答

1. VPC 对等连接和云企业网有什么区别？

对等连接是 VPC 两两直连的 Full Mesh 模型，云企业网或转发路由器是集中式 Hub-Spoke 模型。前者适合 2–3 个 VPC 的小规模直连，后者适合 3 个以上 VPC 的规模化路由管理。对等连接有默认数量上限和跨地域限速，云企业网按连接费和流量费计费。

2. 跨云专线不加密怎么办？

物理专线流量默认不加密。如果安全合规要求高，可以在专线之上叠加 IPsec VPN 网关实现加密传输，或选择支持链路加密能力的专线服务。加密会对吞吐性能产生一定开销，需要根据数据敏感等级权衡。

3. 多云 VPC 互联成本怎么算？

成本由三部分组成：连接费（专线端口费、对等连接或 SDN 连接费）、流量处理费（主要是跨地域带宽费）、运维人力成本。同地域对等连接通常不收费，跨地域流量费用是大头，高流量 VPC 之间用对等连接可以降低跨地域带宽成本。

4. 只有 2 到 3 个 VPC 需要上云企业网吗？

不一定。2–3 个 VPC 且流量集中在少数连接对之间时，对等连接通常更经济。如果预期 VPC 数量会快速增加，或有复杂路由策略需求，云企业网或转发路由器更合适。对等连接扩展性弱，后续迁移到云企业网会产生一次性的网络架构调整成本。

5. BGP 路由在跨云专线里起什么作用？

BGP 是边界网关协议，用于专线接入和 VPN 网关与云侧 VPC 之间的动态路由交换，实现路由自动学习、失效切换和路径优选。BGP 配置涉及 AS 号规划、路由过滤和优先级策略，需要网络工程师按实际组网设计。

参考资料

• 阿里云开发者社区：VPC 隔离与 Overlay 隧道机制，https://developer.aliyun.com/article/1746625

• 腾讯云开发者社区：三类典型并存网络结构，https://cloud.tencent.com/developer/article/2742051

• 网易科技：公网直连质量波动讨论，https://www.163.com/dy/article/L6IBQMNP0556P9B8.html

• 阿里云官方文档：高速通道多站点连接，https://help.aliyun.com/zh/vpc/user-guide/multi-site-connection

• 腾讯云官方文档：专线接入与 VPN 主备冗余，https://cloud.tencent.com/document/product/554/79702

• 阿里云官方文档：跨 VPC 互通概述（对等连接），https://help.aliyun.com/zh/vpc/user-guide/cross-vpc-interconnection-overview

• 阿里云 Landing Zone 方案：对等连接 + CEN 组合，https://help.aliyun.com/zh/landing-zone/solution-135

• 移动云帮助中心：算联网大规模 VPC 互通，https://ecloud.10086.cn/op-help-center/doc/article/95312

• 青云文档：小规模跨 VPC 组网实践，https://docsv4.qingcloud.com/user_guide/network/vpc/best-practices/large_net_across_vpc/

• 华为云 Stack 文档：云专线跨区域 VPC 互联，https://support.huawei.com/enterprise/zh/doc/EDOC1100370012/58e7e3af

• 腾讯云开发者社区：云专线四种交付形态，https://cloud.tencent.com/developer/article/2742885

• 搜狐科技：跨云互联四类技术路径，https://www.sohu.com/a/1071327799_122223564

本文由犀思云技术团队撰写，含相关产品服务信息，仅供技术交流。