华为云用户手册

请求示例 解绑网络ACL e9a7731d-5bd9-4250-a524-b9a076fd5629 和子网 8359e5b0-353f-4ef3-a071-98e67a34a143、d9994dcf-ef6d-47ec-9ac9-a62d4fd5e163。 PUT https://{Endpoint}/v3/{project_id}/vpc/firewalls/e9a7731d-5bd9-4250-a524-b9a076fd5629/disassociate-subnets { "subnets" : [ { "virsubnet_id" : "8359e5b0-353f-4ef3-a071-98e67a34a143" }, { "virsubnet_id" : "d9994dcf-ef6d-47ec-9ac9-a62d4fd5e163" } ] }

响应示例 状态码： 201 POST操作正常返回，更多状态码请参见状态码。 { "request_id" : "1666b2708aaf849337572d6846dce781", "security_group_rule" : { "id" : "f626eb24-d8bd-4d26-ae0b-c16bb65730cb", "project_id" : "060576782980d5762f9ec014dd2f1148", "security_group_id" : "0552091e-b83a-49dd-88a7-4a5c86fd9ec3", "direction" : "ingress", "protocol" : "tcp", "description" : "security group rule description", "created_at" : "2020-08-13T07:12:36.000+00:00", "updated_at" : "2020-08-13T07:12:36.000+00:00", "ethertype" : "IPv4", "remote_ip_prefix" : "10.10.0.0/16", "multiport" : 33, "action" : "allow", "priority" : 1 } }

请求示例 创建一条入方向安全组规则，所在安全组id为1c8d9f94-6022-4518-bb98-e0145fcc7b33。 POST https://{Endpoint}/v3/{project_id}/vpc/security-group-rules { "security_group_rule" : { "security_group_id" : "1c8d9f94-6022-4518-bb98-e0145fcc7b33", "direction" : "ingress", "protocol" : "tcp", "description" : "security group rule description", "action" : "allow", "priority" : 1, "multiport" : "33", "remote_ip_prefix" : "10.10.0.0/16" } }

请求示例 创建网络ACL，命名为network_acl_test1。 POST https://{Endpoint}/v3/{project_id}/vpc/firewalls { "firewall" : { "name" : "network_acl_test1", "description" : "network_acl_test1", "enterprise_project_id" : "158ad39a-dab7-45a3-9b5a-2836b3cf93f9" } }

响应示例 状态码： 201 POST操作正常返回，更多状态码请参见状态码。 { "firewall" : { "id" : "e9a7731d-5bd9-4250-a524-b9a076fd5629", "name" : "network_acl_test1", "description" : "network_acl_test1", "project_id" : "9476ea5a8a9849c38358e43c0c3a9e12", "created_at" : "2022-04-07T07:30:46.000+00:00", "updated_at" : "2022-04-07T07:30:46.000+00:00", "admin_state_up" : true, "enterprise_project_id" : "158ad39a-dab7-45a3-9b5a-2836b3cf93f9", "status" : "ACTIVE", "tags" : [ ], "ingress_rules" : [ ], "egress_rules" : [ ], "associations" : [ ] } }

响应示例 状态码： 201 Created { "traffic_mirror_filter" : { "id" : "59d2b2e7-0d35-41f7-a12e-f7699366cd21", "project_id" : "49a42f378df747bf8b8f6a70e25b63fb", "name" : "test1", "description" : "description", "ingress_rules" : [ ], "egress_rules" : [ ], "created_at" : "2022-08-29T06:22:01.000+00:00", "updated_at" : "2022-08-29T06:22:01.000+00:00" }, "request_id" : "f05abcd9-fa75-43a5-a795-b3d8e8b7a9e9" }

请求示例 创建流量镜像筛选条件，命名为test1，描述为description。 POST https://{endpoint}/v3/{project_id}/vpc/traffic-mirror-filters { "traffic_mirror_filter" : { "name" : "test1", "description" : "description" } }

URI DELETE /v3/{project_id}/firewalls/{firewall_id}/tags/{tag_key} 表1 路径参数 参数 是否必选 参数类型 描述 firewall_id 是 String 功能说明：ACL唯一标识 取值范围：合法UUID 约束：ID对应的ACL必须存在 project_id 是 String 项目ID tag_key 是 String 功能说明：标签键

响应参数 状态码： 400 表2 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。 状态码： 401 表3 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。 状态码： 403 表4 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。 状态码： 404 表5 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。 状态码： 500 表6 响应Body参数 参数 参数类型 描述 request_id String 请求ID。 error_msg String 错误消息。 error_code String 错误码。

URI GET /v3/{project_id}/vpc/traffic-mirror-filter-rules 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID。 获取方式请参见获取项目ID。 表2 Query参数 参数 是否必选 参数类型 描述 id 否 String 使用规则ID过滤或排序 action 否 String 使用规则action过滤 description 否 String 使用规则描述过滤 destination_cidr_block 否 String 使用规则目的网段过滤 destination_port_range 否 String 使用规则目的端口范围过滤 direction 否 String 使用规则方向过滤 priority 否 String 使用规则优先级过滤 protocol 否 String 使用规则协议过滤 source_cidr_block 否 String 使用规则源网段过滤 source_port_range 否 String 使用规则源端口范围过滤 traffic_mirror_filter_id 否 String 使用筛选条件ID过滤

响应示例 状态码： 200 OK { "request_id" : "38719a68-c7c1-4fe1-bf12-4bb049349174", "traffic_mirror_filter_rules" : [ { "created_at" : "2023-02-17T08:42:44.000+00:00", "updated_at" : "2023-02-17T08:42:44.000+00:00", "id" : "3daa97b5-ad58-477d-86a5-52b65257f94b", "project_id" : "7365fcd452924e398ec4cc1fe39c0d12", "description" : "", "traffic_mirror_filter_id" : "b765ba87-c0b4-4f1a-9ec3-d5b1d1ddb137", "direction" : "ingress", "protocol" : "ICMPV6", "ethertype" : "IPv4", "action" : "accept", "priority" : 16 } ], "page_info" : { "previous_marker" : "3daa97b5-ad58-477d-86a5-52b65257f94b", "current_count" : 1 } }

响应示例 状态码： 200 OK { "traffic_mirror_filter" : { "id" : "59d2b2e7-0d35-41f7-a12e-f7699366cd21", "project_id" : "49a42f378df747bf8b8f6a70e25b63fb", "name" : "test1", "description" : "description", "ingress_rules" : [ ], "egress_rules" : [ ], "created_at" : "2022-08-29T06:22:01.000+00:00", "updated_at" : "2022-08-29T06:22:01.000+00:00" }, "request_id" : "f05abcd9-fa75-43a5-a795-b3d8e8b7a9e9" }

请求示例 更新ID为59d2b2e7-0d35-41f7-a12e-f7699366cd21的流量镜像筛选条件，名称更新为test1 PUT /v3/{project_id}/vpc/traffic-mirror-filters/59d2b2e7-0d35-41f7-a12e-f7699366cd21 { "traffic_mirror_filter" : { "name" : "test1", "description" : "description" } }

响应示例 状态码： 200 GET操作正常返回，更多状态码请参见状态码。 { "request_id" : "80747d36e3376c0894ba8f9a9156355d", "security_group_rules" : [ { "id" : "f626eb24-d8bd-4d26-ae0b-c16bb65730cb", "project_id" : "060576782980d5762f9ec014dd2f1148", "security_group_id" : "0552091e-b83a-49dd-88a7-4a5c86fd9ec3", "direction" : "ingress", "protocol" : "tcp", "description" : "security group rule description", "created_at" : "2020-08-13T07:12:36.000+00:00", "updated_at" : "2020-08-13T07:12:36.000+00:00", "ethertype" : "IPv4", "remote_ip_prefix" : "10.10.0.0/16", "multiport" : 333, "action" : "allow", "priority" : 1 } ] }

URI GET /v3/{project_id}/vpc/security-group-rules 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID。 获取方式请参见获取项目ID。 表2 Query参数 参数 是否必选 参数类型 描述 limit 否 Integer 功能说明：每页返回个数。 取值范围：0-2000。 marker 否 String 分页查询起始的资源ID，为空时查询第一页。 id 否 Array 功能说明：安全组规则ID，支持多个ID过滤。 security_group_id 否 Array 功能说明：安全组规则所属安全组ID，支持多个ID过滤。 protocol 否 Array 功能说明：安全组规则协议，支持多条过滤。 description 否 Array 功能说明：安全组描述新增。可以使用该字段精确过滤安全组，支持传入多个描述进行过滤。 remote_group_id 否 Array 功能说明：远端安全组ID，支持多ID过滤。 direction 否 String 功能说明：安全组规则方向。 取值范围：ingress表示入方向，egress表示出方向。 action 否 String 功能说明：安全组规则生效策略。 remote_ip_prefix 否 String 功能说明：远端IP地址。 取值范围：cidr格式。

响应示例 状态码： 201 POST操作正常返回，更多状态码请参见状态码。 { "security_group_rules" : [ { "id" : "abef369b-d646-4b8a-9f44-fcd248a6c421", "project_id" : "5f6387106c2048b589b369d96c2f23a2", "security_group_id" : "15457509-18f9-4387-bae6-d4ed1898b301", "direction" : "ingress", "protocol" : "tcp", "description" : "", "created_at" : "2023-04-28T04:08:52.000+00:00", "updated_at" : "2023-04-28T04:08:52.000+00:00", "ethertype" : "IPv4", "remote_ip_prefix" : "117.78.12.122/32", "multiport" : 22, "action" : "allow", "priority" : 1 } ], "request_id" : "f1ae2c6f9e94babf077cd3b3e1570c81" }

请求示例 在安全组15457509-18f9-4387-bae6-d4ed1898b301中创建入方向规则，忽略重复规则，两条规则相同。 POST https://{Endpoint}/v3/{project_id}/vpc/security-groups/15457509-18f9-4387-bae6-d4ed1898b301/security-group-rules/batch-create { "ignore_duplicate" : true, "security_group_rules" : [ { "direction" : "ingress", "description" : "", "protocol" : "tcp", "action" : "allow", "priority" : 1, "ethertype" : "IPv4", "multiport" : "22", "remote_ip_prefix" : "117.78.12.122/32" }, { "direction" : "ingress", "description" : "", "protocol" : "tcp", "action" : "allow", "priority" : 1, "ethertype" : "IPv4", "multiport" : "22", "remote_ip_prefix" : "117.78.12.122/32" } ] }

响应示例 状态码： 200 GET操作正常返回，更多状态码请参见状态码。 { "request_id" : "d31cb32ca06f3c1a294fa24e6cbc5a56", "security_groups" : [ { "id" : "0552091e-b83a-49dd-88a7-4a5c86fd9ec3", "name" : "sg-test", "project_id" : "060576782980d5762f9ec014dd2f1148", "description" : "test", "enterprise_project_id" : 0, "created_at" : "2019-10-16T11:11:14.000+00:00", "updated_at" : "2020-03-25T10:53:46.000+00:00", "tags" : [ ] }, { "id" : "0b8cb773-197c-4c91-94f1-e051f0563e5a", "name" : "test-sg", "project_id" : "060576782980d5762f9ec014dd2f1148", "description" : "通用Web服务器，默认放通22、3389、80、443端口和ICMP协议。适用于需要远程登录、公网ping及用于网站服务的云服务器场景。", "enterprise_project_id" : 0, "created_at" : "2019-12-03T09:02:11.000+00:00", "updated_at" : "2019-12-03T09:02:11.000+00:00", "tags" : [ ] } ], "page_info" : { "previous_marker" : "0552091e-b83a-49dd-88a7-4a5c86fd9ec3", "current_count" : 2 } }

URI GET /v3/{project_id}/vpc/security-groups 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID。 获取方式请参见获取项目ID。 表2 Query参数 参数 是否必选 参数类型 描述 limit 否 Integer 功能说明：每页返回的个数。 取值范围：0-2000。 marker 否 String 分页查询起始的资源ID，为空时查询第一页。 id 否 Array 功能说明：安全组资源ID。可以使用该字段精确过滤安全组，支持多个ID。 name 否 Array 功能说明：安全组名称。可以使用该字段精确过滤满足条件的安全组，支持传入多个name过滤。 description 否 Array 功能说明：安全组描述新增。可以使用该字段精确过滤安全组，支持传入多个描述进行过滤。 enterprise_project_id 否 String 功能说明：企业项目ID。可以使用该字段过滤某个企业项目下的安全组。 取值范围：最大长度36字节，带“-”连字符的UUID格式，或者是字符串“0”。“0”表示默认企业项目。 约束：若需要查询当前用户所有有权限查看企业项目绑定的安全组，请传参all_granted_eps。

请求示例 更新id为dd18a501-fcd5-4adc-acfe-b0e2384baf08的地址组，更新名称为vkvgykvsvhjaaaa1、ip地址集和描述。 PUT https://{endpoint}/v3/b2782e6708b8475c993e6064bc456bf8/vpc/address-groups/dd18a501-fcd5-4adc-acfe-b0e2384baf08 { "address_group" : { "name" : "vkvgykvsvhjaaaa1", "ip_set" : [ "192.168.3.2", "192.168.3.43", "192.168.3.20-192.168.3.100", "192.168.5.0/24" ], "description" : "xxxxxxxxxx" } }

响应示例 状态码： 200 PUT操作正常返回，更多状态码请参见状态码。 { "address_group" : { "id" : "dd18a501-fcd5-4adc-acfe-b0e2384baf08", "name" : "vkvgykvsvhjaaaa1", "tenant_id" : "b2782e6708b8475c993e6064bc456bf8", "ip_version" : 4, "max_capacity" : 20, "ip_set" : [ "192.168.5.0/24", "192.168.3.20-192.168.3.100", "192.168.3.43", "192.168.3.2" ], "ip_extra_set" : [ { "ip" : "192.168.5.0/24", "remarks" : null }, { "ip" : "192.168.3.20-192.168.3.100", "remarks" : null }, { "ip" : "192.168.3.43", "remarks" : null }, { "ip" : "192.168.3.2", "remarks" : null } ], "enterprise_project_id" : "0aad99bc-f5f6-4f78-8404-c598d76b0ed2", "created_at" : "2019-06-28T02:06:38.000+00:00", "updated_at" : "2019-06-28T02:14:01.000+00:00", "description" : "xxxxxxxxxx", "status" : "NORMAL", "status_message" : "" }, "request_id" : "5bbd1640-fa68-4362-9a5c-30c4809958e0" }

通过中心网络构建跨区域VPC互通组网流程 本章节介绍通过企业路由器和云连接中心网络构建跨区域VPC互通组网，流程如表1所示。 表1 构建跨区域VPC组网流程说明 序号 步骤 说明 1 创建云服务资源 创建3个企业路由器，每个区域内需要1个企业路由器。 创建业务VPC和其子网，本示例中在每个区域下各创建1个VPC和1子网。 在每个业务VPC子网内创建E CS ，本示例中共创建3个ECS。 创建1个云连接中心网络，创建中心网络时需要配置策略，此时需要将不同区域的企业路由器添加到策略中。 创建全域互联带宽，本示例中创建3个全域互联带宽连通不同区域网络。 2 在企业路由器中配置VPC连接 针对每个区域的企业路由器，分别在企业路由器中添加“虚拟私有云（VPC）”连接，即将VPC接入企业路由器中。 3 在中心网络内为跨区域网络链路配置带宽 为中心网络内的跨区域网连接配置带宽，根据业务的实际需要配置，确保带宽满足业务需求。 4 验证跨区域网络的通信情况 分别登录不同区域的ECS，执行ping命令，验证网络互通情况。 父主题： 通过企业路由器和云连接中心网络实现跨区域VPC互通

验证跨区域网络的通信情况 登录弹性云服务器。 弹性云服务器有多种登录方法，具体请参见登录弹性云服务器。 本示例是通过管理控制台远程登录（VNC方式）。 在弹性云服务器的远程登录窗口，执行以下命令，验证网络互通情况。 执行以下命令，验证跨区域VPC网络互通情况。 ping 弹性云服务器IP地址 以登录ECS-A，验证VPC-A与VPC-B的网络互通情况为例： ping 192.168.0.5 回显类似如下信息，表示VPC-A与VPC-B通信正常。 [root@ECS-A ~]# ping 192.168.0.5 PING 192.168.0.5 (192.168.0.5) 56(84) bytes of data. 64 bytes from 192.168.0.5: icmp_seq=1 ttl=62 time=30.6 ms 64 bytes from 192.168.0.5: icmp_seq=2 ttl=62 time=30.2 ms 64 bytes from 192.168.0.5: icmp_seq=3 ttl=62 time=30.1 ms 64 bytes from 192.168.0.5: icmp_seq=4 ttl=62 time=30.1 ms ... --- 192.168.0.5 ping statistics --- 执行以下命令，验证跨区域VPC网络互通情况。 ping 弹性云服务器IP地址 以登录ECS-A，验证VPC-A与VPC-C的网络互通情况为例： ping 10.0.0.29 回显类似如下信息，表示VPC-A与VPC-C通信正常。 [root@ECS-A ~]# ping 10.0.0.29 PING 10.0.0.29 (10.0.0.29) 56(84) bytes of data. 64 bytes from 10.0.0.29: icmp_seq=1 ttl=62 time=27.4 ms 64 bytes from 10.0.0.29: icmp_seq=2 ttl=62 time=27.0 ms 64 bytes from 10.0.0.29: icmp_seq=3 ttl=62 time=26.10 ms 64 bytes from 10.0.0.29: icmp_seq=4 ttl=62 time=26.9 ms ... --- 10.0.0.29 ping statistics --- 重复执行1~2，验证其他VPC之间的网络互通情况。 父主题： 通过中心网络构建跨区域VPC互通组网步骤

在中心网络内为跨区域连接配置带宽 为中心网络内的跨区域连接配置带宽，根据业务的实际需要配置，确保带宽满足业务需求，跨地域连接带宽的详细规划请参见表5。 云连接服务默认为您在各个区域之间分配了10kbps的域间带宽，用来支撑连通性测试。“对等连接（Peering）”连接添加完成后，您就可以验证网络连通性，具体方法请参见验证跨区域网络的通信情况。 为了业务正常使用，您需要继续执行以下操作购买全域互联带宽，并为跨区域连接配置带宽。 为连通区域A和区域B的连接配置带宽。 基于购买的全域互联带宽为两个互通的区域配置带宽，具体方法请参见配置跨地域连接带宽。 为连通区域A和区域C的连接配置带宽。 为连通区域B和区域C的连接配置带宽。 父主题： 通过中心网络构建跨区域VPC互通组网步骤

在企业路由器中配置VPC连接 在企业路由器中配置“虚拟私有云（VPC）”连接，即将VPC接入企业路由器中，资源规划详情请参见表5。 在区域A内，在企业路由器ER-A中添加“虚拟私有云（VPC）”连接。 将VPC接入企业路由器中。 本示例添加“虚拟私有云（VPC）”连接时开启“配置连接侧路由”，免去手工在VPC路由表中配置路由。 添加“虚拟私有云（VPC）”连接，具体方法请参见在企业路由器中添加VPC连接。 由于本示例创建ER时，开启“默认路由表关联”和“默认路由表传播”，因此添加完“虚拟私有云（VPC）”连接后，以下均为系统自动配置： 在默认路由表中创建关联 在默认路由表中创建传播，并自动学习VPC网段路由信息。 （可选）在VPC路由表中配置ER的路由信息。 如果您添加“虚拟私有云（VPC）”连接时开启“配置连接侧路由”，则无需执行该操作，系统会自动在VPC路由表中添加路由，路由详情请参见表3。 配置路由信息，具体方法请参见在VPC路由表中配置路由。 在区域B内，参考1，在企业路由器ER-B中添加“虚拟私有云（VPC）”连接。 在区域C内，参考1，在企业路由器ER-C中添加“虚拟私有云（VPC）”连接。 父主题： 通过中心网络构建跨区域VPC互通组网步骤

创建云服务资源 本示例中，您需要创建企业路由器，虚拟私有云、云连接中心网络等资源，资源规划详情请参见表5。 在3个区域内，各创建1个企业路由器。 创建企业路由器，具体方法请参见创建企业路由器。 不同区域内的企业路由器，建议您使用不同的AS号。 在3个区域内，各创建1个VPC。 创建VPC及子网，具体方法请参见创建虚拟私有云和子网。 在3个区域内，各创建1个ECS。 创建ECS，具体方法请参见购买方式概述。 创建云连接中心网络，并在策略中添加需要连通的企业路由器。 创建1个云连接中心网络，并在策略中添加企业路由器。 创建中心网络，具体方法请参见创建中心网络。 在企业路由器控制台，查看“对等连接（Peering）”连接的添加情况。 具体方法请参见查看连接。 “对等连接（Peering）”连接的状态“正常”，表示已成功接入企业路由器中。 由于本示例创建ER时，开启“默认路由表关联”和“默认路由表传播”，因此配置策略，即添加完“对等连接（Peering）”连接后，以下均为系统自动配置： 在ER的默认路由表中创建关联 在ER默认路由表中创建传播，并自动学习对方路由表中的路由信息。 创建3个全域互联带宽，连通不同区域的网络链路。 创建全域互联带宽，具体方法请参见购买全域互联带宽。 父主题： 通过中心网络构建跨区域VPC互通组网步骤

资源规划说明 企业路由器ER、 虚拟私有云VPC 、弹性 云服务器ECS 只要位于同一个区域内即可，可用区可以任意选择，不用保持一致。 以下资源规划详情仅为示例，实际情况请根据您的业务需求规划。 表5 跨区域VPC互通组网资源规划总体说明 资源类型 资源数量 说明 VPC 3 业务VPC，实际运行客户业务的VPC，需要接入ER，本示例中需要在3个不同区域内各创建一个VPC。 VPC名称：请根据实际情况填写，本示例如下。 区域A：VPC-A 区域B：VPC-B 区域C：VPC-C IPv4网段：建议不同的VPC网段不能重复，请根据实际情况填写，本示例如下。 VPC-A：172.16.0.0/16 VPC-B：192.168.0.0/16 VPC-C：10.0.0.0/16 子网名称和IPv4网段：需要互通的VPC子网网段不能重复，否则无法通信。请根据实际情况规划，本示例如下。 subnet-A01：172.16.0.0/24 subnet-B01：192.168.0.0/24 subnet-C01：10.0.0.0/24 ER 3 本示例中需要在3个不同区域内各创建一个ER，并接入“对等连接（Peering）”连接和“虚拟私有云（VPC）”连接。 名称：请根据实际情况填写， 区域A：ER-A 区域B：ER-B 区域C：ER-C ASN：此处建议不同区域企业路由器的AS号不同，本示例如下。 ER-A：64512 ER-B：64513 ER-C：64514 默认路由表关联：开启 默认路由表传播：开启 自动接受共享连接：请根据实际情况选择，本示例选择“开启”。 连接：本示例需要在不同区域的企业路由器中分别添加3个连接，本示例如下。 ER-A： VPC连接：连通VPC-A和ER-A之间的网络，名称为er-attach-VPC-A Peering连接：连通ER-A和ER-B之间的网络，名称为region-A-region-B Peering连接：连通ER-A和ER-C之间的网络，名称为region-A-region-C ER-B： VPC连接：连通VPC-B和ER-B之间的网络，名称为er-attach-VPC-B Peering连接：连通ER-B和ER-A之间的网络，名称为region-B-region-A Peering连接：连通ER-B和ER-C之间的网络，名称为region-B-region-C ER-C： VPC连接：连通VPC-C和ER-C之间的网络，名称为er-attach-VPC-C Peering连接：连通ER-C和ER-A之间的网络，名称为region-C-region-A Peering连接：连通ER-C和ER-B之间的网络，名称为region-C-region-B 须知： 当使用中心网络连通ER时，必须开启ER的“默认路由表关联”和“默认路由表传播”功能。 CC中心网络 1 本示例中，需要创建一个中心网络，并在中心网络中加入需要网络互通的ER。 名称：请根据实际情况填写，本示例为gcn-A-B-C。 策略： 区域：区域A；企业路由器：ER-A 区域：区域B；企业路由器：ER-B 区域：区域C；企业路由器：ER-C 跨地域连接带宽： 区域A-区域B：10 Mbit/s 区域A-区域C：5 Mbit/s 区域B-区域C：20 Mbit/s 全域互联带宽 3 本示例中，需要创建3个全域互联带宽，用来连通不同区域的云内骨干网络。 名称：请根据实际情况填写，本示例如下。 连通区域A和区域B：bandwidth-A-B。 连通区域A和区域C：bandwidth-A-C。 连通区域B和区域C：bandwidth-B-C。 带宽类型：请根据组网实际情况选择，本示例中区域A、区域B以及区域C位于同一个大区，因此选择“大区带宽”。 互联大区：请根据组网实际情况选择，本示例中区域A、区域B以及区域C均位于中国大陆，因此选择“中国大陆”。 指定互通区域：请根据组网实际情况选择。 ECS 3 本示例中需要在3个不同区域内各创建一个ECS，主要用来验证网络互通情况。 名称：根据实际情况填写，本示例如下。 区域A：ECS-A 区域B：ECS-B 区域C：ECS-C 镜像：请根据实际情况选择，本示例为公共镜像（CentOS 8.2 64bit）。 网络：请根据实际情况选择虚拟私有云和子网，本示例如下。 ECS-A：VPC-A、subnet-A01 ECS-B：VPC-B、subnet-B01 ECS-C：VPC-C、subnet-C01 安全组：请根据实际情况选择，本示例安全组模板选择“通用Web服务器”，名称为sg-demo。 私有IP地址： ECS-A：172.16.0.91 ECS-B：192.168.0.5 ECS-C：10.0.0.29

网络规划说明 跨区域VPC互通组网规划如图1所示，将3个不同区域的ER接入云连接中心网络中，组网规划说明如表2所示。 本示例中，每个区域内创建一个VPC接入企业路由器ER内，仅供您参考配置，实际网络规划请以您的业务需求为准。 图1 跨区域VPC互通组网规划 表1 网络流量路径说明 路径 说明 请求路径：VPC-A→VPC-B 在VPC-A路由表中，通过下一跳为ER-A的路由将流量转送到ER-A。 在ER-A路由表中，通过云连接中心网络和下一跳为Peering连接，目的地址为192.168.0.0/16的路由将流量转送到ER-B。 在ER-B路由表中，通过下一跳为VPC连接的路由将流量送达VPC-B。 响应路径：VPC-B→VPC-A 在VPC-B路由表中，通过下一跳为ER-B的路由将流量转送到ER-B。 在ER-B路由表中，通过云连接中心网络和下一跳为Peering连接，目的地址为172.16.0.0/16的路由将流量转送到ER-A。 在ER-A路由表中，通过下一跳为VPC连接的路由将流量送达VPC-A。 表2 跨区域VPC互通组网规划说明 资源 说明 VPC VPC网段（CIDR）不能重叠。 本示例中，ER路由表使用的是“虚拟私有云（VPC）”连接的传播路由，由ER自动学习VPC网段作为目的地址，不支持修改，因此重叠的VPC网段会导致路由冲突。 如果您已有的VPC存在网段重叠，则不建议您使用传播路由，请在ER路由表中手动添加静态路由，目的地址可以为VPC子网网段或者范围更小的网段。 VPC有一个默认路由表。 VPC默认路由表中的路由说明如下： local：表示VPC本地IPV4的默认路由条目，用于VPC内子网通信，系统自动配置。 ER：表示将VPC子网流量路由至ER，本示例中系统自动在VPC路由表中增加三个VPC的网段10.0.0.0/8、172.16.0.0/12、192.168.0.0/16，路由信息如表3所示。 中心网络 将不同区域的ER添加在云连接中心网络中。 购买全域互联带宽，配置连通不同区域的全域互联带宽值。 ER 区域A、区域B和区域C下的ER组网配置相同，路由信息如表4所示。 当使用中心网络连通ER时，必须开启ER的“默认路由表关联”和“默认路由表传播”功能，那么在ER中添加连接时，系统会自动添加ER指向连接的路由，无需手动添加。 ECS ECS分别位于不同的VPC内，VPC中的ECS如果位于不同的安全组，需要在安全组中添加规则放通其他安全组的网络。 表3 VPC路由表 目的地址 下一跳 路由类型 10.0.0.0/8 企业路由器 静态路由：自定义 172.16.0.0/12 企业路由器 静态路由：自定义 192.168.0.0/16 企业路由器 静态路由：自定义 如果您在创建连接时开启“配置连接侧路由”选项，则不用手动在VPC路由表中配置静态路由，系统会在VPC的所有路由表中自动添加指向ER的路由，目的地址固定为10.0.0.0/8，172.16.0.0/12，192.168.0.0/16。 如果VPC路由表中的路由与这三个固定网段冲突，则会添加失败。此时建议您不要开启“配置连接侧路由”选项，并在连接创建完成后，手动添加路由。 不建议在VPC路由表中将ER的路由配置为默认路由网段0.0.0.0/0，如果VPC内的ECS绑定了EIP，会在ECS内增加默认网段的策略路由，并且优先级高于ER路由，此时会导致流量转发至EIP，无法抵达ER。 表4 ER路由表 企业路由器 目的地址 下一跳 路由类型 区域A：ER-A VPC-A网段：172.16.0.0/16 VPC连接：er-attach-VPC-A 传播路由 VPC-B网段：192.168.0.0/16 Peering连接：region-A-region-B 传播路由 VPC-C网段：10.0.0.0/16 Peering连接：region-A-region-C 传播路由 区域B：ER-B VPC-B网段：192.168.0.0/16 VPC-B连接：er-attach-VPC-B 传播路由 VPC-A网段：172.16.0.0/16 Peering连接：region-B-region-A 传播路由 VPC-C网段：10.0.0.0/16 Peering连接：region-B-region-C 传播路由 区域C：ER-C VPC-C网段：10.0.0.0/16 VPC-C连接：er-attach-VPC-C 传播路由 VPC-A网段：172.16.0.0/16 Peering连接：region-C-region-A 传播路由 VPC-B网段：192.168.0.0/16 Peering连接：region-C-region-B 传播路由

方案架构 为了实现业务的就近接入，XX企业在华为云区域A、区域B以及区域C内均部署了业务，承载业务的不同VPC之间需要网络互通。 在三个区域中，分别创建三个企业路由器ER，包括区域A的ER-A、区域B的ER-B以及区域C的ER-C。 创建云连接中心网络，并在云连接中心网络中加入ER-A、ER-B以及ER-C，连通不同区域的企业路由器。 在区域A内，将VPC-A01和VPC-A02接入ER内，实现同区域内VPC互通。在区域B和区域C进行同样的操作。最终，通过中心网络和企业路由器，实现不同区域的VPC网络互通。 图1 跨区域VPC互通组网 您可以使用企业路由器的共享功能，将不同账号下的虚拟私有云添加至同一个企业路由器中构建组网。

配置验证 查看上海一TransitVPC的路由表： 图11 上海一TransitVPC的路由表 查看上海一生产业务VPC的路由表： 图12 上海一生产业务VPC的路由表 查看上海一办公业务VPC的路由表： 图13 上海一办公业务VPC的路由表 查看广州TransitVPC的路由表： 图14 广州TransitVPC的路由表 查看广州生产业务VPC的路由表： 图15 广州生产业务VPC的路由表 查看广州办公业务VPC的路由表： 图16 广州办公业务VPC的路由表 从上海一生产VPC的ECS去ping广州生产VPC的ECS。 图17 海一生产VPC的ECS ping广州生产VPC的ECS 从上海一办公VPC的ECS去ping广州办公VPC的ECS。 图18 上海一办公VPC的ECS ping广州办公VPC的ECS