多 VPC 集中出口与源地址转换参考架构

1. 用途和受众

1.1 预期用途

• 指导华为云上多 VPC 集中出口网络架构的设计和开发。
• 为售前、解决方案设计、实施和审查提供可重用的架构模式。
• 作为解决方案手册、交付包或实际部署的架构基础。
• 定义安全性、可靠性、性能、成本、运营和合规性护栏。

1.2 目标受众

• 华为云 VPC 用户和网络架构师；
• 多 VPC 环境下需要统一互联网出口和流量审计的企业网络运维团队；
• 关注 VPC 间网络隔离、希望防止横向攻击的安全合规团队。

2. 参考架构概述

2.1 架构描述

本架构是一种多 VPC 集中出口网络架构。其核心目标是让多个工作负载 VPC 中的 ECS 实例通过统一的出口路径访问互联网，同时禁止 VPC 之间的互相通信，实现网络隔离 + 集中出口 + 源地址转换三位一体的安全控制。架构采用 5 层 + 公共服务 + 流程栏的布局，通过企业路由器（ER）集中路由，NAT 网关执行源地址转换，对外只暴露一个公网 IP。

2.2 业务背景

2.3 架构优点

2.4 设计关注点

2.5 典型架构

典型架构图

架构采用 5 层 + 公共服务 + 流程栏的布局：

2.6 流程描述

架构右侧流程栏按编号标注了完整的流量路径：

[ECS-A] ──┐
           ├──①──> [子网路由表] ──②──> [ER 附件] ──③──> [ER 企业路由器]
[ECS-B] ──┘                                                        │
                                                                    ③
                                                                    ▼
[Internet] <──⑦── [EIP + IGW] <──⑥── [NAT 网关] <──⑤── [出口VPC路由表] <──④── [出口 VPC]
                                         │
                                         ⑤ SNAT: 私有IP → 公网IP

2.7 云服务产品清单

3. 参考链接

• 产品文档：https://support.huaweicloud.com/productdesc-vpc/zh-cn_topic_0030969290.html
• 实施指南：https://support.huaweicloud.com/usermanual-er/er_01_0001.html
• 源代码或 IaC：
• 操作手册：
  

4. 使用限制

• 企业路由器（ER）目前不支持跨 region 附件，所有 VPC 需在同一 region 内。
• NAT 网关的 SNAT 规则数量有上限，超大规模部署需评估配额。
• VPC 间通信被完全禁止，如有选择性互通需求需额外配置 ER 路由策略。

附录 A. 术语和缩略语