三个 VPC 怎么内网互通？对等连接、云连接和企业路由器的一次讲透

账号里有生产、测试、办公三个 VPC，想走内网互通而不是绕公网——这是个非常典型的组网题。网上资料零散，这篇把选型逻辑、三个高频疑问和落地步骤一次讲透。

一、先给结论：怎么选

同区域内的三个 VPC 互通，对等连接（Peering）就够，配三条即可。

跨区域的 VPC 互通，用云连接 CC。

未来要接更多 VPC、IDC，或者需要集中式路由管理，上企业路由器 ER。

二、对等连接最容易踩的三个坑

第一个坑：非传递性。这是对等连接最反直觉的特性。A-B 建了 peering，B-C 也建了 peering，A 和 C 并不会因此自动互通。对等连接只连两端，不传递。所以三个 VPC 全互通需要配三条：生产连测试、生产连办公、测试连办公。配两条想省事，结果一定有一对打不通。

第二个坑：只建连接不配路由。对等连接建立后状态是"已激活"，但流量不会自己走。必须在两端 VPC 的路由表里各加一条指向对端网段的路由。很多人卡在"peering 明明显示正常但 ping 不通"，九成是路由没配。

第三个坑：路由表关联。华为云 VPC 的路由是"子网关联路由表"生效的。路由配在了默认路由表，但目标子网关联的是自定义路由表——等于白配。配置后务必确认每个子网关联的路由表都包含对端网段的路由。

三、对等连接和云连接 CC 的核心差别

范围：对等连接只做同区域 VPC 之间；云连接 CC 做跨区域，还能打通线下 IDC。

带宽：对等连接走区域内部网络，没有额外带宽费用；CC 需要购买带宽包，按带宽计费。

拓扑能力：对等连接是点对点；CC 是把多个 VPC 和 IDC 挂到同一个实例上集中交换。

一句话决策：同区域用 peering（免费且够用），一旦跨区域就上 CC。

四、三个高频疑问

疑问一：网段重叠还能打通吗？

对等连接：不能。两端 VPC 网段（含子网）重叠时会直接拒绝创建，或者路由无法下发。解决方案只有两个：要么规划不重叠网段（推荐按环境切分，比如生产用 10.1.0.0/16、测试用 10.2.0.0/16、办公用 10.3.0.0/16），要么通过 NAT 做地址转换后再互通——后者复杂度和维护成本都高，除特殊场景外不如迁移网段。

疑问二：跨账号的 VPC 互通支持吗？

支持。对等连接可以跨账号创建：账号 A 发起创建，指定账号 B 的 VPC，B 在控制台"接受"请求后生效。前提依然是网段不重叠、两边都配路由。如果是多账号大规模组网，更推荐两个账号的 VPC 都挂到同一个云连接 CC 实例上，集中管理比两两配 peering 清爽得多。

疑问三：打通了但 ping 不通？

按顺序查三样。第一查路由：两端 VPC 路由表是否有对端网段，子网是否关联了正确路由表。第二查安全组：华为云安全组默认组间隔离，没放通对端网段就是不通。第三查 ACL：网络 ACL 若在子网上生效，确认规则放通。三样都正常还不通，再看对端服务器自身的防火墙。

五、落地步骤（同区域三 VPC 全互通）

第一步，核对三个 VPC 的 CIDR 是否重叠。控制台 VPC 列表可以直接看。

第二步，创建三条对等连接：生产到测试、生产到办公、测试到办公。

第三步，配路由。每条 peering 两端各配一条对端网段路由。三个 VPC 意味着每个 VPC 要配两条（指向另外两个 VPC 的网段）。

第四步，确认子网关联的路由表覆盖了新路由。有自定义路由表的 VPC 重点检查。

第五步，安全组放通。三个 VPC 的安全组互放对端网段。

第六步，验证。在其中两个 VPC 里各起一台 ECS，互 ping 对端私网 IP，三个方向都通才算完成。

整个过程配置类操作二十分钟内可以完成，难点全在规划：网段切分和路由表设计提前想清楚，后面就是体力活。

六、附：ER 什么时候值得上

当 VPC 数量增长到七八个以上，两两配 peering 的连接数是 n(n-1)/2 级别增长，管理成本开始失控；或者需要 VPC 和 IDC 混合组网、集中管控路由——这时候把 VPC 都挂到企业路由器 ER 上，路由集中分发、转发灵活，还支持更复杂的拓扑。三个 VPC 的规模上 ER 属于过度设计，但值得作为演进方向记着。

网络打通从来不是点一下按钮的事，但把"非传递、要配路由、查关联"这三件事记牢，VPC 互通的问题基本都能自己排掉。