腾讯云服务器内网互通：对等连接、云联网 CCN 与 VPN 网关怎么选

两个 VPC 里的腾讯云服务器互相 ping 不通，是新手最常遇到、也最容易被误导的一件事。有人第一反应是去加安全组规则，有人反复改子网，其实默认状态下 VPC 之间本来就不通。要把腾讯云服务器内网互通做扎实，先得分清对等连接、云联网 CCN 和 VPN 网关各自管什么，各自又卡在哪里。

说句实在话，内网互通这件事，配通只占两成工作量，剩下的八成都在"确认前提"和"排障"上。我经手过的工单里，真正需要重建拓扑的很少，绝大多数是前提没核清就动手改，越改越乱。

VPC 默认隔离：不通才是默认状态

腾讯云每个账号下可以创建多个 VPC（私有网络），每个 VPC 有自己的网段（CIDR），默认彼此隔离。同一 VPC 内的云服务器 CVM（行业里常叫 ECS）在安全组放行的前提下走内网地址互通，跨 VPC 则必须显式建立通道。这层隔离是设计出来的，不是故障。我见过太多人在工单里写"内网不通"，一查发现两台机器压根不在同一个 VPC，甚至不在同一个地域。

三个概念要先钉死：VPC 是网段边界，子网是 VPC 内的地址段划分，路由表决定流量往哪走。跨 VPC 互通，本质是在双方的 VPC 路由表里都写上"去往对方网段的下一跳"。只配一侧，另一侧没有回程路由，包出得去、回不来，现象就是超时。

还有一个隐藏前提：两个 VPC 的网段不能重叠。比如两边都用了 10.0.0.0/16，对等连接根本建不起来，云联网也会直接拒绝这类挂载。这是排障时第一个要核对的点，也是最贵的一个坑——网段规划错了，后期改子网可能要迁实例。

对等连接：同账号与跨账号的差别

对等连接（Peering Connection）是最轻量的方案，两个 VPC 点对点互联，不经过公网。同账号下建对等连接，发起方填自己的 VPC 和对端 VPC 即可；跨账号则需要对方账号 ID 和 VPC ID，并且对端账号必须接受这条连接请求，否则一直挂在"待接受"状态。

对等连接最大的坑是"只配一半"。完整动作是四步：发起连接、对端接受、本端 VPC 路由表加对端网段、对端 VPC 路由表加本端网段，少一步都不通。我印象最深的一次，一个客户只做了前两步，安全组全放开也没用，最后发现两边路由表都没写。他们排查了两个小时，其实按清单核对五分钟就能定位。

对等连接的适用边界很清楚：连接数少、拓扑简单、网段不重叠。它不通达传递——A 对 B、B 对 C 各建了对等连接，A 和 C 之间还是不通，因为对等连接不转发第三方流量。VPC 数量一多，两两互联的连接数按组合增长，管理成本迅速失控。

另外要留意的两件事：一是跨地域对等连接与同地域对等连接的计费口径不同，跨地域通常按流量计费，而很多人在选型时只看了同地域的免费部分；二是对等连接建立后，双方路由表里的下一跳对端网段要写完整的 VPC 网段，而不是某个子网网段，写错范围的典型症状是"部分地址能通、部分地址不通"，排查起来更费劲。

云联网 CCN：VPC 一多就得换思路

云联网（CCN）解决的正是对等连接的规模问题。把多个 VPC、多个地域、甚至 IDC 都挂到同一个云联网实例下，实现全互联，任何一个网络实例都能访问其他实例，不需要两两建连。它自带一张全局路由表，路由冲突时按网段最长匹配和优先级选路，路由管理比手工维护对等连接清晰得多。

云联网有几个必须知道的细节。第一，网段仍然不能重叠，重叠网段挂进去会导致路由不可达。第二，云联网的跨地域流量按带宽或流量计费，限速是在云联网侧做的，不是靠实例的带宽规格。第三，地域内互通和跨地域互通的计费口径不一样，跨地域那部分才是花钱的大头。很多人以为"上了云联网就全走内网免费"，账单一出才发现跨地域流量另算。

我的经验是：三五个 VPC 以内、拓扑稳定，对等连接够用且便宜；一旦涉及多地域、多账号、还要接 IDC，直接上云联网，别硬撑。云联网的运维心智负担低很多，后面加一个 VPC 只是"挂载"一下，不用重新排线。这个判断标准我在给客户做选型时说得最多。

还有一点值得提前想：云联网的带宽上限可以按地域对设置，也可以先只做限速不做带宽包、按实际用量计费。对流量波动大的业务，先按量跑一两个月拿到真实曲线，再决定要不要买带宽包，通常比一开始就锁死带宽更省。这个决策顺序反过来做，往往要付额外的调整成本。

VPN 网关与专线：连 IDC 才值得上的方案

如果互通的一端是客户自己的机房（IDC），对等连接和云联网都帮不上，因为它们只连腾讯云内部的网络实例。这时要用 VPN 连接（IPsec VPN）或云专线。VPN 网关走公网加密封装，成本低、开通快，但延迟和抖动受公网影响，适合中小流量、能容忍波动的同步或管理通道。云专线走物理线路，延迟稳定、带宽独享，适合核心业务和数据库主从这类对稳定性敏感的场景，代价是开通周期长、费用高。

VPN 网关的常见坑有两个：一是两端网段重叠，IPsec 会直接失败；二是两端加密参数（IKE 版本、加密算法、DHCP 模式、预共享密钥）不一致，表现为隧道能建起来但流量不通。我一般让客户先把两端参数列成一张对照表逐行核对，比盲目改配置快得多。这里没有捷径，参数就是参数。

安全组、子网 ACL 与实例防火墙的方向性

通道打通只是第一步，流量能不能进，还要过三层"门禁"：子网 ACL、安全组、实例自身的防火墙（Linux 上的 iptables/firewalld，或 Windows 防火墙）。

子网 ACL 是子网级的无状态规则，出和入要分别配，且不记录连接状态，回来方向的端口得单独放行。安全组是有状态的，放行了请求方向，回包自动放行，这恰恰是很多人误配的来源——他们按 ACL 的思路去配安全组反方向，反而多此一举。实例防火墙是最后一道，也最容易被忽略：安全组开了 3306，但机器上 iptables 拦了，照样连不上。三层里任何一层没放行，前面配得再对也白搭。

跨 VPC 的场景里，安全组要放行的是对端 VPC 的整个网段，而不是单个 IP。只写对端某台机器的地址，扩容后新实例立刻不通，这是运维里反复出现的低级错误。

互通之后：内网流量免费这件事的价值

很多人只把内网互通当"能连上"的功能，忽略了它的成本意义。同地域内网互通走的是内网地址，不消耗公网出流量，也不占用公网带宽。对于跨 VPC 调用的场景——比如 A VPC 里的应用读 B VPC 里的数据库、缓存，或往对象存储写数据——把接口从公网换成内网，是实打实省钱。

这里要区分清楚：同地域内网互通，通常不产生公网流量费；云联网跨地域互通，按云联网的跨地域带宽计费；VPN 走公网，流量算在公网出口上。别把三者的账算混了。判断"要不要上云联网"时，先算跨地域流量的规模和账，再决定拓扑，比先搭好再算账理性得多。

排障顺序与分层验证

内网不通，别乱改，按固定顺序查：先确认两个实例是否在互通的网络内（同 VPC，或已建立连接），再核对网段是否重叠，然后看双方路由表有没有对端网段，接着查安全组和子网 ACL 的方向，最后看实例防火墙。

验证要分层做，一层一层往上：ping 测三层连通性，mtr 或 tracert 看路径在哪一跳断（能区分是路由没写还是被中间设备丢包），telnet 目标地址 端口 测四层端口可达，最后才查应用服务本身。端口不通但 ping 通，基本锁定安全组或防火墙；ping 就不通，先回去查路由。这套顺序能省掉大半无效尝试。

排障时还有一个动作容易被跳过：确认对端实例内网 IP 用的是主网卡地址还是辅助网卡地址。部分实例绑定了多张网卡，回包可能走非预期的那张，表现为"偶尔通、偶尔不通"，这种间歇性故障最耗时间。另外看 mtr 结果也有讲究——如果第一跳之后就不通，基本是路由问题；如果一路通到对端网段、只在最后一跳丢包，多半是安全组或实例防火墙在拦。

方案 适用场景 网段要求 带宽与计费 配置复杂度

对等连接 少量 VPC 点对点、同账号或跨账号 两端网段不可重叠 同地域内网流量通常免费 低，需双方都配路由

云联网 CCN 多 VPC、多地域、多账号全互联 挂载实例网段不可重叠 跨地域按带宽或流量计费 中，一次挂载长期受益

IPsec VPN 网关 云上连 IDC、临时或中小流量 两端网段不可重叠 走公网，含公网出口流量 中，加密参数需两端一致

云专线 云上连 IDC、核心业务与稳定时延 两端网段不可重叠 独享电路，费用与周期高 高，需运营商配合

云联网加专线组合 混合云统一编排、多站点长期演进 全网段规划要提前定 按云联网跨地域口径计费 中高，规划重于配置

FAQ

Q：对等连接建好了，为什么还是 ping 不通？

A：按四步核对：对端是否已接受、本端路由表是否加了对端网段、对端路由表是否加了本端网段、安全组和子网 ACL 是否放行对端网段。绝大多数情况是路由表只配了一侧。

Q：两个 VPC 网段重叠了怎么办？

A：对等连接和云联网都不支持重叠网段。只能重建其中一个 VPC 的子网段，或改用中间实例做地址转换这类变通方案。这个成本在规划阶段就该避免，事后改很麻烦。

Q：对等连接和云联网到底该选哪个？

A：看规模。三五个 VPC、拓扑基本不动，对等连接够用且省；只要出现多地域、多账号，或预期长期扩展，直接上云联网，避免两两建连的管理爆炸。

Q：内网互通后还会产生公网流量费吗？

A：同地域内网互通走内网地址，通常不产生公网出流量费；但云联网跨地域部分按跨地域带宽计费，VPN 走公网也计入公网流量。要按具体场景分别判断，别一概而论。

Q：跨 VPC 访问数据库，安全组怎么配最省事？

A：放行对端 VPC 的整个网段而非单 IP，避免扩容后新实例不通。同时确认对方实例的系统防火墙也放行，安全组和系统防火墙是两层，缺一不可。

结语

落地建议只有三条。第一，动手前先画一张网段规划表，把所有 VPC、子网、IDC 网段列出来确认不重叠，这一步省下的返工最多。第二，配完连接立刻双向验证：从 A ping B，再从 B ping A，只测单向等于没测。第三，把排障顺序固化成清单——网络归属、网段、路由、安全组与 ACL、实例防火墙、分层命令，按顺序走，别跳步。VPC 数量预计会增长，就早点上云联网；只是一两个点对点，对等连接更划算。如果同时用到多个账号或多个地域，找熟悉腾讯云组网的腾讯云代理做一次网段和路由的整体规划，比事后收拾烂摊子便宜得多。

如果需要更深入咨询了解可以联系全球代理上TG:jinniuge 他们在云平台领域有更专业的知识和建议，他们有国际阿里云，国际腾讯云，国际华为云，aws亚马逊，谷歌云一级代理的渠道，客服1V1服务，支持免实名、免备案、免绑卡。开通即享专属VIP优惠、充值秒到账、官网下单享双重售后支持。不懂找他们就对了。