# 规划组网和资源 通过企业路由器构建同区域VPC流量清洗组网，您需要规划组网和资源： - [规划组网]：规划VPC及其子网的网段、VPC路由表和ER路由表信息。 - [规划资源]：规划云上资源的数量、名称以及主要参数等信息，云上资源包括VPC、ECS以及ER。 #### 规划组网 同区域VPC流量清洗组网规划如[图1]所示，将3个VPC接入ER中，组网规划说明如[表2]所示。 图1同区域VPC流量清洗组网规划 ![](https://support.huaweicloud.com/bestpractice-er/zh-cn_image_0000001170208664.png) 表1网络流量路径说明 | 路径 | 说明 | |:---|:---| | 请求路径：VPC1→VPC2 | 1. 在VPC1路由表中，通过下一跳为ER的路由将流量转送到ER。 2. VPC1关联的是ER路由表1，在ER路由表1中，通过下一跳为VPC3连接的静态路由将流量转送到VPC3。 3. VPC3有两个子网，分别关联了ECS3的两个网卡： 1. 子网1的eth0网卡接收流量。在VPC3默认路由表中，通过下一跳为ECS3的路由，以及ECS内核配置，将流量从eth0网卡转送到eth1网卡。 2. 子网2的eth1网卡通过防火墙清洗并送出流量。在VPC3自定义路由表中，通过下一跳为ER的路由，将清洗后的流量转送到ER。 4. VPC3关联的是ER路由表2，在ER路由表2中，通过下一跳为VPC2连接的传播路由将流量送达VPC2。 | | 响应路径：VPC2→VPC1 | 1. 在VPC2路由表中，通过下一跳为ER的路由将流量转送到ER。 2. VPC2关联的是ER路由表1，在ER路由表1中，通过下一跳为VPC3连接的静态路由将流量转送到VPC3。 3. VPC3有两个子网，分别关联了ECS3的两个网卡： 1. 子网1的eth0网卡接收流量。在VPC3默认路由表中，通过下一跳为ECS3的路由，以及ECS内核配置，将流量从eth0网卡转送到eth1网卡。 2. 子网2的eth1网卡通过防火墙清洗并送出流量。在VPC3自定义路由表中，通过下一跳为ER的路由，将清洗后的流量转送到ER。 4. VPC3关联的是ER路由表2，在ER路由表2中，通过下一跳为VPC1连接的传播路由将流量送达VPC1。 | 表2同区域VPC流量清洗组网规划说明 | 资源 | 说明 | |:---|:---| | VPC | - VPC1和VPC2的互访流量需要通过VPC3部署的防火墙清洗。 - VPC网段（CIDR）不能重叠。 本示例中，ER路由表使用的是"虚拟私有云（VPC）"连接的传播路由，由ER自动学习VPC网段作为目的地址，不支持修改，因此重叠的VPC网段会导致路由冲突。 如果您已有的VPC存在网段重叠，则不建议您使用传播路由，请在ER路由表中手动添加静态路由，目的地址可以为VPC子网网段或者范围更小的网段。 - VPC1和VPC2各有一个默认路由表。 - VPC3有两个子网，子网1关联默认路由表，子网2关联自定义路由表。 - VPC默认路由表中的路由说明如下： - local：表示VPC本地IPV4的默认路由条目，用于VPC内子网通信，系统自动配置。 - ER：表示将VPC子网流量路由至ER，自定义路由，建议网段为0.0.0.0/0，路由信息如[表3]所示。 - ECS3：表示将VPC子网流量路由至ECS3，自定义路由，路由表信息如[表4]所示。 | | ER | 不开启"默认路由表关联"和"默认路由表传播"功能，手动创建两个路由表，并添加3个"虚拟私有云（VPC）"连接，路由表作如下配置： - 路由表1：关联VPC1连接和VPC2连接，并在路由表1中创建VPC3连接的静态路由，路由信息如[表5]所示。 - 路由表2：关联VPC3连接，并在路由表2中创建VPC1连接和VPC2连接的传播，路由自动学习VPC网段，路由信息如[表6]所示。 | | ECS | - 3个ECS分别位于不同的VPC内，VPC中的ECS如果位于不同的安全组，需要在安全组中添加规则放通对端安全组的网络。 - ECS3部署了第三方防火墙，共有两个网卡，分别关联VPC3的不同子网。 | 表3VPC1和VPC2路由表、VPC3自定义路由表 | 目的地址 | 下一跳 | 路由类型 | |:---|:---|:---| | 10.0.0.0/8 | 企业路由器 | 静态路由：自定义 | | 172.16.0.0/12 | 企业路由器 | 静态路由：自定义 | | 192.168.0.0/16 | 企业路由器 | 静态路由：自定义 | ![](https://support.huaweicloud.com/bestpractice-er/public_sys-resources/note_3.0-zh-cn.png) - 如果您在创建连接时开启"配置连接侧路由"选项，则不用手动在VPC路由表中配置静态路由，系统会在VPC的所有路由表中自动添加指向ER的路由，目的地址固定为10.0.0.0/8，172.16.0.0/12，192.168.0.0/16。 - 如果VPC路由表中的路由与这三个固定网段冲突，则会添加失败。此时建议您不要开启"配置连接侧路由"选项，并在连接创建完成后，手动添加路由。 - 对于VPC3的连接，不建议开启"配置连接侧路由"选项，VPC3默认路由表中不能添加指向ER的路由。 - 不建议在VPC路由表中将ER的路由配置为默认路由网段0.0.0.0/0，如果VPC内的ECS绑定了EIP，会在ECS内增加默认网段的策略路由，并且优先级高于ER路由，此时会导致流量转发至EIP，无法抵达ER。 表4VPC3默认路由表 | 目的地址 | 下一跳 | 路由类型 | |:---|:---|:---| | 10.1.0.0/16 | 服务器实例 | 静态路由：自定义 | | 10.2.0.0/16 | 服务器实例 | 静态路由：自定义 | 表5ER路由表1 | 目的地址 | 下一跳 | 路由类型 | |:---|:---|:---| | 0.0.0.0/0 | VPC3连接：er-attach-inspection | 静态路由 | 表6ER路由表2 | 目的地址 | 下一跳 | 路由类型 | |:---|:---|:---| | VPC1网段：10.1.0.0/16 | VPC1连接：er-attach-01 | 传播路由 | | VPC2网段：10.2.0.0/16 | VPC2连接：er-attach-02 | 传播路由 | #### 规划资源 企业路由器ER、虚拟私有云VPC、弹性云服务器ECS只要位于同一个区域内即可，可用区可以任意选择，不用保持一致。 ![](https://support.huaweicloud.com/bestpractice-er/public_sys-resources/note_3.0-zh-cn.png) 以下资源规划详情仅为示例，您可以根据需要自行修改。 - 企业路由器ER：1个，资源规划详情如[表7]所示。 表7ER资源规划详情 | ER名称 | AS号 | 默认路由表关联 | 默认路由表传播 | 路由表 | 连接 | |:---|:---|:---|:---|:---|:---| | er-test-01 | 64512 | 关闭 | 关闭 | 2个路由表： - [er-rtb-01] - [er-rtb-02] | er-attach-01 | | er-test-01 | 64512 | 关闭 | 关闭 | 2个路由表： - [er-rtb-01] - [er-rtb-02] | er-attach-02 | | er-test-01 | 64512 | 关闭 | 关闭 | 2个路由表： - [er-rtb-01] - [er-rtb-02] | er-attach-inspection | 表8ER路由表1资源规划详情 | 路由表名称 | 关联连接 | 静态路由 | |:---|:---|:---| | er-rtb-01 | er-attach-01 | er-attach-inspection | | er-rtb-01 | er-attach-02 | er-attach-inspection | 表9ER路由表2资源规划详情 | 路由表名称 | 关联连接 | 传播 | |:---|:---|:---| | er-rtb-02 | er-attach-inspection | er-attach-01 | | er-rtb-02 | er-attach-inspection | er-attach-02 | - 虚拟私有云VPC：3个，VPC的网段不能重复，资源规划详情如[表10]所示。 表10VPC资源规划详情 | VPC名称 | VPC网段 | 子网名称 | 子网网段 | 关联路由表 | |:---|:---|:---|:---|:---| | vpc-demo-01 | 10.1.0.0/16 | subnet-demo-01 | 10.1.0.0/24 | 默认路由表 | | vpc-demo-02 | 10.2.0.0/16 | subnet-demo-02 | 10.2.0.0/24 | 默认路由表 | | vpc-inspection | 192.168.0.0/16 | subnet-inspection-01 | 192.168.0.0/24 | 默认路由表 | | vpc-inspection | 192.168.0.0/16 | subnet-inspection-02 | 192.168.1.0/24 | 自定义路由表 | - 弹性云服务器ECS：3个，分别接入3个不同的VPC，资源规划详情如[表11]和[表12]所示。 表11ECS1和ECS2资源规划详情 | ECS名称 | 镜像 | VPC名称 | 子网名称 | 安全组 | 私有IP地址 | |:---|:---|:---|:---|:---|:---| | ecs-demo-01 | 公共镜像： CentOS 8.0 64bit | vpc-demo-01 | subnet-demo-01 | sg-demo： 通用Web服务器 | 10.1.0.113 | | ecs-demo-02 | 公共镜像： CentOS 8.0 64bit | vpc-demo-02 | subnet-demo-02 | sg-demo： 通用Web服务器 | 10.2.0.175 | 表12ECS3资源规划详情 | ECS名称 | 镜像 | 网卡 | VPC名称 | 子网名称 | 安全组 | 私有IP地址 | |:---|:---|:---|:---|:---|:---|:---| | ecs-inspection | 公共镜像： CentOS 8.0 64bit | eth0 | vpc-inspection | subnet-inspection-01 | sg-demo： 通用Web服务器 | 192.168.0.21 | | ecs-inspection | 公共镜像： CentOS 8.0 64bit | eth1 | vpc-inspection | subnet-inspection-02 | sg-demo： 通用Web服务器 | 192.168.1.22 |