# 整体网络架构
Landing Zone的整体网络架构设计如下图所示。网络运营账号作为Landing Zone的网络枢纽，该账号集中管理多账号的边界网络出入口，并打通多账号下VPC之间的网络。在网络运营账号下集中部署企业路由器（Enterprise Router, ER），通过ER连通各账号下的VPC网络，从而实现多账号共享使用VPN和云专线与线下IDC互通，也能实现多账号共享使用公网NAT网关与互联网通信，还能共享使用云连接与其他Region进行互通。
在该账号下统一管理网络资源，一方面可以减少管理工作量，另外也有利于制定和实施统一的网络安全策略，例如统一部署面向互联网连接的DDoS高防、云防火墙CFW、WAF等安全资源并统一配置具体的安全防护策略。
图1-- 整体网络架构   
![](https://support.huaweicloud.com/usermanual-caf/zh-cn_image_0000002142203170.png "点击放大")
Landing Zone的网络架构规划了四个逻辑网络分区：骨干互联区、公网接入区、业务部署区、公共服务和管理区。
#### 骨干互联区主要功能
- 集中部署企业路由器（ER），为云上云下互联、云上多账号多VPC互联、云上跨Region互联构建网络枢纽。
- 集中部署VPN或专线与本地数据中心互联，打通云上云下互联的通道，所有账号都可以共享使用VPN或专线与本地数据中心通信。
- 集中部署云连接（Cloud Connect，CC）与华为云其他的Region进行网络互联，所有账号都可以共享使用CC与其他Region通信。
- 集中部署VPN与第三方云进行网络互联，所有账号都可以共享使用VPN与其第三方云通信。
 
#### 公网接入区主要功能
- 集中设置DMZ区，部署和维护NATG、EIP、Proxy服务器和ELB等资源，为其他账号提供面向互联网的网络接入能力。
- 部署WAF、CFW、Anti-DDoS等安全服务集中保护互联网连接资源。
- 暴露明确的IP地址和端口，屏蔽其他端口，终结公网连接。
 
#### 业务部署区主要功能
- 根据业务系统的需要创建VPC和子网，部署各种业务系统所需的云资源。
- 按照生产、开发和测试等运行环境划分不同的VPC。

- 按照应用架构分层划分Web、应用、数据等子网。
 
#### 公共服务和管理区主要功能
- 根据公共服务和IT管理系统的需要创建VPC和子网，用于部署公共服务和IT管理系统所需的云资源。公共服务包括AD、DNS、文件系统、OBS桶、数据平台等；IT管理系统包括运维管理系统、安全管理系统等。
- 按照生产、开发和测试等运行环境划分不同的VPC。

- 按照应用架构分层划分Web、应用、数据等子网。
 
上述网络架构的核心是网络运营账号，作为连接其他账号的网络枢纽，其他账号之间的通信必须通过该账号的ER进行。ER可以通过设置路由规则决定哪些VPC之间的网络可以连通，华为云基于以下假设并根据各个账号的职责梳理各个账号下VPC之间的连通性矩阵，据此则可以在ER上设置对应的路由规则。
- 运维监控账号需要运维第三方云和本地DC中的资源；
- 安全运营账号需要到公网获取系统补丁包；
- 数据平台需要获取第三方云和本地DC的数据；
- DevOps账号需要从Github下载代码，需要将软件制品部署到各个业务账号；
- 公共服务账号需要与本地IDC互联；
- 生产、开发、测试环境要求网络隔离。
图2各账号VPC网络的连通性矩阵   
![](https://support.huaweicloud.com/usermanual-caf/zh-cn_image_0000002142361218.png "点击放大")
日志账号是集中存放审计日志和运行日志的地方，主要使用了华为云的CTS服务、LTS服务和OBS服务，该三个服务没有租户面IP地址，所以不需要考虑与其他账号的VPC进行互通。沙箱账号是一个允许客户任意测试华为云资源和控制策略的地方，包括VPC的功能测试以及与其他账号之间连通性测试，所以也不需要预先在ER中配置与其他账号的连通性。
前期规划业务账号时，如果是一个业务系统对应一个独立的账号，并且不需要严格隔离生产环境和非生产环境，那么我们建议在该账号为业务系统的不同运行环境创建独立的VPC：生产VPC、开发VPC、测试VPC，VPC之间彼此隔离。每个VPC至少部署二个子网：应用子网和数据子网，分别对应业务系统的应用层和数据层。子网之间使用网络ACL进行访问控制，还可以将云主机、RDS等资源放入到安全组，通过安全组规则进行实例级别的访问控制。业务系统的应用服务器集群可以跨可用区部署，实现应用层的高可用；再使用华为云跨可用区的主备数据库集群和缓存集群实现数据层的高可用。如下图所示：
图3业务账号内的网络规划：一个业务系统对应一个子账号   
![](https://support.huaweicloud.com/usermanual-caf/zh-cn_image_0000002177562261.png "点击放大")
针对多个业务系统共用一个子账号的场景，在该账号中同样建议创建三个独立的VPC：生产VPC、开发VPC、测试VPC，VPC之间彼此隔离。这些业务系统共同部署在这几个VPC中，不同的业务系统通过子网隔离，每个业务系统也都有独立的应用子网和数据子网，为这些子网创建ACL，以控制不同子网之间的内部网络流量。如下图所示：
图4业务账号内的网络规划：多个业务系统共用一个子账号   
![](https://support.huaweicloud.com/usermanual-caf/zh-cn_image_0000002177520653.png "点击放大")