网络服务选型指南

业务规模需求

业务规模和网络规模之间有着密切的相关性，您可以明确网络的规模，根据需求和规模进行组网。网络产品使用的核心是网络规划，这将决定您后续的网络维护复杂度，良好的网络规划将让您的后续网络维护更简单。

网络规划必须考虑到现有业务的规模和未来的扩展需求，以确保网络架构能够支持企业操作的有效性和效率。您可以考虑如下因素：

• 地域和可用区规划：在同一地域内可用区与可用区之间内网互通，可用区之间能做到故障隔离。同一可用区内实例之间的网络延时更小，其用户访问速度更快。如何选择地域和可用区？建议从如下几个维度考虑。

  考虑因素	选择说明
  业务场景对时延的要求	业务最终服务的用户和资源部署地域的距离越近，网络时延越低，访问速度越快。 说明 您可通过如下网络智能服务工具，可视化查看网络访问性能： 查看阿里云不同地域之间的网络时延 查看阿里云同地域可用区之间的网络时延 查看中国各地区互联网访问阿里云地域网络时延 查看全球各地区互联网访问阿里云地域网络时延
  高可用和容灾	如果您的应用需要较高的容灾能力，建议您将实例部署在不同地域或者同一地域的不同可用区内。
  成本	不同地域的云服务价格可能会有所不同，建议您根据预算选择合适的地域。 您可以通过价格计算器估算云产品价格，下载选配清单，助您高效采购。
  服务支持的地域和可用区	并非阿里云所有服务在每个地域/可用区都可用，建议您在选择地域/可用区时，确保云服务可用。

• 网段规划：专有网络是地域级的资源，交换机是可用区级的资源，一个交换机可以看作一个划分出的子网。在创建专有网络和交换机时，您需要指定专有网络和交换机的网段。网段的大小不仅决定了可部署多少云资源也关系到不同网络之间能否互通。关于专有网络和交换机的网段规划，有如下规划建议：

  • 推荐在专有网络中使用RFC 1918定义的私有IPv4地址空间，专有网络的IPv4地址空间推荐使用/16掩码，若专有网络容量需要扩容，建议通过附加网段进行扩容。

  • 考虑到未来扩展，建议您选择一个足够大的CIDR块，以便为未来可能需要的任何交换机、实例或新服务留出足够的空间。

  • 建议您根据业务规划和安全、容灾等诉求，规划多个专有网络，划分多个交换机，在网段规划时，建议您避免地址重叠。

系统功能和性能

您需要考虑业务功能与性能、网络质量等问题，确保网络能够满足业务需求，并具备高可靠性和容错性，以防止单点故障。

例如，您需要在阿里云部署您的互联网应用服务：

• 如何避免因后端服务器单点故障导致服务中断？您可以使用负载均衡SLB产品家族进行流量分发至多台服务器，负载均衡通过健康检查机制可以及时避免将业务流量转发到异常服务器上，从而保证服务高可用。

• 如何让多台服务器使用同一个公网IP访问互联网？您可以使用公网NAT网关进行内外网地址映射，通过弹性公网IP实现动态解绑满足灵活管理的要求，实现统一公网出口。

• 如何提升QPS或者并发连接数瓶颈？如果您此前未使用负载均衡或者使用了传统型负载均衡CLB，您可升级使用应用型负载均衡ALB或网络型负载均衡NLB，ALB单实例100万QPS/NLB单实例1亿并发连接并且支持按量付费，让您低成本拥有大规模流量分发处理能力。

• 如何提升全球化应用网络访问质量？对于全球化应用，不同国家或地区的用户访问时有可能出现网络访问质量不高，此时您可以使用全球加速GA进行网络加速，提升用户网络访问质量与体验。

• 如何解决业务与本地数据中心、办公网、门店IoT设备、移动终端、其他云厂商平台部署的服务进行网络互通的问题？您可以使用VPN网关、智能接入网关SAG或者高速通道实现混合云场景网络互联，这些产品支持不同的业务场景、业务形态、部署模式，可以满足您的多样化的场景需求。

可扩展性和弹性

您需要考虑网络产品的可扩展性和弹性，以满足业务的增长和变化需求。例如，支持灵活的网络拓扑、子网划分和路由转发，以及快速扩容和缩容的能力。

对于网络组网类产品，例如专有网络VPC、NAT网关、转发路由器TR等产品，支持标准的网络划分与路由转发逻辑，您可根据实际情况自行进行灵活的网络规划及路由控制。

对于网络流量类产品，例如负载均衡SLB产品家族，应用型负载均衡ALB与网络型负载均衡NLB支持根据业务流量负载自动弹性避免业务瓶颈，您无需预估业务峰值。

开放性与自服务

用户在使用云产品时，使用方式和工具可能是多种多样的，这就需要云产品与主流厂商的业务开放性趋于一致。

阿里云网络服务具有较高的开放性，提供了多种方式和工具，以便用户根据自己的需求自由配置和管理网络资源。

您可以通过以下方式部署和维护网络服务（不同产品支持情况不同，需要以具体产品实际情况为准）：

• 阿里云控制台：具有交互式操作的Web服务页面，您可登录控制台完成网络产品服务创建、配置、删除等各项操作。

• 阿里云SDK：提供Java、Go、Python等多种主流编程语言的SDK，供开发者调用或集成。

• OpenAPI开发者门户：提供快速检索接口、在线调用API和动态生成SDK示例代码等服务。

• 阿里云App：移动端类型的管理工具，方便您及时运维监控您的网络服务。

• Terraform：能够通过配置文件在阿里云以及其他支持Terraform的云厂商平台调用计算资源。

同时针对网络环境复杂度高、问题多、定位维护困难的业务痛点，阿里云网络提供了多种自服务方式帮助您高效地使用云产品：

• 完备高质量的产品文档：产品文档除了产品使用配置教程外，我们还总结了较多客户实际上云用云过程中的最佳实践。如果遇到业务问题，您可以优先参考网络产品文档中的典型场景，自助解决您的问题。

• 智能化自助服务平台工具NIS：网络智能服务NIS既可以为您规划网络时提供参考数据，也可以协助您发现并解决网络的异常问题，支持对网络进行健康分析、性能监控、诊断修复、流量分析和测量仿真。网络智能服务NIS通过集成机器学习、知识图谱等AIOps方法减少网络使用复杂性，提供自助运维能力，方便网络架构师和运维工程师更快捷地设计和使用网络。

总体成本效益

您需要评估网络服务的成本效益，主要包括带宽流量成本、资源使用成本等。建议您考虑长期投资回报和总拥有成本。

对于带宽流量成本，您可以考虑使用云数据传输CDT，云上多产品统一计费，实行跨产品阶梯定价，流量使用越多成本越低。

对于云资源使用成本，您可考虑按量计费的方式，按实际使用量后付费。如果您的业务具有周期性或波动较大，例如游戏、视频等行业，资源使用有临时性和突发性，这样可以有效降低您的使用成本。

稳定性与可维护性

您在规划或设计网络架构时，建议您遵循业界及各产品推荐的方法，确保后续业务稳定与可持续维护。

例如：

• 网络扩展性：您在规划网络组网时，建议您适当考虑IP地址冗余，避免后期因IP地址不足导致需要重新规划网络。

• 多可用区部署：您在配置后端服务流量负载均衡时，建议您配置至少2个可用区的后端服务器，避免将后端服务器均部署在单个可用区，这样可以避免单个可用区故障对于业务稳定性的影响。当业务多可用区部署时，业务的可靠性会大幅提升，以网络型负载均衡NLB为例，单可用区服务可用性为99.95%，多可用区服务可用性可提升至99.995%。

• 多地域部署：如果您处于一些对于稳定性要求特别高的行业或者拥有一些对于稳定性要求特别高的非常核心的业务，您可以考虑进行多地域部署，您可参考典型的两地三中心方式将业务部署在多个地域与多个可用区并进行容灾备份。

安全性

网络安全是一个重要的考虑因素，需要确保数据的保密性、完整性和可用性。您需要选择具备强大安全功能的网络服务和协议，以及采取适当的安全措施。

您可以从以下几个角度考虑安全性：

• 采用安全的协议：例如应用层协议，建议您使用HTTPS协议进行加密安全通信，避免使用HTTP协议，同时也建议您选择较高版本的TLS协议支持。

• 进行访问控制：建议您根据实际情况开启安全组、访问控制等功能，避免可能存在的安全攻击。

• 网络隔离：阿里云从基础设施网络隔离、专有网络隔离、多租户隔离等多方面提供网络隔离措施。您在自主规划业务网络时，对于核心业务与非核心业务，也可以考虑进行适当的业务网络隔离。

• 权限管控：阿里云账号具备所有云资源的操作权限，实际在使用过程中建议您给操作者配置RAM权限，降低权限问题导致的安全风险。

• 业务流量尽量走内网通信：对于业务需要跨VPC网络通信的场景，建议业务流量尽量走内网通信，避免通过互联网通信，避免有可能导致的来自互联网的攻击。

• 云安全产品能力加持：对于公网流量请求，您可考虑采用Web应用防火墙、DDoS防护等专业的云安全产品进行流量清洗与异常流量拦截。负载均衡SLB、弹性公网IP等多个产品已实现了与安全产品的集成，可极大降低您的使用配置难度。

• 安全审计：您需要考虑所使用的云产品是否提供审计和日志监控功能，记录和追踪用户访问和活动，以便发现和响应潜在的安全问题。

公网访问场景

选择公网IP地址类型

从互联网访问云上部署的应用，或者应用主动访问公网时，需要为应用服务器配置公网IP地址。

公网IP地址类型分为固定公网IP与弹性公网IP，二者区别如下：

不同弹性公网IP对比

弹性公网IP有不同形态，主要有以下三种：

• 弹性公网IP（BGP多线）：覆盖全球多地域的优质BGP线路，同时接入多条运营商线路，并自动选择最优线路访问，保证用户访问快速稳定。

• 弹性公网IP（BGP多线-精品）：BGP多线-精品线路是一种优化海外回中国内地流量的公网线路，可以提高国际业务访问质量。相比普通BGP多线线路，精品线路在为中国内地终端客户（不包括中国内地数据中心）提供服务时，通过运营商精品公网直连中国内地，时延更低。

• 任播弹性公网IP（Anycast EIP）：每一个Anycast EIP实例会被分配一个可访问公网的IP地址，此IP地址可在整个接入区域内发布，不受地域限制。在将此IP地址与后端资源进行绑定后，接入区域内的用户流量将通过该IP地址从就近接入点进入阿里云网络。进入阿里云网络后，Anycast EIP可以智能选择路由并自动完成网络调度，将用户的网络访问请求送达至后端资源节点，提升用户的公网访问体验。

统一公网流量入口

单台后端服务器直接使用公网IP对外提供服务时，如果服务器出现问题容易导致业务单点故障，影响系统可用性。

实际业务场景中，推荐您使用负载均衡产品，并在多可用区挂载多台后端服务器，通过将流量分发到不同的后端服务来扩展应用系统的服务吞吐能力，消除系统中的单点故障，提升应用系统的可用性。

负载均衡SLB产品家族包括应用型负载均衡ALB（Application Load Balancer）、网络型负载均衡NLB（Network Load Balancer）、传统型负载均衡CLB（Classic Load Balancer），您可根据您的实际需求选择合适的负载均衡产品。

对于前后端分离的业务场景，您可以结合公网负载均衡实例与私网负载均衡实例，分别实现前端业务和后端业务的高可用。

统一公网流量出口

单台服务器可以通过公网IP地址主动访问公网。

但当需要主动访问公网的服务器较多时，需要占用较多的公网IP资源，此时您可以通过公网NAT网关的SNAT功能，实现VPC内的多个ECS实例共享EIP上网，节省公网IP资源。

公网访问控制

当部署在云上的业务对互联网提供服务时，进行合适的访问控制，能够帮助阻止不必要或潜在的危险访问。

以VPC内1台ECS服务器为例，有如下常用的访问控制方式或产品：

• ECS安全组：安全组是一种虚拟防火墙，能够控制ECS实例的出入站流量。用于对ECS/弹性网卡等实例级别资源的流量访问控制。

• 网络ACL：网络ACL是VPC中的网络访问控制功能。您可以自定义设置网络ACL规则，并将网络ACL与交换机绑定，实现对交换机中云资源的流量访问控制。

• IPv4网关：IPv4网关是专有网络VPC的互联网IPv4流量网关。VPC默认不开启该功能即具备公网访问能力，ECS绑定公网IP后即可访问公网，但当IPv4网关创建并激活后，该VPC访问公网的行为将会受IPv4网关控制。您可以使用IPv4网关结合子网路由的能力实现公网IPv4访问集中控制。

  重要

  VPC内的IPv4网关激活后会改变VPC默认能够访问公网的行为，即使删除IPv4网关后，也不能恢复VPC默认可以访问公网的能力。因此IPv4网关需要谨慎考虑后再进行配置。

• IPv6网关：IPv6网关是专有网络VPC的互联网IPv6流量网关。VPC内实例默认申请的IPv6地址只具备IPv6私网通信能力，您可以通过在IPv6网关中为IPv6地址开通IPv6公网带宽，使其具备公网通信能力。并且可以支持设置仅主动出规则，使IPv6地址仅可主动访问公网。

公网全球加速

对于一部分全球化行业应用场景，例如游戏、企业应用、互联网应用等，因公网网络质量不高可能导致的网络延迟高、抖动、丢包、卡顿、速率低等问题，严重影响终端用户使用体验。

您可以通过使用全球加速产品，使终端用户访问请求就近接入阿里云，通过阿里云的内网到达应用服务器，极大地缩短了公网传输路径，减少延时、抖动、丢包等网络问题，提升终端用户使用体验。需要注意的是，如果涉及中国内地与其他地区之间的加速，需要参照产品文档完成跨境业务资质申请。

跨VPC互联场景

选择VPC互联方式

跨VPC网络连接，常用的有如下方式：

• VPC对等连接概述：VPC对等连接提供连通两个VPC的网络连接，您可以使用私有IP地址直接通信，两个VPC就像在同一个网络中一样。您可以与当前账号的同地域或者跨地域其他VPC之间创建对等连接，也可以与其他账号的同地域或者跨地域VPC之间建立对等连接。

• 转发路由器：转发路由器用于连接网络实例，转发同地域或跨地域网络实例间的流量。转发路由器只需要VPC以网络连接的方式加入转发路由器，转发路由器便会自动同步路由。1个地域内只能有1个转发路由器，跨地域需要不同转发路由器互联。

• 私网连接：私网连接能够将终端节点所在VPC与终端节点服务所在VPC通过终端节点连接，建立安全稳定的私有连接，简化网络架构，实现私网访问服务，避免通过公网访问服务带来的潜在安全风险。

• VPN网关：VPN网关通过建立加密隧道的方式在两个VPC之间建立安全连接，实现两个VPC内的资源互访。

需要注意的是，如果涉及中国内地地域与非中国内地地域之间的VPC连接，需要参照对应产品文档完成跨境业务资质申请。

VPC互联IP地址冲突

云上需要互通的两个业务VPC，可能存在IP地址冲突的情况，重新配置网段可能导致改造成本较高或者出现未知问题。

您可以为两个业务VPC各配置一个VPC NAT网关并配置两个不冲突的中转私网地址。主动访问的业务VPC使用SNAT功能将源地址转换为VPC NAT网关的中转地址，被访问的业务VPC通过DNAT功能使用VPC NAT网关的中转私网地址对外提供私网服务，从而实现地址冲突的两个业务VPC互访。

混合云场景

如下三款产品都支持将本地数据中心等网络连接至云上专有网络，快速构建混合云。

• 高速通道：高速通道通过物理专线将本地数据中心、其他云厂商平台等网络连接到阿里云。在物理专线两端距离很远的情况下，高速通道仍可以提供低时延、低丢包率和高带宽的内网级通信质量。

• 智能接入网关：智能接入网关包含三种产品形态。

  • 硬件CPE（Customer Premises Equipment）设备形态：适用于站点接入上云。在本地数据中心、企业分支和门店部署智能接入网关硬件设备后可自动和云上形成私网连接。

  • 镜像vCPE形态：适用于站点接入上云。智能接入网关vCPE是智能接入网关的软件镜像版，支持部署在本地数据中心的服务器、阿里云边缘节点服务ENS实例、阿里云、其他云厂商等平台的服务器上。部署后，智能接入网关vCPE作为一个虚拟CPE设备帮您将网络接入阿里云，为您接入上云提供更多的灵活性。

  • App形态：适用于终端接入上云。电脑、手机等终端安装智能接入网关App后可一键接入上云。

• VPN网关：VPN网关通过建立加密隧道的方式，实现企业本地数据中心、企业办公网络、互联网客户端、其他云厂商等平台与阿里云专有网络之间建立安全可靠的网络连接。