本文介绍您的本地IDC服务器和云上VPC的ECS无法连通时的故障排查方法。
背景信息
故障排查步骤如下：
排查路由问题。
排查第3/4层（网络/传输）问题。
排查第2层（数据链路）问题。
排查第1层（物理）问题。
排查路由问题
本地接入设备能ping通云上边界路由器网关VBR的IP，并且已建立了BGP对等会话，如果您的本地服务器依然无法ping通云上VPC的ECS实例，请通过以下步骤排查该问题：
若您使用高速通道-对等连接产品连通云上和云下，请检查高速通道VBR上连的健康检查状态。
若您使用云企业网CEN连通云上和云下，请检查CEN的VBR的健康检查状态。
如果路由模式是BGP，请确保本地网关已通过BGP对您的本地网段进行宣告。
请确保您或您的提供商BGP路由宣告没有超过110条路由条目，超出后路由条目会丢弃，BGP Peer连接仍然可以建立。
请确保您的本地网关路由表中具有指向云上VPC的路由，下一跳为云上VBR的IP。
请确保您的VBR路由表具有指向本地网段的路由，下一跳为专线接口。
请确保您的VBR路由表具有指向云上VPC的路由，下一跳为VPC的实例ID。
请确保您的VPC路由表具有指向本地网段的路由，下一跳为VBR。
请确保您的ECS安全组和网络ACL针对您的本地网络设置了允许入站和出站流量。
为什么只有特定 ECS 能访问私网/本地 IDC，其他 ECS 无法连通？
若仅特定 ECS 可访问私网或本地 IDC，通常并非专线或云企业网 CEN 互通问题，而是业务方在 ECS 内部（如 iptables、防火墙软件）或网络层面（如安全组、网络 ACL、自定义路由表）做了特殊的转发限制或控制。建议优先检查该 ECS 及其所在子网的访问控制策略。
排查第3/4层（网络/传输）问题
本地接入设备能够ping通云上边界路由器网关VBR的IP，但本地BGP对等会话无法建立，请通过以下步骤排查该问题：
请确保您的BGP已正确配置本地自治系统编号（ASN）和阿里云的ASN。
请确保已正确配置BGP对等会话两端的对等IP。
请确保已配置您的MD5身份验证密钥，并且与下载的路由器配置文件中的密钥完全匹配。
说明注意检查是否有多余的空格或字符。
请确保没有限制TCP端口179或临时TCP端口超过1024的防火墙和ACL规则。这些端口对于BGP在对等项之间建立TCP连接是必需的。
检查您的BGP日志中是否有任何错误或警告消息。
如果上述步骤未建立BGP对等会话，请提交工单咨询。
专线连通后 traceroute 追踪结果为空或中断，但业务正常，如何排查？
检查云上边界路由器 VBR 的路由表，确认目标网段的下一跳指向正确，并删除旧线路或冲突的更精确路由（如 32 位主机路由）。
检查云下 IDC 设备是否开启了 ICMP 超时回复功能。若未开启，会导致中间节点不响应探测包，traceroute 显示为空，但不影响实际 TCP/UDP 业务。
验证实际业务端口连通性。若业务正常，则说明网络层无误，traceroute 异常仅为设备 ICMP 配置所致。
排查第2层（数据链路）问题
本地IDC机房接入设备的指示灯正常，但接入设备无法ping通云上边界路由器VBR的IP，请通过以下步骤排查该问题：
请检查是否已正确配置您的互联IP地址，确保互联IP地址在同一个网段，并且位于正确的VLAN中。
请确保在VLAN子接口而不是物理接口（例如，是GigabitEthernet0/0.123而不是GigabitEthernet0/0）中配置了互联IP地址。
请验证路由器是否具有来自您的地址解析协议（ARP）表中云上VBR节点的MAC地址条目。
请确保云上VBR和本地IDC接入设备之间的任何设备都已针对您的802.1Q VLAN标签启用了VLAN中继。
请核对 VLAN ID 配置是否一致。修改边界路由器 VBR 的 VLAN ID 后专线仍不通时，需重点核对云上 VBR 与本地 IDC 接入设备的 VLAN ID 是否完全一致；如果云下未配置 VLAN，需要将 VBR 的 VLAN ID 设置为 0。
变更 VLAN ID 配置后，必须同步检查对端端口配置是否已完成变更，并排查对端是否存在网络 ACL 限制。
请清除您或您的提供商的ARP表缓存。
如果上述步骤未建立ARP或您仍无法对云上VBR执行ping 操作，请提交工单咨询。
排查第1层（物理）问题
本地专线接入设备的指示灯不亮，请使用以下步骤排查该问题：
检查本地IDC的CPE接入设备是否已打开，端口是否已激活。
请向您的专线供应商确认专线是否已经完成端到端的接入，并要求专线供应商为您提供专线施工完成证明和端到端的网络连通性测试证明。
请检查专线两端的光模块是否正常。
请检查光模块参数支持的公里数是否一致，如果两侧不一致，端口指示灯不会亮起。
检查光模块参数支持的带宽规格是否一致，如果两侧不一致，端口指示灯不会亮起。
光纤接入时，您必须使用适用于1GB以太网的1000Base-LX、适用于10GB以太网的10GBase-LR、适用于40GB以太网的40GBase-LR或者适用于100GB以太网的100GBase-LR的单模光模块与阿里云的接入设备对接，同时两端的光模块参数需要一致。
检查本地CPE是否已禁用自动协商功能并且已手动配置端口速度和全双工模式。
市场上大部分的网络设备，例如Juniper，设置了自动协商，请手动禁用该功能。
联系线路供应商完成专线分段检测。
自主联系线路供应商或本地IDC机房供应商，进行本地IDC的ODF到本地接入设备之间的楼内线缆测试，若需要环路测试，请您配合供应商在本地IDC进行光环打环。
自主联系线路供应商，进行本地IDC到专线运营商接入设备链路的测试，若需要环路测试，请您配合运营商在本地IDC进行光环打环。
线路供应商联系运营商完成运用上的内部网络链路测试。
自主联系线路供应商，进行阿里接入点所在机房从ODF到阿里接入设备之间的楼内线缆测试。
阿里侧尾纤线缆的测试，请提交工单。
便于您对专线分段管理的理解，传统专线互联的网络拓扑如下图所示，实际拓扑请咨询运营商。
