系列导读
前两篇分别讲了为什么出海躲不开网络、阿里云全球一张网长什么样。 这一篇我们直接上工地——把白皮书翻译成 7 步可执行 checklist，每一步附选型表和避坑要点。 一句话：这张表打印出来贴在架构评审会议室，能帮你避开 80% 的出海网络坑。
一、按业务系统划分 VPC
黄金法则：能多 VPC 就不要单 VPC。
多 VPC 天然带来四大好处：
- 多个安全域
业务 / 模块隔离一目了然 - 独立故障域
单 VPC 故障不会牵连全局 - 独立财务结算
分账更容易 - 更好的扩展性
单 VPC 能做的多 VPC 都能做，反过来不成立
只有满足下面任意一条才考虑合并：跨 VPC 通信成本敏感、单 VPC 资源好扩展、业务系统极少、容器 POD 混部资源利用率优先。
典型出海企业的 7 类参考 VPC：
| DMZ VPC | |
| 共享服务 VPC | |
| 生产 VPC | |
| 开发 VPC | |
| 测试 VPC | |
| 安全 VPC | |
| 运维 / VPN 接入 VPC |
⚠️ 避坑要点：地址段一定全局规划，掩码至少 16 位（超大型 10/8、大型 172.16/12、中型 192.168/16）。用 IPAM 工具集中管理，否则就是事故 A 那种”5 次停机割接”的剧本。
二、以 VPC 为核心构建数据中心网络
| 选址 | |
| 子网划分 | |
| 互联网入 VPC | |
| VPC 出互联网 | 每个 AZ 一台 NAT 网关 |
| 服务器直通公网 | |
| 公网计费 |
三、以 CEN 构建跨地域 DCI
只要业务进入”多 Region”形态，就避不开跨地域内网（DCI）。典型场景：
- 多活 / 双活数据中心
数据库主主、存储复制、虚机迁移 - 跨地域容灾
主中心故障切灾备 - 微服务跨域部署
用户中心 / 订单系统就近、注册中心全局可见 - 大数据 / AI 训练数据汇聚
分散采集、集中分析
4 步落地：
每个 Region 部署 TR，把本地 VPC 全部挂上来 不同 Region 的 TR 之间建跨地域连接 在 CEN 上分配跨地域互通带宽峰值 不同优先级业务可叠加 CEN QoS 区分
⚠️ 避坑要点：跨境通信（中国内地 ↔ 海外）线路由中国联通承运，规划时把跨境合规和带宽预留前置考虑，别等业务要上线再去申请。
四、混合云与分支接入：专线 / VPN / SDWAN 三选一
| 专线（VBR + ECR） | 双接入点双专线 | |
| IPsec VPN | ||
| 3rd SDWAN |
专线选型几个常被忽略的点：
- 接入点距离
关系到延迟和线路费用 - 进线许可
中立机房进线容易，运营商机房只进自家 - 进线费用
进线费 + 楼内跳线费，不是阿里云收的 - VLAN ID
建议非 0，未来好在同一专线端口做多 VBR - 路由协议
用 ECR 的话只能 BGP；想用静态路由要直挂 TR
五、应用交付网络：入网 / 出网 / 直通三种姿势
每个出海业务系统都要回答三个问题。
A. 互联网怎么进来？ 按”服务端类型 × 网络层级”选型：
| ECS | ||
| ACK 容器 | ||
| IDC 服务器 | ||
| 跨地域加速 |
B. 应用怎么出公网？ 用 NAT 网关 + EIP + 路由表，每个 AZ 一台。
C. 服务器要不要直通公网？ 游戏战斗服 / 会议媒体服 / 出网带宽独立的，直接 EIP 挂 ECS 或 POD，不走 SLB / NAT。
六、以 PrivateLink 安全访问云服务
智能时代的出海，免不了大量调用云上 SaaS：千问大模型、OSS、RDS……这些服务的网络形态各不相同：
- VPC 内服务
（如 RDS）：标准 VPC 私网地址，直接通 - 公共地址段服务
（如 OSS，100.64/10）：能通但不支持私网地址规划、无认证鉴权 - 仅公网地址服务
（如百炼）：默认得走公网
如果你想统一私网地址管理 + 加上认证鉴权，PrivateLink 是标准解。
4 步落地：
创建公共服务 VPC，里面部署 PrivateLink 终端节点 创建终端节点服务连接被访问的云服务 把业务 VPC + 公共服务 VPC 都挂在 TR 上 PrivateLink 与 RAM 联动，实现鉴权认证
? 这是出海业务调用大模型的”标准姿势”——既不上公网、又能精细化授权。
七、以 NIS 实现全球网络智能运维
最后一步，是把整张网”管”起来。
| 200+ 基础指标 + TR / 专线流日志 | |
| 故障感知 + 智能定位 | |
| 网络巡检 | |
| 性能诊断与优化 | |
| 三方工具兼容 |
⚠️ 避坑要点：NIS 不是上线后才接的”运维工具”，规划期就要带上——选址、部署验证、灰度评估都用得到。
八、七步法总览
把这张表打印出来贴在架构评审会议室，基本可以避开 80% 的出海网络坑。
九、系列收官
- 第 1 篇 · 挑战篇
出海是必选项，但网络是第一道生死题——七颗最容易踩的雷、两个真实事故。 - 第 2 篇 · 架构篇
阿里云全球一张网由 29 Region 物理底座 + 飞天洛神三大引擎 + 建网 / 用网 / 管网三层产品 + 五大场景方案织就。 - 第 3 篇 · 实践篇
（本篇）把白皮书压缩成 7 步落地法，可直接进入架构评审 checklist。
如果这三篇对你的出海架构评审有帮助，欢迎收藏 + 转发给团队——下一次架构评审，少踩一个雷就值回票价了。
