一、为什么要专门聊「全球化网络」
过去十年发生了三件事：
- 企业全球化：突破地域、压成本、抢人才，出海成为标配
- 云全球化：「云优先」替代「先建机房」，IaaS/PaaS 让海外业务分钟级上线
- 云网络全球化：从各国分支「多点孤立」走向「全球一张虚拟网」
这张网要解决的事情看起来朴素：让客户、员工、应用、数据，在全球任意位置通过统一私有网络高速、可靠、合规地互访。但具体到落地，要回答的问题不少——这正是这篇文章想覆盖的。
二、典型客户场景一览
| 行业 | 典型诉求 | 关键词 |
|---|---|---|
| 在线教育 / 互娱 / 游戏 / 泛互联网 | 全球跨境互联 | 高可靠、跨境合规、低时延 |
| 制造 / 零售 / 金融 / 跨国集团 | 企业上云、分支互联、全球组网 | 稳定、安全、弹性 |
| 全球化 SaaS / 金融服务 | 跨地域数据同步、应用加速 | 低时延、稳定、安防 |
| AI / 车联网 | 跨地域大数据同步 | 超大带宽、QoS、成本 |
| 通用企业 | IDC / 分支上云 | 稳定性 |
一句话：你只要有「跨地域」「跨账号」「跨云」「云上云下」任意一项的互通需求，就在全球化网络方案的射程内。
三、四套主路线：照着这张图选
阿里云全球化网络方案围绕专线 / VPN / SD-WAN + TR / CEN 组合出四套主路线：
| 方案 | 适用场景 | 关键产品 |
|---|---|---|
| 方案 1：专线构建混合云 / 多云网络 | 业务量大、对稳定性和带宽敏感 | 高速通道、VBR、ECR、TR |
| 方案 2：IPsec-VPN 构建分支上云 | 分支数量多、预算敏感、不要求大带宽 | VPN 网关、TR |
| 方案 3：CEN 构建跨地域互联 | 多地域 VPC 互访、异地多活、容灾 | CEN、TR、CDT 跨域带宽 |
| 方案 4：第三方 SD-WAN 构建分支组网 | 跨国多分支统一组网、快速部署 | 三方 SD-WAN、TR、VPN |
下面分别展开每一套，重点放在怎么落地 + 哪里容易踩坑。
四、方案 1｜专线：把 IDC 稳稳接进云
核心链路：IDC → 物理专线 → 阿里云接入点 → VBR → ECR → TR → VPC
关键设计点
- 专线没有弹性，规划带宽要预留至少 3 个月 业务增长
- 多接入点接入：至少 2 个不同的阿里云接入点 + 不同运营商，物理冗余 + 负载分担
- 多专线 + ECMP：相比主备模式，ECMP 故障收敛快、横向扩展强、资源利用率高，没有源进源出限制的业务首选
- VPN 作为专线备份：企业版 TR 支持 IPsec 备份专线，专线全断也保持通联
- 互联协议：优先用 BGP + BFD，故障检测快
- 上联产品：优先 ECR + TR，路由统一管理，而不是 VBR 直接上 TR
⚠️ 专线扩容周期以月计，等业务跑起来再申请就来不及了。
五、方案 2｜VPN：分支和小 IDC 的快车道
核心链路：本地 IDC / 分支网关 → IPsec 隧道 → 阿里云 VPN 网关 / TR → VPC
三层高可用
- 设备级：VPN 网关底层双机热备，故障秒级切换
- 链路级：默认双隧道，故障秒级切换；绑定 TR 后可多隧道 ECMP
- 用户级：本地网关多设备冗余
带宽与性能
- 单隧道最大 1 Gbps
- 单隧道 12 万 pps（256 字节包长）
- 带宽不够？多个 IPsec 连接绑定 TR 形成 ECMP 横向扩
两种模式怎么选
| 维度 | VPN 网关嵌入 VPC | IPsec 隧道直连 TR |
|---|---|---|
| 场景 | 分支 + 终端（SSL VPN） | 分支（仅 IPsec） |
| 计费 | 包年包月，用量稳定 | 按量后付费，用量波动 |
| 加密 | 标准 + 国密 | 标准 |
| 隧道 | 单 / 双隧道主备 | 单隧道 + ECMP 捆绑 |
⚠️ 跨境合规：阿里云 VPN 网关不支持跨境连接。跨境业务请改用 CEN 跨境专线。
六、方案 3｜CEN：把多地域 VPC 编织成一张网
核心链路：各地域 VPC + VBR + VPN → 各地域 TR → TR 跨地域连接 → 跨域带宽
关键设计点
- VPC / VBR / VPN 实例接到 TR，TR 之间建跨地域连接并分配带宽
- 开通 CDT 跨域带宽包（按流量计费），灵活弹性
- 多业务带宽划分：流量打标签 → 按标签限速，保证各业务跨地域 SLA
- 三地及以上互通：扩展多个地域 TR 的跨地域连接，组成 mesh / hub-spoke
- 跨境业务：高质量跨域线路 + 联通跨境合规线路，确保出海业务合规可审计
七、方案 4｜SD-WAN：跨国多分支组网利器
核心链路：分支硬件设备 ← IPsec → Hub VPC 内的三方 SD-WAN 镜像 → VPN Attachment → TR
设计要点
- 接入方式：3rd SD-WAN 镜像安装在 Hub VPC，与分支硬件 IPsec 互连，再通过 VPN 接入 TR
- 可靠性：SD-WAN 双机镜像部署，分支侧主备双接入
- 广域互联：用 TR 多地域能力打通云上、云下、跨地域全球一张网
- 统一管理：云上云下、全球多地域统一管控面
- 计费：按业务流量模型选按带宽或按流量
八、混合云接入选型对照表
| 方案 | 质量 | 成本 | 扩展性 | 周期 | 带宽 |
|---|---|---|---|---|---|
| 专线 + 专线 | 高 | 高 | 差 | 月 | 大带宽 |
| 专线 + VPN | 中 | 中 | 好 | 月 | 通常 < 1 Gbps |
| 三方 SD-WAN | 中 | 中 | 好 | 周 | 通常 < 1 Gbps |
| VPN 单独使用 | 低 | 中 | 中 | 周 | 通常 < 1 Gbps |
一句话原则
- 核心业务、大带宽 → 双专线
- 核心 + 兜底 → 专线 + VPN 主备（性价比最高）
- 跨国分支多、上线快 → 三方 SD-WAN
- 轻量业务、预算紧 → 纯 VPN
九、专线上联三种典型组合
| 组合 | 思路 | 适用 |
|---|---|---|
| 单专线 + VPN + TR | 专线主，VPN 按量计费做兜底备份 | 中小规模混合云，平时几乎不花钱 |
| 双专线 + TR | 不同接入点双专线，按需冗余 / 主备 / 网段互备 | 高可靠业务 |
| 多专线 + ECR + TR | 不同地域 VBR 上当地 ECR，ECR 统一路由再连 TR | 多地域 IDC 就近低时延接入 |
十、六大典型场景速查
| 场景 | 核心组合 | 关键能力 |
|---|---|---|
| 大型企业全球混合云 | 高速通道 + VPN/SD-WAN + TR | 多技术叠加、灵活冗余 |
| 多云互联 | 高速通道 + VPN 连接 | 公共云之间打通 |
| 跨域应用加速 | ALB（ip-target）+ TR + 高速通道 | CN ↔ Global 稳定低时延 |
| 最短路径低时延 | CEN 低时延方案（TR） | 端到端跨地域最短时延 |
| 混合云/多云专线接入 | TR + VBR + VPN Attachment | 三种组合按需选 |
| 全球远程运维 | TR + SSL VPN + 堡垒机 + Flow Log + 流量镜像 | 身份鉴别、操作审计、流量可观测 |
十一、最后总结：四问决策树
设计全球化网络架构前，先回答这四个问题：
- 业务在多少个地域？单地域 → TR；多地域 → CEN + TR
- 要不要打通 IDC / 分支 / 多云？专线（大带宽 / 长期稳定）｜VPN（轻量 / 临时 / 兜底）｜SD-WAN（多分支 / 快速）
- 有没有跨境？跨境业务一定走 CEN 跨境专线 + 合规线路，VPN 网关不行
- 可靠性要求多高？双接入点 + 双专线 + ECMP / 双隧道 / 双机镜像，能上都上
把这四步内化，下次画拓扑时就能直接落笔。
关键云网络产品速查
- 高速通道（Express Connect / VBR / ECR）——物理专线接入云的核心通道，VBR 是边界路由器，ECR 是云上专线网关
- TR（转发路由器）——同地域 / 跨地域路由核心，所有 VPC / VBR / VPN / 跨地域连接都挂到它上面
- CEN（云企业网）——跨地域互联的逻辑容器，承载 TR 跨地域连接和带宽包
- CDT（跨地域带宽包）——TR 跨地域流量计费载体，支持按带宽或按流量
- VPN 网关 / IPsec-VPN / SSL VPN——加密隧道接入，分支上云 / 远程办公 / 国密合规
- 三方 SD-WAN——市场上的 SD-WAN 厂商镜像，部署在 Hub VPC 后通过 VPN 接入 TR
- NAT 网关 / EIP / 共享带宽包——公网出入口与公网带宽底座
- ALB（应用型负载均衡）——配合 TR 实现跨地域应用加速
- VPC Flow Log / 流量镜像——网络可观测与流量审计
- 堡垒机——跨账号 / 跨云 / 云上云下的远程运维身份与操作管控
原文链接
本文基于阿里云官方帮助文档改写整理，原文（含完整产品参数与配置流程）：
收藏原文，下次设计跨国架构时直接对照查规格；遇到具体配置问题，建议到阿里云开发者社区或工单系统提问，工程师们都很热心。
