Virtual Private Cloud：VPC路由表

路由表

建立VPC時，系統自動建立一張系統路由表，預設綁定VPC內所有交換器，控制VPC的流量。

當VPC內不同ECS訪問相同的目標網段時，若需要通過不同的網路路徑轉寄流量，可以使用自訂路由表。通過將ECS執行個體分別部署在不同的交換器下，並為每個交換器單獨綁定自訂路由表，可實現精細化的流量控制。

當需要對進入VPC的公網流量通過自建防火牆防護時，可以使用網關路由表（綁定邊界網關的自訂路由表）。通過將網關路由表與IPv4/IPv6網關綁定，可將進入VPC的公網流量定向到自建防火牆，實現對流量的統一過濾、審計和安全性原則管控。

每種路由表的具體區別：

每個交換器必須綁定路由表，且只能綁定1張路由表。1張路由表可綁定多個交換器。

1. 靜態路由條目

系統自動添加或您手動添加的路由條目，為靜態路由條目。包括2種：

• 系統路由條目：由系統在建立VPC和交換器時自動添加、下一跳為Local的路由條目，用於VPC內部執行個體間通訊或訪問雲端服務。

• 自訂路由條目：由您手動添加的路由條目，用於自訂流量轉寄路徑。

如下圖所示，2個VPC通過對等串連連通，其中VPC1的系統路由表包含如下靜態路由條目：

1. 建立VPC和交換器後，系統自動添加下一跳為Local的系統路由條目：

   1. 雲端服務路由：目標網段100.64.0.0/10，用於VPC1內部執行個體訪問雲端服務。

   2. 交換器網段路由：目標網段10.0.0.0/24，用於VPC1內交換器私網之間相互連信。

2. 建立VPC對等串連後，您需要手動添加的自訂路由條目：

   目標網段172.16.0.0/16，下一跳對等串連，用於將前往VPC2的流量轉寄至對等串連。

VPC2的系統路由表中的路由條目與VPC1原理相同，此處不再贅述。

2. 動態路由條目

動態路由是其他網路執行個體傳播至VPC的路由條目，無需像靜態路由那樣手動在VPC路由表中配置，而是自動從路由動態源接收和更新。

路由優先順序

VPC路由表中的路由條目，按照如下規則匹配優先順序：

• 存在目標網段重疊的路由條目時：

  IPv4 和 IPv6 流量路由彼此獨立，按照最長首碼匹配規則，選擇與目的網段與目的IP地址匹配的最明確路由，確定下一跳並進行轉寄。

  最長首碼匹配：當有多條路由條目的目標網段都能匹配上資料包的目的IP地址時，系統會採用掩碼最長（即網段範圍最精確）的那條路由。例如，去往 192.168.1.100 的流量，會優先匹配 192.168.1.0/24 而非 192.168.0.0/16。

• 新增路由條目與已有路由條目的目標網段重疊時：

  操作	已有系統路由	已有自訂路由	已有動態路由
  建立交換器	交換器的網段，不支援和已有系統路由重疊	交換器的網段，不支援： 和已有自訂路由目標網段相同 包含自訂路由目標網段範圍	交換器的網段，不支援： 和已有動態路由目標網段相同 包含動態路由目標網段範圍
  新增自訂路由	新增自訂路由的目標網段，不支援： 和已有系統路由條目的網段相同 比已有系統路由更明細	新增自訂路由的目標網段，不支援和已有自訂路由的目標網段相同 如果下一跳類型為路由器介面（邊界路由器方向），支援配置主備或負載路由，詳情見路由到路由器介面。	新增自訂路由時，不支援和已有動態路由目標網段相同。 新增自訂路由下一跳是VPN網關或路由器介面類型時，對於已有來自CEN的目標網段相同的動態路由：動態路由撤銷，自訂路由生效。
  接收動態路由	不支援和已有系統路由目標網段相同。 比已有系統路由的目標網段更明細時，動態路由不生效： 路由動態源為ECR時，動態路由會展示在VPC路由表中但狀態為候選，暫不參與轉寄。 路由動態源為VPN網關、企業版TR或基礎版TR時，動態路由不會傳播到VPC路由表。	和已有自訂路由目標網段相同時，動態路由不生效。 路由動態源為ECR時，動態路由會展示在VPC路由表中但狀態為候選，暫不參與轉寄。 路由動態源為VPN網關、企業版TR或基礎版TR時，動態路由不會傳播到VPC路由表。 自訂路由刪除後，動態路由自動生效。	不支援，當前VPC路由表只有單一路由傳播源。

建立/刪除路由表

您需要先建立一張自訂路由表，才能綁定到目標交換器或IPv4/IPv6網關。

variable "name" {
  default = "terraform-example"
}

resource "alicloud_vpc" "defaultVpc" {
  vpc_name = var.name
}


resource "alicloud_route_table" "default" {
  description      = "test-description"
  vpc_id           = alicloud_vpc.defaultVpc.id
  route_table_name = var.name
  associate_type   = "VSwitch"
}

綁定/解除綁定路由表

建立的自訂路由表預設不綁定任何資源，您需要將其綁定到交換器或IPv4/IPv6網關後，路由表才會生效。

variable "name" {
  default = "terraform-example"
}

resource "alicloud_vpc" "foo" {
  cidr_block = "172.16.0.0/12"
  vpc_name   = var.name
}

data "alicloud_zones" "default" {
  available_resource_creation = "VSwitch"
}

resource "alicloud_vswitch" "foo" {
  vpc_id       = alicloud_vpc.foo.id
  cidr_block   = "172.16.0.0/21"
  zone_id      = data.alicloud_zones.default.zones[0].id
  vswitch_name = var.name
}

resource "alicloud_route_table" "foo" {
  vpc_id           = alicloud_vpc.foo.id
  route_table_name = var.name
  description      = "route_table_attachment"
}

resource "alicloud_route_table_attachment" "foo" {
  vswitch_id     = alicloud_vswitch.foo.id
  route_table_id = alicloud_route_table.foo.id
}

resource "alicloud_vpc" "example" {
  cidr_block = "172.16.0.0/12"
  vpc_name   = "terraform-example"
}

resource "alicloud_route_table" "example" {
  vpc_id           = alicloud_vpc.example.id
  route_table_name = "terraform-example"
  description      = "terraform-example"
  associate_type   = "Gateway"
}

resource "alicloud_vpc_ipv4_gateway" "example" {
  ipv4_gateway_name = "terraform-example"
  vpc_id            = alicloud_vpc.example.id
  enabled           = true
}

resource "alicloud_vpc_gateway_route_table_attachment" "example" {
  ipv4_gateway_id = alicloud_vpc_ipv4_gateway.example.id
  route_table_id  = alicloud_route_table.example.id
}

添加/刪除路由條目

針對綁定交換器的路由表，可通過手動添加路由條目來控制交換器的流量路徑。自行添加的路由條目會被歸類為自訂路由條目。

在IPv4/IPv6網關綁定的路由表中，不支援自行添加路由條目，但您可以更改路由條目下一跳。

resource "alicloud_route_entry" "foo" {
  route_table_id        = "rt-12345xxxx" # 填寫路由表id 
  destination_cidrblock = "172.16.1.1/32"
  nexthop_type          = "Instance" # 填寫下一跳類型 
  nexthop_id            = "i-12345xxxx" # 填寫下一跳執行個體id 
}

更改路由條目下一跳

可通過更改路由條目的下一跳，來改變目標網段的流量路徑。

• 系統路由條目：僅自訂路由表（包含網關路由表）中的系統路由條目支援更改下一跳，更改後項目類型會變為自訂路由條目，刪除後變回系統路由條目。

• 自訂路由條目：無路由表類型限制，系統路由表和自訂路由表的自訂路由條目均支援修改下一跳。

您可在系統路由條目與自訂路由條目對比中查看目標網段和下一跳支援的類型。

resource "alicloud_route_entry" "foo" {
  route_table_id        = "rt-12345xxxx" # 填寫路由表id 
  destination_cidrblock = "172.16.1.1/32"
  nexthop_type          = "Instance" # 更改下一跳類型
  nexthop_id            = "i-12345xxxx" # 填寫下一跳執行個體id 
}

發布/撤回靜態路由

路由表中的路由可傳播至專線網關（ECR）或轉寄路由器（TR），結合動態路由接收，簡化路由配置複雜度。

• 靜態路由發布至專線網關ECR：靜態路由發布到ECR後，可實現從雲上ECR到雲下IDC的動態路由傳播。在不存在路由衝突的情況下，ECR關聯的本地IDC均可學習到該路由。

  單擊查看靜態路由發布至ECR的工作原理、使用限制、情境樣本

  工作原理

  • VPC與ECR關聯後，VPC系統路由條目預設發布至ECR。

  • 靜態路由發布至ECR後：

    • ECR會將路由傳播到與其關聯的VBR。若VBR開啟了BGP，則路由會進一步傳播到本地IDC。

    • ECR不會將路由傳播給與其關聯的其他VPC。

  • 如果發布的靜態路由存在路由衝突，可在ECR的路由條目頁簽查看到目標路由條目，其狀態顯示為衝突，且不會生效。

  使用限制

  • VPC自訂路由表配置的路由條目不支援發布至ECR。

  • 目標網段是首碼列表的路由條目不支援發布至ECR。

  • 下一跳是路由器介面（邊界路由器方向）的主備路由和負載路由不支援發布到ECR；VPC路由發布至ECR後，不再支援配置負載路由或主備路由。

  • VPC路由發布至ECR後，若要對發布的路由進行修改，目標路由的下一跳僅可設定為支援發佈動作的路由類型（見下表）。

  • 下表列出了VPC執行個體各類型路由條目在ECR中的預設發布狀態以及是否支援發布和撤回操作。

    單擊查看錶格

    路由類型	路由條目所屬執行個體	是否預設發布	是否支援發佈動作	是否支援撤回操作
    VPC系統路由條目	VPC	是	支援	僅馬來西亞（吉隆坡）支援
    指向IPv4網關的路由條目	VPC	否	支援	支援
    指向IPv6網關的路由條目	VPC	否	支援	支援
    指向NAT Gateway的路由條目	VPC	否	支援	支援
    指向VPC對等串連的路由條目	VPC	否	不支援	不支援
    指向轉寄路由器的路由條目	VPC	否	不支援	不支援
    指向VPN網關的路由條目	VPC	否	支援	支援
    指向ECS執行個體的路由條目	VPC	否	支援	支援
    指向彈性網卡的路由條目	VPC	否	支援	支援
    指向高可用虛擬IP的路由條目	VPC	否	支援	支援
    指向路由器介面（邊界路由器方向）的路由條目	VPC	否	不支援	不支援
    指向路由器介面（專用網路方向）的路由條目	VPC	否	不支援	不支援
    指向專線網關的路由條目	VPC	否	不支援	不支援
    指向網關型負載平衡終端節點的路由條目	VPC	否	支援	支援

  情境樣本

  某企業在阿里雲華東1（杭州）地區擁有本地IDC，並建立了VPC，該企業希望實現雲上雲下平穩互連且保證本地IDC中部署的服務能夠與公網通訊。

  該企業可以將VPC和邊界路由器VBR串連至ECR，建立綁定了EIP的公網NAT Gateway後，使用路由發布至ECR的能力，在不存在路由衝突的情況下，ECR關聯的本地IDC可通過BGP學習到指向NAT Gateway的路由，從而實現本地IDC對公網的訪問。

• 靜態路由發布至轉寄路由器TR：靜態路由發布到轉寄路由器後，在沒有路由衝突，且TR開啟路由同步的情況下，TR串連的網路執行個體均可以接收到該路由。

如果您的VPC同時串連了ECR和TR，那麼將VPC路由發布到ECR和發布到TR這兩個動作獨立，互不影響。

開啟/關閉動態路由接收

所有路由表預設開啟動態路由條目接收。若需採用純靜態路由配置，可針對路由表粒度關閉動態路由接收，按需規劃業務路由表，方便使用者靈活便捷地管理路由配置。

1. 支援關閉的情況：動態路由條目來源為路由傳播-類型ECR，或沒有動態路由傳播到VPC。沒有動態路由傳播到VPC時，路由表詳情頁面的路由條目列表 > 動態路由條目頁簽不顯示動態路由條目來源。

   這些情況暫不支援關閉：VPC串連到了基礎版TR、VPC串連到了企業版TR且TR針對該VPC開啟了路由同步、VPC關聯了VPN網關且VPN網關開啟了路由自動傳播。

2. 關閉後的影響：

   • VPC路由表不再接收其他網路執行個體傳播的路由。如果路由表中已存在動態路由，將全部刪除，請謹慎操作。

   • 不允許VPC串連基礎版TR；串連到此VPC的TR無法針對該VPC開啟路由同步；關聯此VPC的VPN網關無法開啟路由自動傳播。

3. 關閉後重新開啟的影響：

   開啟後，VPC路由表中的動態路由條目，以當前路由動態源傳播過來的路由條目為準。

   例如ECR的動態路由條目有4條，那麼關閉此開關，VPC路由表內的動態路由會清空。如果ECR新增了2條路由條目後，重新開啟了此開關，那麼VPC路由表會收到6條來自ECR的動態路由條目。

variable "name" {
  default = "terraform-example"
}

resource "alicloud_vpc" "defaultVpc" {
  vpc_name = var.name
}

resource "alicloud_route_table" "default" {
  description      = "test-description"
  vpc_id           = alicloud_vpc.defaultVpc.id
  route_table_name = var.name
  associate_type   = "VSwitch"
  route_propagation_enable = true # 修改此參數開啟/關閉動態路由接收 
}

使用自建防火牆

可在VPC中通過ECS自建防火牆，並使用網關路由表將進入VPC的流量引流至防火牆過濾。

GWLB高可用架構

可使用網關型負載平衡GWLB，將流量分發到不同的安全裝置，來提高應用系統的安全性和可用性。

路由到IPv4網關

可將IPv4網關作為企業VPC與公網之間的統一出入口，結合自訂路由表集中控制公網訪問流量，有利於實施統一的安全性原則和審計，降低分散接入帶來的安全風險。

路由到IPv6網關

VPC開啟IPv6後，系統會自動在系統路由表中添加一條自訂路由條目：

• 目標網段為::/0，下一跳為IPv6網關。

該路由用於將預設IPv6流量路由至IPv6網關，為IPv6地址開通IPv6公網頻寬後，與系統路由表綁定的交換器將具備公網通訊能力。

而綁定了自訂路由表的已開啟IPv6的交換器，若需要IPv6公網通訊能力，您需要在自訂路由表中手動添加上述路由條目，

下一跳為IPv6網關執行個體的自訂路由條目，目標網段僅支援配置為::/0。

路由到NAT Gateway

若主動訪問公網的伺服器較多，需佔用較多的公網IP資源時，可通過公網NAT Gateway的SNAT功能，實現VPC內的多個ECS執行個體共用EIP上網，節省公網IP資源。且多個ECS執行個體無需暴露其私網IP地址即可實現公網訪問，降低安全風險。

使用NAT Gateway時，需要為VPC路由表添加指向公網NAT Gateway的自訂路由條目，實現公網訪問。

• 當ECS執行個體所屬交換器綁定自訂路由表時：需手動設定目標網段為0.0.0.0/0，下一跳為公網NAT Gateway的路由條目。

• 當ECS執行個體所屬交換器綁定系統路由表時：

  • 系統路由表中不存在0.0.0.0/0的路由條目：系統將自動設定指向該公網NAT Gateway的路由條目。

  • 系統路由表中存在0.0.0.0/0的路由條目：需要先刪除現有的路由條目，然後添加指向公網NAT Gateway的路由條目。

路由到VPC對等串連

不同VPC之間網路隔離，但可使用VPC對等串連實現同帳號或跨帳號、同地區或跨地區的兩個VPC間的私網互連。在兩個VPC之間建立對等串連後，VPC內部署的雲產品資源可以通過私人IPv4地址或IPv6地址互相訪問。

路由到轉寄路由器

當使用雲企業網連通VPC時，VPC路由表中需添加指向轉寄路由器的路由條目，可選如下任一方式添加：

• 建立VPC串連時，勾選自動為VPC的所有路由表配置指向轉寄路由器的路由。

  開啟本功能後，系統將在VPC執行個體的所有路由表內自動設定目標網段為10.0.0.0/8、172.16.0.0/12、192.168.0.0/16的三條路由條目，其下一跳均指向VPC串連，用於引導VPC執行個體的IPv4流量進入轉寄路由器。

• 在轉寄路由器中開啟路由學習後：針對每個VPC開啟路由同步；或手動在每個VPC路由表中添加指向對端VPC的路由條目。

下圖是在轉寄路由器開啟路由學習後，手動在VPC路由表中添加了目標網段為對端VPC網段、下一跳為轉寄路由器的路由條目樣本：

路由到VPN網關

通過VPN網關建立加密隧道，可實現本機資料中心等網路與雲上專用網路之間安全可靠的網路連接。

使用VPN網關時，需為VPC配置目標網段為本地IDC網段，下一跳為VPN網關的路由，實現VPC通過IPsec-VPN串連訪問本機資料中心。

路由到ECS執行個體或彈性網卡

VPC內2個交換器進行互訪時，可通過調整路由表，將第三方安全裝置（如防火牆、WAF等）串聯到流量路徑中，實現流量檢測、分析和保護。

配置時，需將互訪的交換器分別綁定自訂路由表，並將系統路由條目對應網段的下一跳改為防火牆對應的ECS執行個體，或防火牆的彈性網卡ENI：

路由到路由器介面

通過Express Connect的VBR上連功能，可將本地IDC接入雲上網路。

使用時，需為VPC配置目標網段為本地IDC網段，下一跳類型為路由器介面（邊界路由器方向）的路由，實現VPC通過邊界路由器，訪問本機資料中心。該類型支援負載分擔和主備方式，需要配合健全狀態檢查使用：

主備方式的示意圖：

路由到專線網關

通過使用Express Connect的專線網關ECR，可將本地IDC接入雲上網路。

• VPC預設接收來自ECR的動態路由，目標網段為本地IDC網段，下一跳為專線網關，使雲上VPC與雲下IDC互連。

• VPC路由表關閉了動態路由接收的情況下，需手動在VPC路由表中配置目標網段為本地IDC網段，下一跳為專線網關的路由，實現雲上VPC與雲下本地IDC互連。

路由到網關型負載平衡終端節點

僅這些地區支援網關型負載平衡終端節點，具體使用情境請查看使用網關路由表-GWLB高可用架構。

配額

使用限制

計費

VPC路由表功能免費。