专有网络 VPC：VPC路由表

路由表

创建VPC时，系统自动创建一张系统路由表，默认绑定VPC内所有交换机，控制VPC的流量。

当VPC内不同ECS访问相同的目标网段时，若需要通过不同的网络路径转发流量，可以使用自定义路由表。通过将ECS实例分别部署在不同的交换机下，并为每个交换机单独绑定自定义路由表，可实现精细化的流量控制。

当需要对进入VPC的公网流量通过自建防火墙防护时，可以使用网关路由表（绑定边界网关的自定义路由表）。通过将网关路由表与IPv4/IPv6网关绑定，可将进入VPC的公网流量定向到自建防火墙，实现对流量的统一过滤、审计和安全策略管控。

每种路由表的具体区别：

对比项	系统路由表	自定义路由表
绑定对象	交换机	交换机	IPv4/IPv6网关
示意图
使用场景	默认绑定所有新建的交换机，统一控制交换机的流量	单独绑定目标交换机，控制目标交换机流量流向	绑定IPv4/IPv6网关，进行入方向公网流量安全引流
创建方式	创建VPC时，系统自动创建	由您手动创建，创建路由表时选择交换机类型	由您手动创建，创建路由表时选择边界网关类型
是否可删除	无法删除	可删除， 需要先与交换机解绑	可删除，需要先与IPv4/IPv6网关解绑
配额	一个VPC只有一个系统路由表	一个VPC默认支持创建9个绑定交换机的自定义路由表，可提升配额	一个VPC只能创建一个绑定IPv4/IPv6网关的路由表

每个交换机必须绑定路由表，且只能绑定1张路由表。1张路由表可绑定多个交换机。

1. 静态路由条目

系统自动添加或您手动添加的路由条目，为静态路由条目。包括2种：

• 系统路由条目：由系统在创建VPC和交换机时自动添加、下一跳为Local的路由条目，用于VPC内部实例间通信或访问云服务。

• 自定义路由条目：由您手动添加的路由条目，用于自定义流量转发路径。

如下图所示，2个VPC通过对等连接连通，其中VPC1的系统路由表包含如下静态路由条目：

1. 创建VPC和交换机后，系统自动添加下一跳为Local的系统路由条目：

   1. 云服务路由：目标网段100.64.0.0/10，用于VPC1内部实例访问云服务。

   2. 交换机网段路由：目标网段10.0.0.0/24，用于VPC1内交换机私网之间相互通信。

2. 创建VPC对等连接后，您需要手动添加的自定义路由条目：

   目标网段172.16.0.0/16，下一跳对等连接，用于将前往VPC2的流量转发至对等连接。

VPC2的系统路由表中的路由条目与VPC1原理相同，此处不再赘述。

2. 动态路由条目

动态路由是其他网络实例传播至VPC的路由条目，无需像静态路由那样手动在VPC路由表中配置，而是自动从路由动态源接收和更新。

路由优先级

VPC路由表中的路由条目，按照如下规则匹配优先级：

• 存在目标网段重叠的路由条目时：

  IPv4 和 IPv6 流量路由彼此独立，按照最长前缀匹配规则，选择与目的网段与目的IP地址匹配的最明确路由，确定下一跳并进行转发。

  最长前缀匹配：当有多条路由条目的目标网段都能匹配上数据包的目的IP地址时，系统会采用掩码最长（即网段范围最精确）的那条路由。例如，去往 192.168.1.100 的流量，会优先匹配 192.168.1.0/24 而非 192.168.0.0/16。

• 新增路由条目与已有路由条目的目标网段重叠时：

  操作	已有系统路由	已有自定义路由	已有动态路由
  创建交换机	交换机的网段，不支持和已有系统路由重叠	交换机的网段，不支持： 和已有自定义路由目标网段相同 包含自定义路由目标网段范围	交换机的网段，不支持： 和已有动态路由目标网段相同 包含动态路由目标网段范围
  新增自定义路由	新增自定义路由的目标网段，不支持： 和已有系统路由条目的网段相同 比已有系统路由更明细	新增自定义路由的目标网段，不支持和已有自定义路由的目标网段相同 如果下一跳类型为路由器接口（边界路由器方向），支持配置主备或负载路由，详情见路由到路由器接口。	新增自定义路由时，不支持和已有动态路由目标网段相同。 新增自定义路由下一跳是VPN网关或路由器接口类型时，对于已有来自CEN的目标网段相同的动态路由：动态路由撤销，自定义路由生效。
  接收动态路由	不支持和已有系统路由目标网段相同。 比已有系统路由的目标网段更明细时，动态路由不生效： 路由动态源为ECR时，动态路由会展示在VPC路由表中但状态为候选，暂不参与转发。 路由动态源为VPN网关、企业版TR或基础版TR时，动态路由不会传播到VPC路由表。	和已有自定义路由目标网段相同时，动态路由不生效。 路由动态源为ECR时，动态路由会展示在VPC路由表中但状态为候选，暂不参与转发。 路由动态源为VPN网关、企业版TR或基础版TR时，动态路由不会传播到VPC路由表。 自定义路由删除后，动态路由自动生效。	不支持，当前VPC路由表只有单一路由传播源。

创建/删除路由表

您需要先创建一张自定义路由表，才能绑定到目标交换机或IPv4/IPv6网关。

variable "name" {
  default = "terraform-example"
}

resource "alicloud_vpc" "defaultVpc" {
  vpc_name = var.name
}


resource "alicloud_route_table" "default" {
  description      = "test-description"
  vpc_id           = alicloud_vpc.defaultVpc.id
  route_table_name = var.name
  associate_type   = "VSwitch"
}

绑定/解绑路由表

新建的自定义路由表默认不绑定任何资源，您需要将其绑定到交换机或IPv4/IPv6网关后，路由表才会生效。

variable "name" {
  default = "terraform-example"
}

resource "alicloud_vpc" "foo" {
  cidr_block = "172.16.0.0/12"
  vpc_name   = var.name
}

data "alicloud_zones" "default" {
  available_resource_creation = "VSwitch"
}

resource "alicloud_vswitch" "foo" {
  vpc_id       = alicloud_vpc.foo.id
  cidr_block   = "172.16.0.0/21"
  zone_id      = data.alicloud_zones.default.zones[0].id
  vswitch_name = var.name
}

resource "alicloud_route_table" "foo" {
  vpc_id           = alicloud_vpc.foo.id
  route_table_name = var.name
  description      = "route_table_attachment"
}

resource "alicloud_route_table_attachment" "foo" {
  vswitch_id     = alicloud_vswitch.foo.id
  route_table_id = alicloud_route_table.foo.id
}

resource "alicloud_vpc" "example" {
  cidr_block = "172.16.0.0/12"
  vpc_name   = "terraform-example"
}

resource "alicloud_route_table" "example" {
  vpc_id           = alicloud_vpc.example.id
  route_table_name = "terraform-example"
  description      = "terraform-example"
  associate_type   = "Gateway"
}

resource "alicloud_vpc_ipv4_gateway" "example" {
  ipv4_gateway_name = "terraform-example"
  vpc_id            = alicloud_vpc.example.id
  enabled           = true
}

resource "alicloud_vpc_gateway_route_table_attachment" "example" {
  ipv4_gateway_id = alicloud_vpc_ipv4_gateway.example.id
  route_table_id  = alicloud_route_table.example.id
}

添加/删除路由条目

针对绑定交换机的路由表，可通过手动添加路由条目来控制交换机的流量路径。自行添加的路由条目会被归类为自定义路由条目。

在IPv4/IPv6网关绑定的路由表中，不支持自行添加路由条目，但您可以更改路由条目下一跳。

resource "alicloud_route_entry" "foo" {
  route_table_id        = "rt-12345xxxx" # 填写路由表id 
  destination_cidrblock = "172.16.1.1/32"
  nexthop_type          = "Instance" # 填写下一跳类型 
  nexthop_id            = "i-12345xxxx" # 填写下一跳实例id 
}

更改路由条目下一跳

可通过更改路由条目的下一跳，来改变目标网段的流量路径。

• 系统路由条目：仅自定义路由表（包含网关路由表）中的系统路由条目支持更改下一跳，更改后条目类型会变为自定义路由条目，删除后变回系统路由条目。

• 自定义路由条目：无路由表类型限制，系统路由表和自定义路由表的自定义路由条目均支持修改下一跳。

您可在系统路由条目与自定义路由条目对比中查看目标网段和下一跳支持的类型。

resource "alicloud_route_entry" "foo" {
  route_table_id        = "rt-12345xxxx" # 填写路由表id 
  destination_cidrblock = "172.16.1.1/32"
  nexthop_type          = "Instance" # 更改下一跳类型
  nexthop_id            = "i-12345xxxx" # 填写下一跳实例id 
}

发布/撤回静态路由

路由表中的路由可传播至专线网关（ECR）或转发路由器（TR），结合动态路由接收，简化路由配置复杂度。

• 静态路由发布至专线网关ECR：静态路由发布到ECR后，可实现从云上ECR到云下IDC的动态路由传播。在不存在路由冲突的情况下，ECR关联的本地IDC均可学习到该路由。

  单击查看静态路由发布至ECR的工作原理、使用限制、场景示例

  工作原理

  • VPC与ECR关联后，VPC系统路由条目默认发布至ECR。

  • 静态路由发布至ECR后：

    • ECR会将路由传播到与其关联的VBR。若VBR开启了BGP，则路由会进一步传播到本地IDC。

    • ECR不会将路由传播给与其关联的其他VPC。

  • 如果发布的静态路由存在路由冲突，可在ECR的路由条目页签查看到目标路由条目，其状态显示为冲突，且不会生效。

  使用限制

  • VPC自定义路由表配置的路由条目不支持发布至ECR。

  • 目标网段是前缀列表的路由条目不支持发布至ECR。

  • 下一跳是路由器接口（边界路由器方向）的主备路由和负载路由不支持发布到ECR；VPC路由发布至ECR后，不再支持配置负载路由或主备路由。

  • VPC路由发布至ECR后，若要对发布的路由进行修改，目标路由的下一跳仅可设置为支持发布操作的路由类型（见下表）。

  • 下表列出了VPC实例各类型路由条目在ECR中的默认发布状态以及是否支持发布和撤回操作。

    单击查看表格

    路由类型	路由条目所属实例	是否默认发布	是否支持发布操作	是否支持撤回操作
    VPC系统路由条目	VPC	是	支持	仅马来西亚（吉隆坡）支持
    指向IPv4网关的路由条目	VPC	否	支持	支持
    指向IPv6网关的路由条目	VPC	否	支持	支持
    指向NAT网关的路由条目	VPC	否	支持	支持
    指向VPC对等连接的路由条目	VPC	否	不支持	不支持
    指向转发路由器的路由条目	VPC	否	不支持	不支持
    指向VPN网关的路由条目	VPC	否	支持	支持
    指向ECS实例的路由条目	VPC	否	支持	支持
    指向弹性网卡的路由条目	VPC	否	支持	支持
    指向高可用虚拟IP的路由条目	VPC	否	支持	支持
    指向路由器接口（边界路由器方向）的路由条目	VPC	否	不支持	不支持
    指向路由器接口（专有网络方向）的路由条目	VPC	否	不支持	不支持
    指向专线网关的路由条目	VPC	否	不支持	不支持
    指向网关型负载均衡终端节点的路由条目	VPC	否	支持	支持

  场景示例

  某企业在阿里云华东1（杭州）地域拥有本地IDC，并创建了VPC，该企业希望实现云上云下平稳互通且保证本地IDC中部署的服务能够与公网通信。

  该企业可以将VPC和边界路由器VBR连接至ECR，创建绑定了EIP的公网NAT网关后，使用路由发布至ECR的能力，在不存在路由冲突的情况下，ECR关联的本地IDC可通过BGP学习到指向NAT网关的路由，从而实现本地IDC对公网的访问。

  

• 静态路由发布至转发路由器TR：静态路由发布到转发路由器后，在没有路由冲突，且TR开启路由同步的情况下，TR连接的网络实例均可以接收到该路由。

如果您的VPC同时连接了ECR和TR，那么将VPC路由发布到ECR和发布到TR这两个动作独立，互不影响。

开启/关闭动态路由接收

所有路由表默认开启动态路由条目接收。若需采用纯静态路由配置，可针对路由表粒度关闭动态路由接收，按需规划业务路由表，方便用户灵活便捷地管理路由配置。

1. 支持关闭的情况：动态路由条目来源为路由传播-类型ECR，或没有动态路由传播到VPC。没有动态路由传播到VPC时，路由表详情页面的路由条目列表 > 动态路由条目页签不显示动态路由条目来源。

   这些情况暂不支持关闭：VPC连接到了基础版TR、VPC连接到了企业版TR且TR针对该VPC开启了路由同步、VPC关联了VPN网关且VPN网关开启了路由自动传播。

2. 关闭后的影响：

   • VPC路由表不再接收其他网络实例传播的路由。如果路由表中已存在动态路由，将全部删除，请谨慎操作。

   • 不允许VPC连接基础版TR；连接到此VPC的TR无法针对该VPC开启路由同步；关联此VPC的VPN网关无法开启路由自动传播。

3. 关闭后重新开启的影响：

   开启后，VPC路由表中的动态路由条目，以当前路由动态源传播过来的路由条目为准。

   例如ECR的动态路由条目有4条，那么关闭此开关，VPC路由表内的动态路由会清空。如果ECR新增了2条路由条目后，重新开启了此开关，那么VPC路由表会收到6条来自ECR的动态路由条目。

variable "name" {
  default = "terraform-example"
}

resource "alicloud_vpc" "defaultVpc" {
  vpc_name = var.name
}

resource "alicloud_route_table" "default" {
  description      = "test-description"
  vpc_id           = alicloud_vpc.defaultVpc.id
  route_table_name = var.name
  associate_type   = "VSwitch"
  route_propagation_enable = true # 修改此参数开启/关闭动态路由接收 
}

使用自建防火墙

可在VPC中通过ECS自建防火墙，并使用网关路由表将进入VPC的流量引流至防火墙过滤。

GWLB高可用架构

可使用网关型负载均衡GWLB，将流量分发到不同的安全设备，来提高应用系统的安全性和可用性。

路由到IPv4网关

可将IPv4网关作为企业VPC与公网之间的统一出入口，结合自定义路由表集中控制公网访问流量，有利于实施统一的安全策略和审计，降低分散接入带来的安全风险。

路由到IPv6网关

VPC开启IPv6后，系统会自动在系统路由表中添加一条自定义路由条目：

• 目标网段为::/0，下一跳为IPv6网关。

该路由用于将默认IPv6流量路由至IPv6网关，为IPv6地址开通IPv6公网带宽后，与系统路由表绑定的交换机将具备公网通信能力。

而绑定了自定义路由表的已开启IPv6的交换机，若需要IPv6公网通信能力，您需要在自定义路由表中手动添加上述路由条目，

下一跳为IPv6网关实例的自定义路由条目，目标网段仅支持配置为::/0。

路由到NAT网关

若主动访问公网的服务器较多，需占用较多的公网IP资源时，可通过公网NAT网关的SNAT功能，实现VPC内的多个ECS实例共享EIP上网，节省公网IP资源。且多个ECS实例无需暴露其私网IP地址即可实现公网访问，降低安全风险。

使用NAT网关时，需要为VPC路由表添加指向公网NAT网关的自定义路由条目，实现公网访问。

• 当ECS实例所属交换机绑定自定义路由表时：需手动配置目标网段为0.0.0.0/0，下一跳为公网NAT网关的路由条目。

• 当ECS实例所属交换机绑定系统路由表时：

  • 系统路由表中不存在0.0.0.0/0的路由条目：系统将自动配置指向该公网NAT网关的路由条目。

  • 系统路由表中存在0.0.0.0/0的路由条目：需要先删除现有的路由条目，然后添加指向公网NAT网关的路由条目。

路由到VPC对等连接

不同VPC之间网络隔离，但可使用VPC对等连接实现同账号或跨账号、同地域或跨地域的两个VPC间的私网互通。在两个VPC之间建立对等连接后，VPC内部署的云产品资源可以通过私有IPv4地址或IPv6地址互相访问。

路由到转发路由器

当使用云企业网连通VPC时，VPC路由表中需添加指向转发路由器的路由条目，可选如下任一方式添加：

• 创建VPC连接时，勾选自动为VPC的所有路由表配置指向转发路由器的路由。

  开启本功能后，系统将在VPC实例的所有路由表内自动配置目标网段为10.0.0.0/8、172.16.0.0/12、192.168.0.0/16的三条路由条目，其下一跳均指向VPC连接，用于引导VPC实例的IPv4流量进入转发路由器。

• 在转发路由器中开启路由学习后：针对每个VPC开启路由同步；或手动在每个VPC路由表中添加指向对端VPC的路由条目。

下图是在转发路由器开启路由学习后，手动在VPC路由表中添加了目标网段为对端VPC网段、下一跳为转发路由器的路由条目示例：

路由到VPN网关

通过VPN网关建立加密隧道，可实现本地数据中心等网络与云上专有网络之间安全可靠的网络连接。

使用VPN网关时，需为VPC配置目标网段为本地IDC网段，下一跳为VPN网关的路由，实现VPC通过IPsec-VPN连接访问本地数据中心。

路由到ECS实例或弹性网卡

VPC内2个交换机进行互访时，可通过调整路由表，将第三方安全设备（如防火墙、WAF等）串联到流量路径中，实现流量检测、分析和保护。

配置时，需将互访的交换机分别绑定自定义路由表，并将系统路由条目对应网段的下一跳改为防火墙对应的ECS实例，或防火墙的弹性网卡ENI：

路由到路由器接口

通过高速通道的VBR上连功能，可将本地IDC接入云上网络。

使用时，需为VPC配置目标网段为本地IDC网段，下一跳类型为路由器接口（边界路由器方向）的路由，实现VPC通过边界路由器，访问本地数据中心。该类型支持负载分担和主备方式，需要配合健康检查使用：

主备方式的示意图：

路由到专线网关

通过使用高速通道的专线网关ECR，可将本地IDC接入云上网络。

• VPC默认接收来自ECR的动态路由，目标网段为本地IDC网段，下一跳为专线网关，使云上VPC与云下IDC互通。

• VPC路由表关闭了动态路由接收的情况下，需手动在VPC路由表中配置目标网段为本地IDC网段，下一跳为专线网关的路由，实现云上VPC与云下本地IDC互通。

路由到网关型负载均衡终端节点

仅这些地域支持网关型负载均衡终端节点，具体使用场景请查看使用网关路由表-GWLB高可用架构。

配额

使用限制

计费

VPC路由表功能免费。