使用背景

用户通过云专线已打通天翼云VPC到云下IDC的互连，由于云下IDC的服务有安全管理需求，需要指定的IP地址，才可以访问；可以选择使用天翼云私有NAT网关转换成IDC信任的私网地址，来实现混合云的私网互通。

方案优势

云专线提供云上云下高速、低时延、稳定安全的专属连接通道，结合私网NAT网关的SNAT功能，可满足各类用户安全合规的需求。

方案涉及产品

VPC，私网NAT网关，云专线

方案架构

本方案网络拓扑架构如图所示

实现方式如下：

1. 通过云专线将用户IDC与VPC1连通。

2. 在VPC1中搭建私网NAT网关。

3. 配置SNAT规则，将ECS的私网地址转换成中转IP地址（IDC信任的私网地址）。

资源规划

操作步骤

步骤一：创建云上VPC环境

配置云专线需要做好云上VPC和本地数据中心的网段规划，确保云上VPC的中转网段和本地IDC网段没有冲突或重叠。

具体操作步骤参见创建VPC

步骤二：开通云专线

1. 云专线的开通参见开通云专线。

2. 专线网关添加客户侧路由，点击专线网关名称，在客户侧路由页签下，点击添加路由，配置如下：

   1. IP类型：可选择IPv4、IPv6和双栈

   2. 客户侧子网段：客户侧子网网段

   3. 路由模式：静态或BGP

   4. 绑定入云物理专线，并设置物理专线优先级

3. 配置完成，点击确定，完成专线网关客户侧路由

4. 专线网关添加VPC，点击专线网关名称，在VPC页签下，点击“添加VPC”，配置如下：

   1. VPC实例类型：同账号

   2. VPC：在下拉框中选中已创建的VPC（VPC-test1）

   3. VPC ID：根据VPC名称自动生成

   4. VPC网段：选则指定的VPC网段（192.168.0.0/16）

   5. 类型：可选择IPv4、IPv6和双栈

   6. 子网：选定VPC中的中转网段（192.168.3.0/24）

   7. 权重：表示当前专线网关到VPC侧路由的权重，多条路由的权重相等时采用负载均衡模式进行流量传输；某条路由的权重值越大，表示该路由优先级越高，可选择0-100

5. 配置完成，点击确定，完成添加VPC。

6. VPC添加完成，客户侧子网将自动发布到VPC默认路由表中。下一跳为云专线网关，下一跳地址为专线网关名称，目的地址为客户侧子网网段。

7. 配置完成，点击确定，完成添加。

步骤三：购买私网NAT网关

1. 登录天翼云控制台，选择”网络>NAT网关>私网NAT网关”。

2. 进入NAT网关控制台，点击右上角“创建私网NAT网关”。

3. 选择付费方式，填写名称，选择可用区，VPC选择环境准备中的创建的VPC，子网选择创建好的中转子网，选择所需规格，点击”下一步”。

4. 确认规格，选择我已阅读并同意相关协议，单击“确认下单”，完成私网NAT网关的创建。

步骤四：创建中转IP地址

1. 登录天翼云控制台，选择”网络>NAT网关>私网NAT网关”。

2. 点击需要添加中转IP地址的私网NAT网关名称，进入私网NAT网关详情页，下拉至中转IP地址标签页，点击添加中转IP。

3. 根据界面提示，选择手动分配，并设定为线下IDC信任IP（192.168.3.5）。

4. 配置完成上述信息，点击“确定”，完成中转IP地址的添加。

步骤五：配置路由

由于私网NAT网关的子网已绑定默认路由表，在开通云专线时，会自动生成到专线网关去往云下IDC的路由，您只需要创建自定义路由表将业务流量引流到私网NAT网关，来管理网络流量。

配置自定义路由表：将云上业务流量引流到私网NAT网关

1. 创建一张“自定义路由表”，进入路由规则页面，绑定VPC的业务子网（192.168.1.0/24）。

2. 在路由规则页面单击“创建“，在弹出页面，选择

   1. IP类型：IPv4

   2. 目的地址：172.16.5.0/24（目标网段：云下IDC的客户侧子网）

   3. 下一跳类型：NAT网关

   4. NAT网关：选择刚创建的私网NAT网关（nat-test1）

3. 点击“确定”，完成私网NAT网关的转发路由配置。

步骤六：配置SNAT功能

1. 单击步骤三中创建的私网NAT网关，进入私网NAT网关详情页，下拉至SNAT规则页签，点击“添加SNAT规则“。

2. 在弹出页面选择配置：

   1. 源网段类型：选择VPC内子网

   2. 子网：云上需要访问IDC服务的主机地址段（192.168.1.0/24）

   3. 中转IP：选择步骤四创建的中转IP（192.168.3.5）

3. 单击”确定”，完成SNAT规则的添加。

4. 等待SNAT规则状态变为运行中，即完成SNAT规则配置。

步骤七：验证连通性

配置完成，测试连通性。

登录云主机（ECS-test1），ping云下IDC客户服务地址，如：172.16.5.100。