华为云实践：实现多VPC跨账户与IDC网络打通

---

前言

本文的主要目的，是记录在华为云中，通过内网NAT（当前处于公测阶段）, VPC及IPSecVPN等实现多个账户下的VPC经由统一的VPN网关与数据中心互通。由于保密原因，部分IP地址进行了对应的改动。

---

一、前置条件

本文的实现主要基于华为云，需要在华为云上拥有两个或以上的子账户。主账户TenantAccount 创建VPN网关与数据中心的互通。子账户SubAccountA下连接内网NAT及VPC 对等连接，间接实现与数据中心的互通。整体结构示例如下图中绿色线框标示。

二、实现步骤

1.主账户配置

a. 公共VPC创建

公共VPC的网段10.124.228.0/24属于内部网段，用于与VPN网关连通。在【虚拟私有云】控制台下创建VPC，并同时创建一个子网10.124.228.0/26。

b. VPN网关创建

在华为云的【虚拟专用网络】下创建VPN网关，指定VPC为刚创建的vpc-public

创建VPC连接，本端子网配置为网段为10.124.228.0/24以及10.124.229.0/24。这两个网段作为规划的公共内网IP段。远端网段配置为10.0.0.0/16（IDC),10.138.118.4/24(办公）,即为我们的目标内网网段。
关于VPN的连接策略，这个需要根据IDC网络支持的方式配置，保持一致即可。

在VPN网关创建后，VPC下的路由表中会默认添加规则，将远端的网段路由至VPN网关。

---

2. 子账户配置

a. 公共VPC创建

如主账户中配置类似，创建10.124.229.0/24的公共网段vpc-public，以及用于某个内部VPC映射的子网10.124.229.0/26。

b. 与主账户的VPC对等连接

本步骤需要创建子账户下的vpc-public与主账户中的vpc-public之间的对等连接。关于创建跨账户的VPC对接连接，主要参考官方文档。

初始创建的时候，需要在主账户中接受。VPC对接连接创建成功后，需要配置路由。

在子账户vpc-public的路由表中，配置将对端子网10.124.228.0/26转发至VPC对等连接。

在主账户vpc-public的路由表中，配置将对端子网10.124.229.0/26转发至VPC对等连接。

c. 私有VPC创建

在子账户中创建一个私有VPC 172.16.0.0/16，并创建若干子网，用于安装不同的组件，如CCE, ELB等。

如下图的示例中，子网172.16.3.0/25用于k8s集群的节点，子网172.16.4.0/25用于ELB、NAT等。

d. 内网NAT创建

在【虚拟私有云】的内网NAT网关控制台，创建用于公用IP段的子网，直接使用公共VPC的已创建的子网即可（不同的VPC可以创建不同的子网）。

并根据实际需要，申请若干公用IP。

在私有VPC下创建一个NAT网关，并指定子网为172.16.4.0/25。

按需要配置SNAT/DNAT规则。我们配置SNAT规则，用于云端访问内网。

配置DNAT规则，用于内网访问云端。我们将k8s集群的ELB的开放给内网访问。

e. 私有VPC路由配置

创建好内网NAT后，需要配置路由规则，将访问需要访问的内网地址段（即VPN网关的远端IP段）的下一跳设置了内网NAT。

3. 测试验证

a. 通过内网访问ELB

我们的DNS解析，将应用的域名映射为ELB的内部IP 10.124.229.18。可以正常访问。

b. 云端访问IDC主机

总结

以上主要记录在华为云中实现跨账户通过统一的VPN网关访问IDC的过程。其主要流程如下：

1. 账户A下的私有VPC-A里的通过NAT路由至公用VPC-A
2. 账户A下的公用VPC-A，与账户B下的公用VPC-B建对等连接
3. 账户B下的公有VPC-B通过VPN 网关与IDC互通

有关ACL及安全组的配置不在此文范围内，具体明细请参考华为云官方文档，此内容供个人参考！