2.1 什么是物理专线#

物理专线就是运营商给你拉一条独占的物理光纤，从你的 IDC 机房直接连到云厂商的接入点（POP 点）。整条链路只有你一个用户用，不跟别人共享带宽。

从架构上看，物理专线涉及几个关键组件：

2.2 专线的核心特点#

物理隔离，安全性最高

整条链路只有你自己用，数据不经过公网，不存在被窃听或中间人攻击的风险。金融、政务、医疗等对数据安全有强合规要求的行业，专线基本是必选项。

带宽高且稳定

单条专线支持的带宽规格从 1Mbps 一直到 100Gbps，还可以通过 ECMP 多链路聚合继续扩容。带宽是独享的，不会因为邻居用得多你就卡。

延迟极低

同地域专线延迟通常在 毫秒级（典型 <5ms） ，远低于公网的几十毫秒。对延迟敏感的业务——比如高频交易、实时音视频、数据库同步——专线是刚需。

施工周期长

这是专线最大的缺点。独享专线需要运营商现场工勘、铺光纤、熔接、调试，整个流程下来 1~3 个月 很正常。共享专线（合作伙伴预连接的）会快一些，一般 1 个月内。

成本高

专线费用 = 端口费 + 线路费。端口费是给云厂商的，按带宽阶梯计费；线路费是给运营商的，跟距离成正比。跨省专线一年几十万很正常，这也是很多小客户望而却步的原因。

3.1 什么是 IPsec VPN#

VPN（Virtual Private Network，虚拟专用网络）是在公共互联网上通过加密技术建立一条”虚拟的专用隧道”。数据虽然走公网，但全程加密，别人看不到内容。

云厂商提供的站点到站点 VPN，用的都是 IPsec 协议簇。

3.2 IPsec 的工作原理#

IPsec 不是一个单一协议，而是一整套安全框架，核心分两个阶段：

第一阶段（IKE SA） ：两边网关先互相认证身份，协商加密算法、密钥等参数，建立一个管理用的安全联盟（SA）。这一步比较慢，但建立后可以长期复用。

第二阶段（IPsec SA） ：在第一阶段的保护下，协商真正用于数据传输的加密策略，建立数据通道。这一步很快，有流量才建立，没流量超时会断开。

3.3 两种封装模式：传输 vs 隧道#

IPsec 有两种封装模式，本质区别是加密范围不同：

云厂商的 VPN 网关默认用的都是隧道模式——因为两边是网关设备，内部私网地址需要被封装起来，用网关的公网 IP 作为隧道端点。

3.4 VPN 的核心特点#

部署快，即开即用

只要两边有公网 IP，控制台点几下配置好 IKE 策略，几分钟就能通。不需要施工、不需要等运营商，应急场景首选。

成本低

VPN 网关本身很便宜，主要成本就是公网带宽费。跟专线比，成本可能差一个数量级。

带宽受限于公网质量

这是 VPN 最大的短板。单 VPN 网关带宽上限一般 1~3Gbps，实际能跑到多少完全取决于公网质量。延迟、丢包、抖动都跟公网一致，高峰期可能很卡。

安全性够用但不是最高

IPsec 的加密强度（AES-256 + SHA-256）在技术上是安全的，但毕竟走公网，存在 DDoS 攻击面，合规要求高的场景还是不如物理隔离的专线。

4.1 什么是云企业网#

云企业网（阿里云叫 CEN，腾讯云叫 CCN 云联网，天翼云叫云联网）不是一种新的物理连接方式，而是一个网络编排层。

它的作用是：把你所有的网络节点——多个地域的 VPC、多个 IDC 的专线接入、多个分支的 VPN 接入——全部挂到一张”全网状”的逻辑网络上，自动学习路由，实现全域互通。

4.2 为什么需要云企业网#

如果只有一个 IDC 接一个 VPC，那直接专线 + VBR 就够了。但企业规模一大，问题就来了：

• 多个地域都有 VPC，两两之间建对等连接，N 个 VPC 就是 N² 条连接，管理噩梦
• 多个 IDC 分别接专线，路由得手动一条条配，改个网段全网同步
• 专线 + VPN 混合接入，路由优先级、主备切换得自己折腾

云企业网就是解决这些问题的：所有网络实例往云企业网里一挂，路由自动学习、自动分发，跨地域走云厂商的骨干网，统一管理、统一监控。

4.3 云企业网的价值#

注意：云企业网本身不提供物理接入，它是编排层。IDC 还是得通过专线或 VPN 先接进来，再挂到云企业网上。

5.1 综合对比总表#

5.2 雷达图直观对比#

5.3 成本模型对比#

6.1 阿里云体系#

阿里云的网络产品线最完整：

• 高速通道：物理专线接入产品，分独享端口和共享端口
• VPN 网关：IPsec-VPN 和 SSL-VPN 两种，支持主备隧道
• 云企业网 CEN：全域互联核心，支持加载 VPC、VBR、VPN 网关
• 智能接入网关 SAG：硬件盒子，给分支办公室用，自动加密上云

6.2 腾讯云体系#

腾讯云跟阿里云基本一一对应：

• 专线接入 DC：物理专线产品，支持 1G/10G 端口
• VPN 连接：IPsec VPN，分 VPC 型和 CCN 型两种网关
• 云联网 CCN：对应阿里云 CEN，支持多地域多账号互联

6.3 天翼云体系#

天翼云依托中国电信自身的线路资源，专线优势明显：

• 云专线 CDA：依托电信 CN2 骨干网，MSTP/MPLS 多种接入方式
• VPN 连接：标准 IPsec VPN，支持与云专线互备
• 云联网：多 VPC 多地域互联产品

天翼云的优势在于最后一公里——毕竟电信自己就是运营商，专线施工和价格往往有优势，尤其是政企客户走电信线路的场景。

7.1 主备切换原理#

正常情况下，所有流量走物理专线（BGP 路由优先级高）。当专线故障时，路由自动收敛，流量切到 VPN 备份链路上。

切换触发方式：

• BGP 动态路由：专线跑 BGP，断了路由自动撤销，VPN 的静态路由顶上
• 健康检查 + 静态路由：配置健康检查探测专线状态，失败自动切换

切换时间一般在秒级到分钟级，取决于路由协议和健康检查配置。对于核心业务，建议配 BFD（双向转发检测），可以把故障检测时间压到毫秒级。

7.2 为什么推荐这个架构#

1. 可靠性拉满：单专线 SLA 99.95%，加上 VPN 备份后整体可用性接近 99.99%
2. 成本可控：备份 VPN 平时流量很小，主要成本还是专线，增加不多
3. 配置简单：三家云厂商官方都有现成的主备方案文档，照着配就行
4. 平滑迁移：可以先开 VPN 跑测试业务，专线通了再切过去，不影响业务

8.1 选物理专线的场景#

• 核心生产系统上云，对网络质量有 SLA 要求
• 金融、政务、医疗等强合规行业，数据不能走公网
• 大带宽需求（比如 1Gbps 以上），长期稳定跑量
• 数据库同步、实时备份、容灾等低延迟场景
• 预算充足，追求稳定可靠

8.2 选 IPsec VPN 的场景#

• 测试环境、开发环境上云，对质量要求不高
• 分支办公室、远程办公，带宽需求小
• 临时上云、应急扩容，等不及专线施工
• 作为专线的备份链路（强烈推荐）
• 预算有限的中小企业

8.3 选云企业网的场景#

• 有两个以上地域的 VPC 需要互通
• 多个 IDC / 多个分支同时接入，统一管理
• 混合云组网复杂，手动配置路由太麻烦
• 跨地域业务对网络质量有要求（走骨干优于公网）

一句话总结：

单节点、小流量、临时用 → VPN；核心生产、大带宽、强合规 → 专线；多地域多节点组网 → 云企业网打底 + 专线/VPN 接入。

Q1：专线施工太慢，业务等不及怎么办？#

A：先开 VPN 顶着用，专线慢慢施工。专线通了之后 VPN 留着做备份，一举两得。很多企业都是这么干的。

Q2：VPN 会不会很慢？能不能跑数据库同步？#

A：取决于公网质量。同运营商、同地域的公网质量其实还可以，跑个几十 M 的同步没问题。但跨运营商、高峰期就不好说了。核心数据库同步还是建议专线。

Q3：云上多个 VPC，是两两对等连接还是上云企业网？#

A：2~3 个 VPC 且同地域，对等连接够用还便宜。4 个以上、跨地域、后面还要加节点，直接上云企业网，省得后面维护路由头大。

Q4：天翼云的专线是不是比阿里腾讯便宜？#

A：不一定，但天翼云背靠中国电信，在线路资源上确实有优势。尤其是客户本身就是电信专线、或者在电信机房里的，天翼云专线对接往往更顺、价格也可能更好。建议三家都询价对比。

Q5：VPN 的 IPsec 隧道经常断怎么办？#

A：常见原因：

1. 两边 IKE 生命周期不一致，一端超时了另一端还没重协商
2. NAT 穿越问题，中间有防火墙改了端口
3. 公网抖动太厉害，丢包严重导致 SA 超时
4. 对端设备兼容性问题，某些厂商 VPN 设备跟云厂商默认参数不匹配

建议先确认两边的 IKE/IPsec 参数（加密算法、认证算法、生命周期）完全一致，再排查网络连通性。

好了，以上就是政企上云三种网络连接方式的完整对比。混合云网络是个挺深的话题，今天先把基础框架搭起来，后面有机会再聊聊 BGP 路由配置、专线主备方案细节、云企业网带宽包优化这些实战内容。

如果你正在做上云项目，拿不准选型或者配置遇到坑，欢迎留言交流。