跨地域专线组网中子网划分需统筹物理隔离、路由收敛、故障域控制与扩展性，核心是统一规划全局地址空间（如10.0.0.0/8），按地域/角色一级划分，专线互联子网用/30或/31最小化独占，流量路径与子网强绑定，并规避MTU不一致、rp_filter严格模式、子网重叠等专线专属风险。
跨地域专线组网中，子网划分不是简单地“把IP切小”，而是要兼顾物理链路隔离、路由收敛性、故障域控制和未来互通扩展性。核心矛盾在于：专线两端的本地IDC与云VPC属于不同管理域，但流量必须端到端可达；若子网设计不当，极易出现路由黑洞、双向不通、NAT冲突或策略无法精准匹配等问题。
先锁定全局地址空间，避免后期互连踩坑
专线组网成败的第一步，是统一规划整个混合云网络的私网地址池——不能让IDC用192.168.10.0/24，VPC用192.168.10.0/24，也不能让两个异地IDC各自用10.0.0.0/16互不协调。
- 推荐采用10.0.0.0/8作为主干地址段，按地域/角色做一级划分：例如10.10.0.0/16给华东IDC，10.20.0.0/16给华北IDC，10.30.0.0/16给阿里云华东1 VPC，10.40.0.0/16给阿里云华北2 VPC
- 每个大段内部再按业务分层：如10.10.1.0/24为华东IDC办公终端，10.10.10.0/24为华东IDC核心服务器，10.10.100.0/24为专线互联子网（仅用于两端路由器接口）
- 专线互联子网必须独占、最小化、不复用：建议统一用 /30 或 /31（点对点链路），例如10.10.255.0/30 和 10.20.255.0/30 分别用于两段IDC—VPC互联，避免占用主机位、减少广播干扰、便于BFD快速检测
按流量走向设计子网边界，而非按物理位置硬切
专线不是“一根网线拉通所有子网”，而是承载特定业务流。子网划分需与流量路径强绑定。
- 数据库同步流量走专用子网：IDC侧用10.10.50.0/26，VPC侧用10.30.50.0/26，两端通过静态路由+ACL严格限流，不参与默认路由表
- 办公用户访问云应用走另一套路径：IDC侧办公网段10.10.1.0/24发布到云企业网CEN，VPC内通过自定义路由指向CEN，同时在安全组中只放行443/80，不开放SSH/RDP等管理端口
- 禁止将访客Wi-Fi、IoT设备等低信任度子网直接接入专线：它们应通过NAT或独立出口上网，不得进入跨地域路由域
Linux网关/路由器配置必须双确认机制
专线两端常由Linux服务器或软路由担当PE设备，其子网配置错误会直接中断整条链路。
- 临时验证阶段：用ip addr add 10.10.255.1/30 dev eth1配互联地址，ip route add 10.30.0.0/16 via 10.10.255.2加静态路由，再ping对端互联地址和VPC内任一ECS私网IP
- 永久生效阶段：Ubuntu用Netplan写死routes:和addresses:，Debian用/etc/network/interfaces配置post-up路由命令；务必检查ip rule show和ip route show table all，排除多路由表冲突
- 启用转发且限制方向：echo 1 > /proc/sys/net/ipv4/ip_forward，再用iptables -t filter -A FORWARD -i eth1 -o eth0 -j ACCEPT显式放行，禁用默认FORWARD策略
规避三类专线专属风险点
这些错误在普通LAN环境不致命，但在跨地域专线中会导致“看似连通、实则丢包”或“策略失效”：
- MTU不一致：IDC侧交换机MTU=1500，云VPC默认Jumbo Frame=9001，中间专线设备若未调平，大包被静默丢弃。建议全链路统一设为1400，并在Linux侧加ip link set dev eth1 mtu 1400
- 反向路径校验（rp_filter）开启：Linux默认启用strict模式，当回程路径与入向接口不一致时（如主备线路切换），数据包被丢弃。应设为net.ipv4.conf.all.rp_filter = 2（loose模式）
- 子网重叠但路由未屏蔽：IDC有172.16.100.0/24，VPC也规划了同网段——即使不主动发布，BGP或静态路由若未加前缀列表过滤，仍可能引发ECMP哈希异常或ARP代理混乱
