同AWS账户下CIDR重叠的两个VPC连接方案咨询

当两个VPC的CIDR网段重叠时，VPC peering直接连接是不可行的，以下是几种实操性强的解决办法：

方案1：搭建中转VPC做地址转换 #

• 新建一个和两个现有VPC CIDR都不重叠的中转VPC，在里面部署一台Linux ECS作为中转节点，先开启IP转发：

  echo 1 > /proc/sys/net/ipv4/ip_forward
  echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
  sysctl -p
  

• 分别建立中转VPC与两个目标VPC的VPC peering连接（因为中转VPC的CIDR不冲突，所以可以正常创建）
• 配置路由表：
  • 在RDS所在VPC的路由表中，添加规则：将新ECS所在VPC的重叠网段指向与中转VPC的peering连接
  • 在新ECS所在VPC的路由表中，添加规则：将RDS所在VPC的重叠网段指向与中转VPC的peering连接
  • 在中转VPC的路由表中，添加两条规则，分别指向两个目标VPC的peering连接
• 在中转ECS上配置iptables的SNAT/DNAT规则，实现地址映射：
  比如新ECS VPC的CIDR是192.168.0.0/24，RDS VPC的CIDR也是192.168.0.0/24，就把新ECS的源地址转换成中转VPC内的10.0.0.0/24网段，再转发到RDS：

  # SNAT：将新ECS的流量源地址转为中转ECS的内网地址或自定义网段
  iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 192.168.0.0/24 -j SNAT --to-source 10.0.0.10
  # DNAT：将目标为RDS的流量地址转换回原RDS网段
  iptables -t nat -A PREROUTING -d 10.0.0.10 -p tcp --dport 3306 -j DNAT --to-destination [RDS内网地址]
  

• 同步更新所有相关安全组和网络ACL，允许中转流量的进出

方案2：通过公网+NAT网关访问 #

• 开启RDS的公网访问权限，绑定弹性公网IP（如果RDS在私有子网，也可以通过VPC的NAT网关实现公网访问，具体看云厂商配置）
• 在新ECS所在VPC的私有子网中部署NAT网关，把该子网的路由表公网流量指向NAT网关
• 修改RDS的安全组，添加规则允许NAT网关的公网IP（或新ECS所在VPC的公网出口IP）访问RDS的服务端口（如MySQL的3306）
• 新ECS直接通过RDS的公网地址连接即可，建议开启RDS的SSL加密传输，避免数据泄露
• 这个方案适合流量小、对延迟要求不高的场景，不需要改动现有VPC结构

方案3：重新调整其中一个VPC的CIDR（需停机维护） #

• 如果业务能接受停机，优先选择调整新ECS所在的VPC（因为资源更少）：
  1. 备份该VPC内所有资源的配置和数据
  2. 把ECS、负载均衡等资源迁移到临时VPC或云厂商的其他存储服务
  3. 删除原有子网，修改VPC的CIDR为不重叠的网段，重新创建子网
  4. 把资源迁移回新子网，重新配置网络和业务
  5. 建立两个VPC的peering连接，配置路由和安全组，恢复访问
• 注意：这个方案风险较高，必须提前做好回滚计划，避免业务长时间中断

方案4：使用云厂商的中转网关服务 #

• 主流云厂商都提供中转网关（比如AWS Transit Gateway、阿里云中转路由器），支持连接多个CIDR重叠的VPC
• 创建中转网关后，分别将两个VPC与网关关联，在网关中配置地址转换规则：把两个重叠的网段分别映射为网关内的非重叠网段
• 配置每个VPC的路由表，将对方VPC的流量指向中转网关
• 这种方式无需自行维护中转节点，稳定性和扩展性更好，适合多VPC的复杂网络场景

内容的提问来源于stack exchange，提问作者InfoUser