如何通过Terraform向中心VPC路由表追加路由实现跨VPC访问？

完全没问题——Terraform提供了成熟的资源来管理VPC路由表的条目，不管你是要给中心VPC添加单条还是多条指向对等VPC的路由，都能轻松实现。下面我结合AWS的场景（VPC peering最常见的环境）给你拆解具体操作：

核心思路 #

要让spoke VPC通过peering访问中心VPC的共享资源，你需要在中心VPC的路由表中添加指向每个spoke VPC CIDR的路由，下一跳设置为对应的VPC peering连接ID；同时也要在每个spoke VPC的路由表中添加指向中心VPC CIDR的路由（不过你的问题聚焦在中心VPC这边，所以重点说前者）。

具体操作步骤 #

1. 确保VPC peering连接已就绪 #

首先要确认你已经创建了中心VPC和目标spoke VPC之间的peering连接，跨账户场景下还要确保对方已经接受了连接。你可以用aws_vpc_peering_connection资源创建或引用已有的连接。

2. 追加单条路由到中心VPC路由表 #

假设你已经有中心VPC的私有子网路由表，以及对应的peering连接，直接用aws_route资源追加路由即可：

# 引用中心VPC的私有路由表（如果是手动创建的，也可以直接用资源ID）
data "aws_route_table" "central_private_rt" {
  vpc_id = aws_vpc.central_vpc.id
  
  filter {
    name   = "association.subnet-id"
    values = [aws_subnet.central_private_subnet.id]
  }
}

# 引用已有的VPC peering连接
data "aws_vpc_peering_connection" "central_to_spoke" {
  vpc_id          = aws_vpc.central_vpc.id
  peer_vpc_id     = aws_vpc.spoke_vpc.id
}

# 给中心VPC路由表追加指向spoke VPC的路由
resource "aws_route" "central_to_spoke" {
  route_table_id         = data.aws_route_table.central_private_rt.id
  destination_cidr_block = aws_vpc.spoke_vpc.cidr_block
  vpc_peering_connection_id = data.aws_vpc_peering_connection.central_to_spoke.id
}

这个资源会在指定的路由表中添加一条新路由，完全不会影响已有的其他路由条目。

3. 批量追加多条路由（多spoke VPC场景） #

如果有多个spoke VPC需要对接，用for_each批量处理会更高效，避免重复代码：

# 定义所有spoke VPC的CIDR和对应的peering连接ID（也可以通过数据源自动获取）
variable "spoke_vpcs" {
  type = list(object({
    cidr_block = string
    peering_id = string
  }))
  default = [
    { cidr_block = "10.1.0.0/16", peering_id = "pcx-0123456789abcdef0" },
    { cidr_block = "10.2.0.0/16", peering_id = "pcx-0abcdef1234567890" }
  ]
}

# 批量给中心VPC路由表添加路由
resource "aws_route" "central_to_multiple_spokes" {
  for_each               = { for spoke in var.spoke_vpcs : spoke.cidr_block => spoke }
  route_table_id         = aws_route_table.central_private_rt.id
  destination_cidr_block = each.value.cidr_block
  vpc_peering_connection_id = each.value.peering_id
}

这样Terraform会自动为每个spoke VPC创建一条对应的路由，后续新增spoke只需要在变量里添加条目即可。

注意事项 #

• 确认路由表关联的子网：共享资源所在的子网必须关联了添加了peering路由的路由表，否则spoke VPC无法访问到这些资源。
• 跨账户权限：如果是跨账户peering，要确保双方账户都允许了对应的路由传递，并且peering连接状态是active。
• Terraform状态管理：如果路由表是手动创建的，建议用data数据源引用，而不是直接硬编码ID，避免后续ID变更导致配置失效。

内容的提问来源于stack exchange，提问作者user2255916