AWS Site-to-Site VPN本地/远端IPv4 CIDR填写规则咨询

创建AWS Site-to-Site VPN时不强制要求填写精确的网段CIDR，两个字段都支持直接填0.0.0.0/0，具体要不要这么配，完全看你的实际业务场景：

• 先明确两个字段的对应范围：本地IPv4网络CIDR指AWS侧需要走VPN传输的网段，远端IPv4网络CIDR指你本地IDC侧的业务网段。
• 如果你用的是BGP动态路由模式的VPN，两个字段填0.0.0.0/0是平台原生支持的配置。这种模式下AWS会把所有没匹配到更精确路由的流量，都通过VPN隧道发往本地IDC，后续两边新增业务网段也不用反复修改VPN连接配置，运维灵活度很高。
• 如果你用的是静态路由模式的VPN，远端IPv4 CIDR同样支持填0.0.0.0/0，但静态路由不会自动同步网段信息，你得手动在本地IDC侧配好对应回程路由，不然会出现流量不通的问题。
• 如果你的业务只需要AWS和本地几个固定网段互访，更建议填精确CIDR。一方面能避免非预期流量走到VPN链路上，安全性更高；另一方面也能减少路由表冗余条目，避免和VPC内现有路由、公网路由产生冲突。举个例子，如果AWS侧只有VPC内10.0.0.0/16网段需要访问本地192.168.3.0/24网段，直接填这两个精确段就够了，没必要开全0。
• 特别提醒：如果本地IPv4 CIDR填0.0.0.0/0，等于把AWS侧所有出方向流量的路由优先级指向VPN，一旦本地IDC没有配置对应的公网回程路由，会直接导致AWS内资源访问公网异常，配置前一定要提前确认路由优先级。
• 最后补充：这两个CIDR字段的配置精度不会影响VPN隧道本身的协商建立，隧道协商只校验两端公网IP、预共享密钥、IKE/IPsec策略这类参数，和网段填的是精确段还是全0没有关系。

内容的提问来源于stack exchange，提问作者Peter