如何在两个私有网络间路由？大型企业私有网络通信方式咨询

首先得明确一点：你说的“路由器丢弃目标IP为私有IP的数据包”，几乎肯定是指公网中的核心路由器——因为私有IP段（RFC 1918定义的10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）本来就不被互联网路由体系所识别，公网路由器收到这类数据包会直接丢弃是正常行为。但这并不意味着两个私有网络没法通信，下面给你几个可行的方案：

1. 用VPN封装私有流量 #

这是最常见的跨公网连接私有网络的方式，核心思路就是给私有IP数据包套个“公网合法”的外壳：

• 你需要在两个私有网络的边界各部署一台VPN网关（可以是硬件设备，也可以是软件比如WireGuard、OpenVPN），网关要有可访问的公网IP。
• 当私有网络内的设备要发数据包到另一个私有网络时，VPN网关会把这个私有IP数据包封装在一个新的数据包里，外层用公网IP作为源和目标地址（也就是两个VPN网关的公网IP）。
• 公网路由器只会处理外层的公网IP，自然不会丢弃，等数据包到了对方的VPN网关，再把外层封装去掉，把私有IP数据包转发到目标网络。
• 举个实际例子：假设A网是192.168.1.0/24，网关公网IP是203.0.113.5；B网是10.2.0.0/24，网关公网IP是198.51.100.12。配置IPsec隧道后，A网里的192.168.1.20发往10.2.0.30的数据包，会被A网关封装成目标IP为198.51.100.12的数据包，公网正常转发，到B网关后解包，再转给10.2.0.30。

2. 申请运营商专线/MPLS VPN #

如果你的企业对稳定性、安全性要求极高，完全不想碰公网，那可以找运营商申请专用线路：

• 物理专线：比如光纤专线，直接把两个私有网络的边界路由器连起来，流量全程走运营商的私有线路，根本不进入公网，所以私有IP数据包可以自由转发，不会被任何公网路由器丢弃。
• MPLS VPN：运营商会在他们的MPLS骨干网里给你开辟一条专用的转发通道，你的私有IP数据包会被打上MPLS标签，在运营商网络里按标签转发，不需要转换为公网IP，这种方式适合有多个分支的大型企业，能统一管理所有私有网络的连接。

3. NAT+端口映射（临时/小规模场景） #

这个方案比较鸡肋，但适合临时需要少量设备通信的情况：

• 在两个私有网络的边界路由器上配置NAT，把内部设备的私有IP映射到网关公网IP的某个端口上。比如A网的192.168.1.10映射成203.0.113.5:5000，B网的10.2.0.20映射成198.51.100.12:6000。
• 然后通过一台公网服务器来转发这两个端口的流量，实现两个设备的通信。不过这种方式配置麻烦，扩展性差，不适合整个网络的通信需求。

关于大型企业内部私有网络的通信方式 #

大型企业根本不会依赖公网来连接内部私有网络，他们通常用这些方案：

• 自建企业骨干网：用自己的光纤、专线连接各个分支的私有网络，内部部署自己的路由器和交换机，所有私有IP流量在企业内部网络里转发，完全和公网隔离，自然不存在被丢弃的问题。
• MPLS VPN专线：和运营商合作，用MPLS构建企业级的专用网络，各个分支的私有网络通过运营商的MPLS网络互联互通，稳定性和安全性都拉满，是大型跨国企业的首选。
• SD-WAN：现在越来越多企业用SD-WAN，它可以混合使用公网和专线，自动选择最优的传输路径，同时对内部私有IP流量进行加密封装，即使走公网也不会被拦截或丢弃，而且配置和管理比传统MPLS更灵活。

内容的提问来源于stack exchange，提问作者abracadabra