AWS 网络服务的深度 - VPC、Transit Gateway、PrivateLink 实现的企业网络设计
将以 AWS 的 VPC、Transit Gateway、PrivateLink、Direct Connect、Network Firewall 为核心的网络服务群与 Azure VNet/ExpressRoute 及 GCP VPC/Cloud Interconnect 进行比较，解析企业网络设计中灵活性的优势。
云网络的复杂性与重要性
云的网络设计与计算和存储相比看似低调，但在企业环境中是最重要的基础。多账户架构下的网络隔离、与本地环境的安全连接、服务间的私有通信、流量检查和过滤等，需求多种多样。网络设计的错误直接导致安全事件或性能问题，因此需要精细的控制。AWS 在这一领域以 VPC 为基础提供丰富的网络服务群，在实现企业所需的复杂网络拓扑的灵活性方面超越其他提供商。
VPC 与 Transit Gateway - 可扩展的网络拓扑
AWS 的 VPC（Virtual Private Cloud）是在云上构建逻辑隔离网络空间的基础服务。通过子网、路由表、网络 ACL、安全组实现多层访问控制，从 CIDR 块设计到路由控制，可以达到与本地网络设计同等的粒度。Transit Gateway 是以中心辐射型连接多个 VPC 和本地网络的服务。可以将数百个 VPC 集中到一个 Transit Gateway，通过路由表统一管理流量控制。在多账户、多区域环境中，通过 Transit Gateway 对等连接还可以整合跨区域网络。Azure 的 Virtual WAN 也提供类似的中心辐射配置，但 Transit Gateway 在路由灵活性方面更高，可以实现更精细的流量控制。
PrivateLink - 服务间的私有连接
PrivateLink 是一种机制，可以从 VPC 内的资源向 AWS 服务或第三方服务建立不经过互联网的私有连接。只需创建 VPC 端点，到 S3、DynamoDB、SageMaker 等 AWS 服务的流量就在 AWS 的私有网络内完成。PrivateLink 的真正价值在于可以将自己的服务私有地暴露给其他 AWS 账户。SaaS 提供商通过 PrivateLink 向客户提供服务，大企业的共享服务团队向内部其他团队公开私有 API 端点等用途被广泛使用。Azure 的 Private Link 也提供类似功能，但 AWS 的 PrivateLink 支持的服务数量更多，生态系统更成熟。GCP 的 Private Service Connect 是相对较新的服务，功能上正在追赶 AWS 的 PrivateLink，但在第三方支持方面仍有差距。
Direct Connect 与 Network Firewall - 企业连接与安全
Direct Connect 是通过专线连接 AWS 和本地数据中心的服务。与互联网 VPN 相比，提供稳定的带宽、低延迟和一致的网络质量。使用 Direct Connect Gateway，可以通过一条专线访问多个区域的 VPC，简化全球企业的网络设计。Azure 的 ExpressRoute 也提供同等的专线连接，功能差异正在缩小。但 AWS 的 Direct Connect 合作伙伴站点数量更多，特别是在亚太地区的连接点选择更丰富。Network Firewall 是 VPC 级别的有状态防火墙，通过 Suricata 兼容的规则引擎提供入侵检测/防御、域过滤和 TLS 检查。与 Azure Firewall 和 GCP 的 Cloud Firewall 相比，直接使用 Suricata 规则便于迁移现有安全策略是其优势。
与 GCP 网络的比较
GCP 的网络利用 Google 的全球网络基础设施具有独特优势。GCP 的 VPC 默认是全球性的，可以在一个 VPC 内放置跨区域的子网。与 AWS 的 VPC 以区域为单位不同，GCP 的全球 VPC 使多区域配置更简单。然而，这种简单性也是一种权衡。AWS 的 VPC 以区域为单位隔离，因此更容易限制故障影响范围，可以明确定义安全边界。在企业网络设计中，这种隔离性在很多场景下被重视。此外，GCP 没有直接对应 Transit Gateway 的服务，大规模多 VPC 环境的中心辐射配置需要通过 Cloud Router 和 VPC 对等连接的组合来实现，增加了管理复杂性。
企业网络设计的实践
在大规模企业环境中，需要组合 AWS 网络服务的多层设计。典型配置是以 Transit Gateway 为中心连接共享服务 VPC、工作负载 VPC、安全 VPC，并通过 Network Firewall 检查 VPC 间流量。通过 Direct Connect 连接总部和数据中心，经 Transit Gateway 路由到所有 VPC。各工作负载 VPC 对 AWS 服务的访问通过 PrivateLink 实现闭域化，通过 Route 53 Resolver 整合本地和云的 DNS。实现这种复杂拓扑的构建块的丰富性，是 AWS 网络的最大优势。关于网络设计的实践模式，相关书籍 (Amazon) 也可作为参考。
总结
AWS 的网络服务以 VPC 为基础，通过组合 Transit Gateway、PrivateLink、Direct Connect、Network Firewall 等专业服务，提供实现企业所需复杂网络拓扑的灵活性。GCP 的全球 VPC 在简洁性方面优秀，但在大规模环境的精细控制和隔离性方面 AWS 更胜一筹。Azure 的 Virtual WAN 和 ExpressRoute 在功能上正在接近 AWS，但在 Transit Gateway 的路由灵活性和 PrivateLink 生态系统的成熟度方面仍有差距。网络是云基础设施的根基，这个根基的设计自由度高，是支撑长期架构演进的重要因素。