通过 AWS Direct Connect 构建专线连接 - 冗余配置与流量控制
设计专线连接的冗余配置，通过 Direct Connect Gateway 连接多个区域的 VPC。同时介绍通过 LAG 实现带宽聚合和 MACsec 加密。
Direct Connect 概述
Direct Connect 是通过专线连接本地与 AWS 的服务。与互联网 VPN 相比，带宽稳定、延迟低且数据传输成本降低。提供 1 Gbps 和 10 Gbps 的专用连接以及 50 Mbps 到 10 Gbps 的托管连接，通过 Direct Connect Gateway 可从单个连接访问多个区域的 VPC。
冗余配置与 Direct Connect Gateway
生产环境推荐在不同位置（数据中心）部署 2 条连接的双位置配置。即使其中一处位置发生故障，也能通过另一处继续通信。Direct Connect Gateway 是从单一连接访问多个区域 VPC 的功能，无需为每个区域准备连接。与 Transit Gateway 组合使用时，可以经由 Direct Connect Gateway 连接到 Transit Gateway，访问 Transit Gateway 下的所有 VPC。
通过 LAG 和 MACsec 实现高可用性与加密
Link Aggregation Group（LAG）将多条 Direct Connect 连接捆绑为 1 个逻辑接口，实现带宽聚合和链路故障时的故障转移。LAG 内的连接必须全部为相同带宽且位于同一位置。启用 MACsec（IEEE 802.1AE）后，会在第 2 层对 Direct Connect 连接上的数据进行加密，防止物理线路上的窃听。10 Gbps 和 100 Gbps 的专用连接支持 MACsec，通过设置 CKN/CAK 对进行密钥关联。启用 SiteLink 后，可以经由 AWS 骨干网在不同的 Direct Connect 位置之间直接通信，本地站点之间的连接也能利用 AWS 网络。
Direct Connect 的成本结构
Direct Connect 的成本由端口小时费和数据传输费构成。专用连接的端口费按带宽月度固定，1 Gbps 约 0.30 美元/小时（截至 2026 年 8 月）。数据传输费仅对出站（AWS → 本地）计费，入站免费。托管连接可通过合作伙伴从 50 Mbps 起使用，对于小规模的工作负载成本效率高。使用 Direct Connect Gateway，可以通过 1 条连接访问多个区域的 VPC，无需为每个区域准备连接。当每月流量超过 1 TB 时，与 VPN 相比，Direct Connect 在数据传输成本上占优势的情况会增多。
虚拟接口（VIF）的类型
在 1 条物理连接之上，创建用途不同的虚拟接口（VIF）。私有 VIF 用于连接 VPC 内的私有 IP 资源，是最常见的。公有 VIF 用于不经由互联网、通过专线到达 S3 和 DynamoDB 等公共端点。中转 VIF 通过 Direct Connect Gateway 连接到 Transit Gateway，集中访问大量 VPC。根据需求区分使用 VIF，可以将 1 条线路用于多种用途。
BGP 与路由设计
Direct Connect 的路由控制通过 BGP 进行。在本地侧和 AWS 侧建立 BGP 会话，相互交换路由。在冗余配置中，通过调整 AS 路径的长度和 BGP 属性，来控制平时使用的主线路和故障时切换到的备用线路。通过适当地缩小通告的路由范围，防止意外路由的流入。如果希望加快故障转移，启用 BFD（双向转发检测）后，可以更早检测到链路故障并切换路由，缩短停机时间。
混合 DNS 与名称解析
通过专线连接本地和 VPC 后，需设计双向的名称解析。设置 Route 53 Resolver 的入站端点后，可以从本地的 DNS 解析 VPC 内的私有主机名。使用出站端点，可以从 VPC 内的资源向本地的 DNS 转发查询。由此，云端和本地的服务器可以通过主机名相互引用，从而实现不依赖直接写入 IP 的运维。名称解析的路径也要冗余化，注意避免一侧的故障导致整体停止。
导入流程与弹性的最佳实践
开通专用连接需要一定的交付周期，因为要由 AWS 发放记载位置信息的文件，并经过与数据中心运营商的物理布线。在需求确定的阶段尽早下单是现实的做法。从弹性的角度来看，单一连接和单一位置会成为单点故障，因此生产环境以连接到不同位置的 2 条线路为基本配置。此外，为防备专线本身不通的情况，并设 VPN 作为备份路径，就能进一步提高可用性。定期开展切换测试，确认故障转移是否按预期发生。
总结
Direct Connect 是通过专线连接本地与 AWS，提供稳定低延迟网络的服务。通过 LAG 聚合带宽，通过 MACsec 实现第 2 层加密。通过 Direct Connect Gateway 可以从 1 条连接访问多个区域的 VPC，通过 SiteLink，本地站点之间的通信也能利用 AWS 骨干网。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。