背景与双重需求

在构建全球网络时，企业常面临两个看似矛盾的要求：一是数据驻留合规，例如欧洲流量不得离开欧洲；二是安全团队希望对东西向、跨地域及南北向流量进行一致的集中检测。AWS Cloud WAN 通过地理限制分段（geo-restricted segments）实现前者，通过服务插入与网络功能组（NFG）实现后者。

参考架构概览

文章提出一个可部署的四分段、多区域架构，包含三个核心网络边缘（CNE）和五个 NFG。四个分段及其边缘位置如下：

  • NorthAmericaProd：us-east-1, us-west-2（北美生产）
  • NorthAmericaNonProd：us-east-1, us-west-2（北美非生产）
  • EuropeProd：eu-west-1（欧洲生产）
  • EuropeNonProd：eu-west-1（欧洲非生产）

分段边缘位置限制确保了附件只能在指定地理创建，从而避免工作负载误置。检测由 NFG 提供，采用双跳（dual-hop）模式，共需五个 NFG：

  • NorthAmericaNFG、EuropeNFG：区域内东西向检测（send-via）
  • CrossGeoNFG：跨地域检测（send-via）
  • NorthAmericaEgressNFG、EuropeEgressNFG：互联网出口检测（send-to）

关键约束与设计决策

分段对唯一 NFG 限制

核心网络策略验证规定：任意分段对在所有 send-via 动作中只能使用同一个 NFG。因此北美生产与欧洲生产之间的跨地域流量需专用 CrossGeoNFG，而不能复用区域内 NFG。

附件与 VPC 归属

一个附件只能属于分段或 NFG 之一，且每个 NFG 需要独立的检测 VPC；同一 VPC 不能跨子网附加到多个 NFG。由于每个 NFG 每区域仅允许一个附件，架构中五个 NFG 共使用六个独立检测 VPC（CrossGeoNFG 在两区域各一）。

双跳与单跳权衡

双跳在源和目的区域均进行检测，控制力度强但跨地域延迟开销较高；单跳仅在一个区域检测，NFG 数量可减至三个且允许与 send-to 复用，但弱化了每区域独立管控。文章基于实验室验证推荐双跳。

核心策略片段

以下为核心网络策略的简化表示：

{
  "segments": [ ... ],
  "network-function-groups": [ ... ],
  "segment-actions": [ ... ]
}
注：完整模板见 aws-samples 仓库，包含基于标签的附件策略。

对读者的意义 / 技术解读

对于运维与网络工程师，该架构示范了在合规红线与统一安全策略之间取得平衡的工程方法。借助 Cloud WAN 的分段与 NFG 抽象，团队可以以声明式策略替代繁琐的手动路由配置，降低跨区错误风险。值得注意的是，地理分段本质是利用控制平面限制数据平面位置，而双跳检测虽增加资源成本，却契合零信任中“每边界均校验”的理念。读者在采纳时可先以小规模单跳验证连通性，再按需演进至双跳，并密切关注分段对约束以免策略提交被拒。