什麼是 Transit 虛擬私人雲端 (VPC)？

中轉 VPC 是一種閘道架構，用來將地理位置分散的 VPC 或 VNets 互相連接，並連接至遠端網路。轉接 VPC 可簡化網路架構、降低作業開銷，並透過將服務設置在靠近 VPC 的位置，將雲端服務供應商 (CSP) 與企業資料中心之間的網路流量降至最低。

轉運 VPC 的必要性

組織正快速將企業應用程式和資料遷移至 Google Cloud、Amazon Web Services (AWS^®)、Microsoft Azure^® 及其他 CSP。很少有企業選擇取消現有的資料中心，而是形成由內部部署和 CSP 資源組成的混合雲端。這種混合方式可讓網路管理者靈活地動態平衡成本、安全性和容量需求。

混合雲端設計中的一個問題是決定互連 VPC 的方法。小型部署通常使用 full-mesh 架構，其中每個 VPC 都會以對等的方式連接所有其他 VPC。隨著 VPC 數量的增加，VPC 之間的對等連接數量也會呈指數級增加。舉例來說，五個 VPC 只需要 10 個互連，但將 VPC 數量增加一倍至 10 個，連接數就會增加四倍以上，達到 45 個。對於擁有數百甚至數千個 VPC 的大型企業來說，全網狀方式並不實際。

另一個潛在問題是，當組織完全依賴位於資料中心的服務，尤其是防火牆時，就會出現瓶頸。保護服務供應商雲端中的 VPC 需要在 CSP 與資料中心之間進行大量的回程流量，這種配置效率低且難以大規模擴充。網路架構師需要一種方法，將防火牆服務移近 VPC，同時保留從中央位置管理整個安全性結構的能力。

轉接 VPC 如何運作

轉接 VPC 使用軸輻式架構，其中每個辐式 VPC 透過 IPsec 通道連接至樞紐轉接 VPC。為了提供備援，中轉 VPC 包含兩個虛擬防火牆，交叉連接至每個 VPC（請參閱圖 1）。虛擬防火牆會根據本機政策檢查流量（例如，只有 IT 網域中的使用者才能啟動 FTP 傳輸或啟動遠端使用者會話）。網路管理員可從中央管理系統管理虛擬防火牆的政策，避免使用多個控制台。

這種閘道方式使用中轉閘道路由表在 VPC 之間路由流量，不需要對等互連。使用轉接 VPC 也可以減少或免除許多 CSP 對跨越區域邊界的 VPC 對等連接所收取的費用。