波仔
☁️ 第五章 驱动云服务的技术
📄 一句话概括

从公司到云，物理上只有两条路：走公共互联网加一层加密隧道（VPN），或者走运营商划出来的独享通道（专线）。两者的区别不在【通不通】，而在延迟稳不稳、断了会不会立刻出事——所以选择的判据只有一句话：这条线断一分钟，业务会不会马上受影响。

📝 本节和前面几节的关系

上一节讲【为什么各家的东西能接在一起】，这一节讲最实在的那一层：网线怎么接过去。

它在 云服务的运用形态 里已经算过一次（VPN 20~60 ms、专线 2~10 ms），那一节是从混合云的摆放这个角度看这两条路；这一节换成云服务商的机房里怎么接这个角度——同两条路，看的人不一样了。

一、两条路，差在三件事上

项目 VPN（走互联网） 专线（独享通道）
时延 20 ~ 60 ms 2 ~ 10 ms
抖动 大，受公网影响 小且稳定
月费用（1 Gbps） 约 0.3 万元 约 3.0 万元
开通时间 分钟到小时 数周到数月
加密 隧道自带 要自己加

这三件事里，最容易被忽略的是【抖动】，最难忍的也是它。

开通时间那一行是另一类成本：专线要等数周到数月。如果一个项目两周后就要上线，专线根本来不及——这时候只能先用 VPN，等专线通了再切。这是实际工作中非常常见的顺序。

二、动手 Demo：三笔账算清怎么选

看到什么算成功：

==================================================================================================
【Demo 2】接入云服务的连接：VPN 与专线
==================================================================================================
  从公司到云，物理上只有两条路：走公共互联网加一层加密隧道（VPN），
  或者走运营商划出来的独享通道（专线）。

  【一】两条路的硬指标（都按 1 Gbps 算）

  项目            VPN（走互联网）         专线（独享通道）
  ----------------------------------------------------------------------------
  时延            20 ~ 60 ms              2 ~ 10 ms
  抖动            大，受公网影响          小且稳定
  月费用          约 0.3 万元             约 3.0 万元
  开通时间        分钟到小时              数周到数月
  加密            隧道自带                要自己加

  一年差多少钱：专线 3.0 x 12 = 36.0 万元；VPN 0.3 x 12 = 3.6 万元。
  差额 36.0 - 3.6 = 32.4 万元。这条差额就是【稳定】的标价。

  【二】怎么选：只问一个问题

    这条线断一分钟，会不会立刻出事？
      · 会（在线交易、生产线控制）  → 专线，而且要两条
      · 不会（内部办公、开发测试）  → VPN 就够
      · 有时会（白天重要、夜里不要紧）→ 主用专线 + 备用 VPN

  【三】第三条路：把两条合起来算
  2026 年的主流做法是 SD-WAN：专线、宽带、5G 一起接进来，
  由软件决定哪条流量走哪条线。断一条就在几十毫秒内改道。

  企业侧每站点月费：
    传统 MPLS 专线      约 2.2 万元（100 Mbps 级）
    单独 SD-WAN         约 700 ~ 2200 元
    融合安全（SASE）    约 2200 ~ 4400 元

  看起来 SASE 更贵，但把【分支防火墙 + 独立安全订阅 + 运维人力】
  算进去之后，总账常常是平的——这也是 2026 年 60% 的新部署直接
  选融合方案的原因。

读结果：

三、为什么专线要「两条」

Demo 第二段里有一句【专线，而且要两条】——单条专线本身也是单点。

30 秒实验

打开任意一家云服务商的网络产品页面（一般叫【专线接入】【云专线】或【VPN 网关】），做两件事：

  1. 看专线产品的规格表里有没有写【延迟】和【SLA】（有的会写【延迟低于 5 ms】这种承诺）。
  2. 看 VPN 网关的说明里有没有提醒【不保证带宽和延迟】。

做完这个，你会看到一个很有意思的差别：专线敢写承诺，VPN 一般不写。原因不是技术做不到，是这两条路底下的资源性质不同——专线是运营商分给你的独享资源，能承诺是因为它归你；VPN 走的是公共互联网，谁也没法为公共资源背书。这条差别，比任何参数表都更能说明这两条路的本质。

常见误区

  1. 错误：VPN 也能加密，专线不能加密，所以 VPN 更安全。——纠正：加密和通道是两件可以叠加的事。专线本身是物理隔离的独享通道（别人根本进不来），如果再叠加加密，安全性只会更高。反过来，VPN 的加密解决的是【在公共通道上不被偷看】，它不能解决【通道本身拥堵】。所以【VPN 更安全】这个判断是把两个维度混在一起了——实际选型中，专线加加密的方案是很常见的组合。

  2. 错误：反正现在带宽便宜，全用 VPN 就行，没必要花专线的钱。——纠正：便宜的是带宽，不是稳定性。VPN 的费用确实低一个数量级（本节算的是 32.4 万元一年的差额），但它买到的是一个【不受你控制】的网络。如果你的业务里有实时音视频、数据库同步、远程桌面这类对抖动敏感的东西，便宜的那部分会以另一种方式花掉——比如开会时的卡顿、同步失败后的重传、员工抱怨后自己找的加速工具。判断标准回到那句话：断一分钟会不会立刻出事。

  3. 错误：专线是运营商给的，出了故障当然由运营商负责。——纠正：运营商负责的是【这条线通不通】，不负责【你的业务连不连得上】。现实里因为云侧的配置、路由、安全组、防火墙导致连不上的情况同样常见，而这时候运营商会说【线是好的】。所以排查顺序必须是先看云侧配置，再看线侧状态——这也是为什么 3-14 里说云上的网络要【从头设计】，而不是【配一下就能用】。

  4. 错误：有了 SD-WAN，专线就可以完全不要了。——纠正：2026 年的主流是【混合】，不是【替代】。SD-WAN 的价值是把多条不同性质的线抽象成一个池子，由软件调度——它管的是【怎么用】，不管【有哪些线可用】。所以典型做法是：关键流量走专线、一般流量走宽带、再把 5G 作为最后兜底。真正被替代掉的是过去那种【每个分支一条 MPLS、别的不许用】的老做法。

自测三问（点开对答案） 1. 为什么说专线卖的其实不是【快】，而是【稳】？ —— 因为**时延的绝对值人往往感觉不到，波动才感觉得到**。20 ms 和 60 ms 的差别，在多数应用里看不出来；但延迟在 20 到 200 ms 之间来回跳，**视频会卡、同步会超时、远程操作会顿**。而这些问题在用户嘴里会变成【系统真难用】，很难回溯到【网络抖动】上。**专线提供的正是这条曲线的平直度**——这才是那十倍差价真正的去向。 2. 为什么判断标准是【断一分钟会不会立刻出事】，而不是【业务重不重要】？ —— 因为**这两件事衡量的对象不同**。业务重不重要衡量的是**后果的大小**，而这条判据衡量的是**后果到来的速度**。一个内部报表系统很重要（全公司都在用），但断一小时大家只是等一等；一个支付通道看着不起眼，断一分钟整个门店就收不了钱。**能不能等，决定了要不要为稳定性付十倍的钱。** 3. 为什么云服务商敢给专线写延迟承诺，却很少给 VPN 写？ —— 因为**可承诺的前提是资源归自己控制**。专线是运营商（以及云服务商侧）划分出来的独享资源，**路径、带宽、设备都在可控范围内，所以敢写进合同**。而 VPN 走的是公共互联网，**中间经过多少运营商、多少跳、当时的拥堵程度都不可控**——不是技术做不到，是**没人能为公共资源背书**。这也解释了为什么 VPN 的合同里通常只承诺【线路可用】，不承诺【性能达标】。

相关笔记