VPS 是一台独享一部分计算资源（CPU、内存、磁盘）的虚拟机，运行在物理服务器上，与其他 VPS 共享同一台物理机，但相互隔离，各自拥有独立的操作系统和 IP 地址。
有独立 IP、独立 root 权限、可自定义安装软件
比独立物理服务器（裸金属）便宜，按月付费，适合中小应用
通常有公网 IP，通过互联网访问；也可以加入 VPC 私有网络
VPC 是你在公有云上专属的、逻辑隔离的虚拟网络环境。就像你在云里"圈"了一块私人地盘，自己定义 IP 地址段、子网、路由规则、安全组等，外人无法直接访问。
VPC 的核心组成
VPC 内部的地址分段，可分为公有子网（可访问互联网）和私有子网（仅内网）
定义网络流量的走向规则，决定数据包该去哪里
防火墙规则，控制哪些端口/IP 可以进出
让私有子网里的机器通过 NAT 访问公网，而不暴露内网 IP
连接两个 VPC，让它们的资源互相访问，像打通两个园区的内部通道
VPC 通向外部网络（IDC 或其他云）的"桥头堡"，下文详细介绍
IDC（互联网数据中心）是放置服务器、网络设备、存储等 IT 基础设施的物理场所，提供电力、制冷、网络带宽等支撑。
🏠 本地 IDC（On-premises IDC）
就是你公司自己建设或租用的机房，服务器、网络设备都在你的物理控制之下，在云之外，也叫"云下 IDC"或"线下 IDC"。
| 特征 | 说明 |
|---|---|
| 物理位置 | 企业自己的机房或租用的机柜（第三方托管 IDC） |
| 控制权 | 完全自主，数据不出本地，合规要求高的行业常见 |
| 典型场景 | 金融核心系统、政府机构、传统大型企业 |
| 与云的关系 | 通过专线或 VPN 与云上 VPC 打通，构成混合云 |
☁️ 云上 IDC（Cloud IDC）
云上 IDC 并非一个独立术语，通常指云服务商的可用区（Availability Zone, AZ）或数据中心节点，也就是腾讯云、阿里云等在各地自建的机房。你买的 VPC、CVM 等资源都跑在这里。有时也泛指"把某些工作负载迁上云"后在云上形成的"数据中心能力"。
- 云下 IDC / 本地 IDC / On-premises：你公司自己的机房，在互联网或专线的另一头
- 云上 IDC / 云端：云服务商的数据中心，你的 VPC 就在里面
- 两者通过专线（DC）或VPN互联，实现"混合云"架构
▲ 本地IDC、云上VPC 与公网的关系示意
专线（Direct Connect）是一条绕开公共互联网、直接连接你本地 IDC 与云服务商数据中心的物理网络链路。数据在这条专属通道里传输，不经过任何公网节点。
专线的核心优势
物理路径固定，延迟可低至数毫秒，远优于互联网的不确定性
数据不走公网，天然隔离，无需担心中途被截获或 DDoS 干扰
带宽独享，可按需申请 10Mbps ~ 100Gbps，不会因公网拥堵波动
满足金融、医疗等行业的数据不出专网要求
专线的组成部分
- 物理专线：从运营商或云服务商申请的实体光纤，连接你的 IDC 机房和云的接入点（PoP 点）
- 专线接入点（PoP）：云服务商在各大城市部署的专线入口节点，图中那个 ● 小圆点就是它
- 专线网关：云上的 VPC 侧接入设备（下一节详解）
- 虚拟接口（Virtual Interface）：在一条物理专线上划分的逻辑通道，一条专线可以创建多个虚拟接口接入不同 VPC
▲ 专线连接链路：本地IDC → 物理专线 → 接入点 → 专线网关 → VPC
专线网关是部署在 VPC 内、专门用于终止专线连接的逻辑网关。它是 IDC 侧物理专线与云上 VPC 之间的"桥头堡"，负责路由学习和流量转发。
- 接受来自物理专线的 BGP 路由或静态路由
- 把 IDC 侧路由告知 VPC，把 VPC 侧路由告知 IDC
- 一个专线网关可以绑定多个 VPC，实现 IDC 与多个 VPC 互通
- 支持绑定到云企业网（CEN），实现跨 VPC、跨地域的全网互联
专线网关 vs NAT 网关 vs VPN 网关
| 网关类型 | 用途 | 链路类型 | 适合场景 |
|---|---|---|---|
| 专线网关 | 连接专线物理链路 | 私有物理专线 | 企业核心系统、高安全/低延迟需求 |
| VPN 网关 | 加密的互联网隧道 | IPSec over 公网 | 成本优先、带宽要求不高、临时互联 |
| NAT 网关 | 私有子网访问公网 | 公网出口 | 让私有 IP 的云服务器访问外部网站 |
云企业网（CEN，Cloud Enterprise Network）是云服务商提供的全球化私有骨干网络，用于打通多个 VPC、多个地域、以及多个本地 IDC 之间的互联，构成一张"全托管的企业级广域网"。
CEN 解决的核心问题
没有 CEN 时：若你有 5 个 VPC 想两两互通，需要建 C(5,2) = 10 对对等连接，还不包括 IDC。
有了 CEN：把所有 VPC 和 IDC 的专线网关都接入 CEN，一点接入，全网互通，就像图中的"云企业网"居中连接所有节点。
▲ 对应用户截图：云企业网将 VPC、多个IDC、中转路由器全部互联
中转路由器（Transit Router）
中转路由器是 CEN 中的核心转发节点，相当于一台"云上的核心交换机/路由器"，负责在接入 CEN 的各个网络实例（VPC、专线网关）之间进行路由学习和流量转发。每个地域部署一个，各地域的中转路由器之间通过骨干网互联。
截图中列出了"云下IDC与云上VPC互通"的五大步骤，下面逐一解释：
-
1接入物理专线 向运营商（中国电信、联通等）或直接向云服务商申请一条从你 IDC 机房接入到云专线接入点（PoP）的物理光纤链路。这是整个连接的"硬件底座"。
-
2创建专线网关 在云控制台里为你的 VPC 创建一个专线网关（Direct Connect Gateway）。这是 VPC 侧的"接收端"，等待专线接入。
-
3创建虚拟接口 在一条物理专线上创建虚拟接口（Virtual Interface），指定对端 IP、VLAN、BGP ASN 等参数，将物理专线与专线网关"绑定"起来。一条物理专线可以建多个虚拟接口对接不同 VPC。
-
4加载网络实例 将你的 VPC 或云企业网（CEN）绑定到专线网关，让专线网关知道要把流量转发到哪个网络实例里。
-
5配置本地路由并测试连通性 在 IDC 侧的路由器上配置静态路由或 BGP 对等，把去往 VPC 网段的流量指向专线接口。完成后，从 IDC 的机器 ping VPC 内部 IP 验证是否通。
| 对比维度 | 🔒 VPN（IPSec） | 🔌 专线（Direct Connect） |
|---|---|---|
| 链路类型 | 公网加密隧道 | 物理私有专线 |
| 延迟 | 较高（50~200ms，波动大） | 极低（可 <10ms，稳定） |
| 带宽上限 | 受公网限制，通常 <1Gbps | 可达 10~100Gbps |
| 安全性 | 加密保护，但走公网 | 物理隔离，不经公网 |
| 成本 | 低（VPN 网关费用 + 流量费） | 高（专线月租 + 端口费） |
| 搭建周期 | 小时级，自助配置 | 周/月级，需运营商施工 |
| 适用场景 | 开发测试、非核心业务、预算有限 | 生产核心、数据库同步、视频/大数据传输 |
| 可靠性 | 依赖公网，SLA 较低 | 运营商保障，SLA 可达 99.99% |
- 生产核心系统 → 专线，必要时专线 + VPN 双链路冗余
- 开发/测试环境 → VPN，成本低，快速搭建
- 混合方案 → 专线主用 + VPN 备用，专线故障时自动切 VPN
▲ 完整混合云架构总览：本地IDC × 专线 × 专线网关 × 云企业网 × 多 VPC
📝 术语速查表
| 术语 | 全称 | 一句话解释 | 在哪里 |
|---|---|---|---|
| VPS | Virtual Private Server | 独立操作系统和 IP 的虚拟机 | 公网/VPC 里的一台"机器" |
| VPC | Virtual Private Cloud | 云上的私有隔离网络环境 | 云平台内，包裹你的所有云资源 |
| 本地IDC | On-premises Data Center | 你公司自有或租用的物理机房 | 云之外，与云通过专线互联 |
| 云上IDC | Cloud Data Center / AZ | 云服务商的机房，你的VPC在里面 | 云平台内部 |
| 专线 DC | Direct Connect | 绕开公网的物理私有链路 | 连接本地IDC与云的物理光纤 |
| 专线网关 | Direct Connect Gateway | VPC 侧接受专线的网关设备 | 云上 VPC 内，连接专线的"桥头堡" |
| 云企业网 | Cloud Enterprise Network | 把多个VPC、IDC全部接入的全球网络枢纽 | 云平台的网络中台 |
| 中转路由器 | Transit Router | CEN 在某地域的核心转发节点 | 云企业网内，各地域部署一个 |
| 虚拟接口 | Virtual Interface | 一条物理专线上划分的逻辑通道 | 专线上，连接网关的逻辑层 |