云上SAP网络概述（网络层的sap）

云上SAP网络概述（网络层的sap）

说起网络规划，云上部署任何系统都离不开VPC，SAP系统也不例外，那VPC都能实现什么功能呢？下面就带大家一起了解一下吧~

虚拟私有云(Virtual Private Cloud，VPC)，是通过逻辑方式进行网络隔离，提供安全、隔离的网络环境。VPC为您提供与传统网络无差别的虚拟网络，通过管理控制台可容易地配置和管理这些网络。您可以在VPC中定义安全组、VPN、IP地址段、带宽等网络特性。用户可以通过VPC方便地管理、配置内部网络，进行安全、快捷的网络变更。同时，用户可以自定义安全组内与组间云服务器的访问规则，加强云服务器的安全保护。虚拟私有云的优势如下：

l   可以完全掌控自己的虚拟网络，包括创建自己的网络、配置DHCP。

l   可以通过安全组的功能提高网络安全性。

l   可以通过在VPC中申请弹性IP地址，将云服务器连接到公网。

l   可以使用VPN将VPC与传统数据中心互联，实现应用向云上的平滑迁移。

l   两个VPC可以通过对等连接功能互联。

以SAP HANA单节点HA为例，在VPC中我们可以通过建立不同的子网来实现访问权限的分离。

除了云上的VPC，我们还需要其他服务来配合使用。提供了一些服务，用于将用户的本地系统连接到运行在平台上的SAP系统。

l   直连Internet

您可以为您的云服务器配置弹性IP地址，以便通过弹性IP服务将云服务器与公用网络相连。

l   云专线

云专线（Direct Connect）提供云专线网关到公有云的虚拟私有云的私有专线连接,您可利用云专线服务将公有云与数据中心、办公室或主机托管区域相连接。通过云专线服务可有效降低网络延时，获得比Internet线路更高效的网络体验, 充分利用服务优势的同时，继续使用现有的IT设施，实现灵活一体，可伸缩的混合云计算环境。

l   虚拟专用网络

虚拟专用网络（Virtual Private Network，VPN），是建立VPN网关和外部数据中心VPN网关之间的加密通道，使远端用户通过VPN直接使用VPC中的业务资源。

默认情况下，在VPC中的云服务器无法与您自己的数据中心或私有网络进行通信。如果您需要将VPC中的云服务器和您的数据中心或私有网络连通，可以启用VPN功能。

对于SAP系统来说，网络安全与权限控制尤为重要。为了虚机和网络安全，提供了安全组和网络ACL两层防护。

安全组用来实现安全组内和组间虚拟机的访问控制，加强虚拟机的安全保护。安全组创建后，用户可以在安全组中定义各种访问规则，当虚拟机加入该安全组后，即受到这些访问规则的保护。安全组默认出方向放行，并且组内云服务器可相互访问。

网络ACL是对一个或多个子网的访问控制策略系统，根据与子网关联的入站/出站规则，判断数据包是否被允许流入/流出关联子网。

安全组与网络ACL的区别可以参考下方表格：

对比项安全组网络ACL防护对象弹性云服务器级别操作。子网级别操作。配置策略仅支持允许策略。支持允许、拒绝策略。优先级多个规则冲突，取其并集生效。多个规则冲突，优先级高的规则优先生效。应用操作创建弹性云服务器默认必须选择安全组，默认安全组自动应用到弹性云服务器。创建子网没有网络ACL选项，必须创建网络ACL、添加关联子网、添加出入规则，并启用网络ACL，才可应用到关联子网及子网下的弹性云服务器。报文组仅支持报文三元组（即协议、端口和对端地址）过滤。支持报文五元组（即协议、源端口、目的端口、源地址和目的地址）过滤。