行业资讯 · 发布时间：
公有云虚拟机迁移到私有云的网络地址改造，不能等机器搬完再处理。源端私网地址可能与私有云已有网段重叠，路由即使切通，也会出现访问错目标、回程走错路径或防火墙规则失效。实施前应把地址规划、通信关系和切换顺序放在同一张清单里。
先判断地址要保留、重编号还是映射
三种做法各有适用条件，关键在于目标网络是否能容纳原地址，以及依赖该地址的系统是否允许修改。
- 保留原地址：适用于目标网络可划出相同网段、且不存在地址冲突的情况。应用配置改动较少，但需确认私有云路由、VLAN 或 VRF 与现有地址规划兼容。
- 重新编号：适用于源、目标网段重叠，或私有云要求统一地址规划的情况。要同步调整主机地址、DNS 记录、防火墙白名单、监控和运维配置，改造范围较大，但后续网络关系更清晰。
- 使用 NAT 映射：适用于短期过渡、暂时无法改动对端配置，或两侧网段重叠又需要互通的情况。映射增加排障环节，也可能影响日志中客户端地址的可见性，不宜未经评估就长期依赖。
公有云虚拟机迁移到私有云的网络地址改造，应以端到端通信需求为依据，而非只看虚拟机网卡上的地址。还要检查 RFC 1918 私有地址范围：10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16。在重叠网段中，路由设备无法仅凭相同目的地址判断数据包应去往哪一侧。
用映射表把地址和依赖关系对齐
为每台待迁虚拟机记录源地址、目标地址、子网掩码、默认网关、所属业务、通信对象和变更责任人。若采用 NAT，再增加转换前后地址、方向和生效设备。记录不应只有“旧 IP—新 IP”：还需标明哪些系统通过 IP 直连，哪些通过域名访问。
以常见的 Web 应用为例，应用节点可能依赖文件服务、身份认证服务、时间同步服务和外部接口。逐项确认访问方向、协议、端口及目标地址，并核实目标侧安全组、私有云防火墙和主机防火墙是否允许新路径。注意安全组规则是云平台配置概念，迁入私有云后可能需要转换为防火墙策略或网络访问控制规则，不能假定规则会自动随虚拟机迁移。
| 核对项 | 需要记录的内容 |
|---|---|
| 地址与路由 | 源、目标网段，网关，静态路由或动态路由的发布范围 |
| 名称解析 | DNS 记录、缓存影响、更新责任人及回退值 |
| 访问控制 | 通信两端、协议端口、策略所在设备和调整顺序 |
| 运维依赖 | 监控、备份、跳板访问、日志采集及资产登记中的地址 |
按可执行步骤改造并验证
- 盘点现状：从云平台网卡配置、路由表、DNS 和防火墙策略收集信息；结合应用负责人确认实际通信关系，特别检查硬编码 IP、许可绑定地址和静态白名单。
- 完成地址设计：为目标网络分配地址和网关，检查与现有私有云网段、专线或 VPN 对端是否重叠。确定保留地址、重编号或 NAT，并标注每种选择的限制。
- 先配网络侧：按设计添加 VLAN、VRF 或隧道网络配置，配置路由和安全策略。确认目的路由与回程路由同时存在；单向可达不代表业务连通。
- 修改主机及服务配置：设置目标网卡地址、掩码和网关，更新 DNS、白名单、监控与备份目标。涉及域名切换时，可在变更窗口前适当降低 TTL；缓存实际更新仍受解析器和客户端行为影响。
- 小批验证后放量：先迁移可独立验证的虚拟机，检查 DNS 解析、路由路径、端口连通、应用日志及回程流量，再逐批切换。涉及生产业务时，按约定观察窗口确认关键功能。
- 保留回退条件：提前写明回退触发点、旧地址和旧路由的恢复方式，以及 DNS 或 NAT 的撤销顺序。新旧环境并行期间要避免相同地址同时启用，防止地址冲突。
路由切换要看双向路径与状态
切换路由前，确认目标网段的下一跳、路由优先级和传播范围；使用 BGP 的环境还要核对前缀发布与撤回策略，静态路由环境则要确认变更设备和回退命令由谁执行。若路径经过有状态防火墙，去程与回程不一致可能导致连接被丢弃。变更后可从业务两端分别验证，并结合路由表、连通性测试和防火墙日志定位问题。
公有云虚拟机迁移到私有云的网络地址改造，完成标准不是“路由已发布”，而是业务依赖、访问控制、名称解析和回退路径都经过验证。把地址映射表作为变更依据，分阶段调整并保留旧配置，通常比一次性切换全部网段更容易定位故障。
常见问题
地址不变，是否还要改 DNS？
不一定。若域名仍解析到正确地址且解析链路未变，可不改记录；但应检查 DNS 服务器可达性、解析视图和缓存情况。
两侧网段重叠，能否直接加路由解决？
通常不能。相同目的地址会产生路由歧义，应重新编号、隔离网络，或设计明确的 NAT 映射后再互通。
什么时候可以撤除旧路由和映射？
确认依赖旧地址的连接、配置和监控均已迁移，并完成观察与回退评估后，再按变更顺序撤除；具体时点取决于业务连接持续时间和 DNS 缓存情况。
