TGW CIDR、Connect 与重叠网段

验证：未记录

适用版本: 未记录
验证范围: 尚未登记验证记录。

普通 VPC attachment / TGW Peering 不需要填写 TGW CIDR。 TGW CIDR 是特定连接入口的地址池；VPC CIDR 是业务网络地址范围，两者不能互相替代。

TGW CIDR 什么时候用#

用于 TGW Connect（GRE）、Private IP VPN、Client VPN attachment 等功能，为 TGW 侧 endpoint 分配地址。IPv4 至少 /24，IPv6 至少 /64；避开 169.254.0.0/16、接入 VPC 和公司网络的重叠范围。字段说明

一个具体的 Connect 例子#

公司已有分支联网系统，在 AWS 的 EC2 上运行该系统的网络设备软件，负责接收分支流量。该设备通过 Connect attachment 接入 TGW，再访问业务 VPC。GRE 给原始业务包套一层传输地址，BGP 交换业务路由。

对象	示例地址 / 配置
办公室电脑	`172.16.1.20`
AWS 中的 EC2 网络设备	`10.10.1.10`，Connect peer 的 Peer IP
TGW CIDR	`192.168.250.0/24`
TGW 接收 GRE 的入口	`192.168.250.10`，从 TGW CIDR 分配
业务 VPC 内的服务器	`10.20.1.30`

办公室电脑 → 已有分支连接 → EC2 网络设备
                           │ 外层：10.10.1.10 → 192.168.250.10
                           │ 内层：172.16.1.20 → 10.20.1.30
                           ▼
                          TGW → 业务 VPC → 服务器

Connect 使用已有 VPC / Direct Connect attachment 作为 transport。设备 subnet 需有 192.168.250.0/24 → TGW 的路由；设备 GRE 对端填 192.168.250.10，并配置 BGP 与双向业务路由。

TGW CIDR 在这里提供“设备把 GRE 包发给谁”的地址。 TGW 拆掉外层后按业务目的地址转发，不会把业务源 IP 自动转换成 TGW CIDR。GRE 封装本身也不提供加密。

Connect 的 BGP inside CIDR 是另一项配置，IPv4 使用符合要求的 169.254.x.x/29，不从 TGW CIDR 取；同时配置该 peer 的两条 BGP session。完整参数见 Connect / Connect peer。

两个 VPC 的 CIDR 相同怎么办#

可以建立 attachment，但 TGW 不直接支持重叠网段之间的普通路由；新接入 VPC 存在 CIDR 重叠时，其路由不会传播。给 TGW 配一个不同的 CIDR 不能解决冲突。 Attachment 限制

需求	处理方式
长期、广泛的网络互通	规划不重叠地址并迁移业务
只消费对方某项服务	评估 PrivateLink 的服务入口
保留原地址且需经 TGW 访问服务	额外规划不重叠地址，配合 Private NAT / LB 或适用网络设备

Private NAT Gateway 做什么#

Private NAT Gateway 把发起连接的实例源 IP 转成 NAT 自己的私有 IP；响应按连接记录还原。它不绑定 Elastic IP，不提供任意主动入站端口映射，也不能直接经 IGW 上网。Public NAT 经 TGW 通信时同样使用其私有 IP；Public NAT 的 EIP 用于经过 IGW 的公网路径。NAT 类型

示例：A 访问 B 的 HTTP 服务#

两边原 CIDR 都是 10.0.0.0/16，保留应用原地址。给 VPC 本身增加 secondary CIDR：

VPC	新增、不重叠的范围	放置什么
A	`10.100.0.0/16`	subnet 内的 Private NAT Gateway
B	`10.200.0.0/16`	至少两个 AZ 的 ALB subnets，部署 internal ALB，后端指向原业务实例

A 应用 10.0.1.10
  → Private NAT 10.100.1.10（转换源地址）
  → TGW
  → B 的 internal ALB（10.200.x.x）
  → B 应用 10.0.2.20

客户端访问 ALB DNS 名，不直接访问 B 的重叠私有 IP。ALB 在 B 内部建立后端连接；回包通过 TGW 返回 NAT，再还原给 A。

路由位置	目标 → 下一跳
A 应用 subnet	`10.200.0.0/16 → Private NAT`
A NAT subnet	`10.200.0.0/16 → TGW`
TGW table	`10.100.0.0/16 → A attachment`；`10.200.0.0/16 → B attachment`
B ALB subnets	`10.100.0.0/16 → TGW`

Attachments 选在不重叠的新范围内，关闭相应自动 propagation，显式维护上表的 TGW routes；同时配置 ALB listener、target health、SG/NACL。这个方案提供 A 主动调用 B 服务及其回包，不等于所有原始 IP 任意双向互通。单独放一个 NAT 只能处理源地址，目标侧也需要不冲突的入口。AWS 完整路由示例