用途：在本地数据中心与云平台（AWS、Azure、GCP）之间建立安全、可靠的网络连接，适用于本地到云连接、数据中心扩展至云、混合 active-active 部署、满足合规要求以及渐进式云迁移等场景。
主要能力：
- AWS 连接：Site-to-Site VPN（基于互联网的 IPSec VPN，单隧道最高 1.25 Gbps，成本较低但延迟较高、依赖互联网）；AWS Direct Connect（专用连接，1 Gbps 至 100 Gbps，延迟更低、带宽稳定，但成本更高且需要部署时间）。
- Azure 连接：Site-to-Site VPN（基于路由的 VpnGw1 等 SKU）；Azure ExpressRoute（通过连接提供商建立私有连接，最高 100 Gbps，低延迟高可靠，全球连接需 Premium）。
- GCP 连接：Cloud VPN（Classic 或 HA VPN，HA VPN 提供 99.99% SLA，单隧道最高 3 Gbps）；Cloud Interconnect（专用 10 Gbps/100 Gbps，合作伙伴 50 Mbps 至 50 Gbps，延迟低于 VPN）。
- 混合网络模式：Hub-and-Spoke（经 VPN/Direct Connect 接入 Transit Gateway 或 vWAN 后分发至生产、预发、开发 VPC/VNet）、多区域混合（多条 Direct Connect 接入不同区域并跨区域对等）、多云混合（分别以 Direct Connect、ExpressRoute、Interconnect 连接 AWS、Azure、GCP）。
- 路由配置：BGP 配置（本地路由器 AS 65000，通告 10.0.0.0/8；云路由器 AS 64512（AWS）、65515（Azure），通告云 VPC/VNet CIDR）；启用路由传播、动态路由、路由过滤并监控路由通告。
- 安全最佳实践：使用私有连接、VPN 隧道加密、VPC 端点、网络 ACL 与安全组、VPC Flow Logs、DDoS 防护、PrivateLink/私有终结点、CloudWatch/Monitor 监控、双隧道冗余及定期安全审计。
- 高可用：双 VPN 隧道、active-active 配置、BGP 自动故障转移、ECMP 路由及连接健康监控。
- 监控与排障：关注隧道状态、进出流量、丢包、延迟、BGP 会话状态；可使用 aws ec2 describe-vpn-connections、aws ec2 get-vpn-connection-telemetry、az network vpn-connection show、az network vpn-connection show-device-config-script 等命令。
- 成本优化：按流量合理选型、低带宽用 VPN、合并连接、减少数据传输成本、高带宽用 Direct Connect、用缓存降低流量。
使用方式：资料以 Terraform 资源示例展示 AWS VPN 网关、客户网关、VPN 连接，Azure 虚拟网络网关，以及双 VPN 隧道等配置；并附 references/vpn-setup.md、references/direct-connect.md 参考文件。
限制：资料未提供具体价格、部署时长、各云平台全部 SKU 细节及完整操作步骤，实际配置需结合官方文档与自身环境验证。