为多云电商平台打造统一访问平面

面临的挑战

一个全球化电商平台不会只有一张网络——它有几十张。Mercari 的 SRE 和平台团队在每个环境中采用不同的访问方式：一个云用堡垒机链路，另一个云靠安全组和白名单，其余环境则用临时隧道。每新增一个区域或集群就意味着新的访问机制，每次故障排查都得先搞清楚哪条路径本应可用。

迁移过程

平台团队在保留原有访问路径的同时部署了 OpenVLAN：节点通过身份提供商完成注册，少量子网路由器广播各云的私有网段。ACL 取代了按环境维护的白名单——Git 中的一个策略文件即可描述谁能访问哪些服务组。临时测试环境在其生命周期内直接加入 tailnet，随环境销毁一并消失。

取得的成效

• 统一的访问路径覆盖所有云和区域——相同的客户端、相同的登录方式、相同的策略模型。
• 新环境访问分钟级开通：让团队接入新集群只需修改 ACL，而非启动一个基础设施项目。
• 默认满足审计要求：授权与会话集中记录，访问审查不再是"考古"工作。
• 零 VPN 网关：三朵云中无需扩展、修补或付费的网关。

"过去访问问题是每个环境各自解决的。现在它是网络固有的属性。工程师们不再感知它的存在——这正是我们的目标。" — Mercari 平台工程团队