结论先行：同账号、同区域的 3 个 VPC，直接用 VPC 对等连接两两互联就够了，不用上云连接 CC。云连接是给跨区域、混合云、大规模组网准备的，你这个场景用它属于杀鸡用牛刀。 一、对等 vs 云连接 CC 的差别适用范围：对等连接仅限同一区域内；云连接支持同区域 + 跨区域。2. 组网模型：对等连接是点对点的，两两建连接；云连接是中心辐射型的，所有 VPC 接入同一个云连接实例。3. 路由传递：对等连接不支持传递路由——A 和 B 对等、B 和 C 对等，不代表 A 和 C 能通，必须每对都建连接；云连接没有这个问题。4. 费用：同区域内对等连接互通不收费；云连接跨区域需要购买带宽包。5. 适合场景：2~5 个 VPC、同区域简单互通用对等连接；跨区域、多地、混合云才上云连接。你的场景（3 个 VPC、同区域、数量固定）→ 选对等连接，建 3 条：生产↔测试、生产↔办公、测试↔办公。 二、落地步骤（每条对等连接都要做一遍）1. 控制台 → VPC → 对等连接 → 创建，选本端 VPC 和对端 VPC，对端接受。2. 每个 VPC 的路由表加路由：目的网段填对端 VPC 的 CIDR，下一跳选对应的对等连接。3. 安全组放行：源地址填对端 VPC 网段，放行需要的协议端口；网络 ACL 如有限制也要同步放开。4. 验证：从一台 ECS ping 对端内网 IP，再用 telnet 内网IP> 业务端口> 确认业务端口通——只 ping 通不代表业务通。 三、网段重叠还能打通吗？不能。 对等连接、云连接都不支持重叠网段互通。原因很直接：路由表无法区分两个相同的私网网段，流量 Local 路由吃掉，根本出不去。最好的办法：规划期就避开，三个 VPC 用不同大段，比如 10.1.0.0/16、10.2.0.0/16、10.3.0.0/16。2. 已经重叠了：新建不重叠的子网迁移业务，或新建 VPC 逐步割接。3. 实在动不了：可以用 NAT 网关做地址转换绕行，但组网复杂、排障痛苦，非必要不推荐。四、跨账号的 VPC 互通支持吗？支持。 同区域创建对等连接时选「其他账户」，填对端账号的 ID 和 VPC ID，对端账号点接受，然后双方各自配路由 + 安全组。网段同样不能重叠。 避坑清单：1. 动手前先列出三个 VPC 的所有网段（含子网、CCE 容器网段、RDS 网段），确认无重叠再动手。2. 打通的只是三层可达，安全组和网络 ACL 也要放行，否则照样不通。3. 记住对等连接没有传递性：A-B、A-C 打通了，B-C 不会自动通，必须每对都建。4. 内网 DNS：如果要内网域名互访，用云解析服务的内网域名功能，别逐台改 hosts。    项目会被本地     连接

结论先行：df 读的是文件系统元数据里的「已分配块数」，du 是遍历目录树逐个累加的。两者差值大，说明空间被 du 遍历不到的地方占了。你已经用 lsof 查过没发现明显的，那就按下面这个顺序查，基本都能命中。 第一步：先对齐统计口径，确认差值df -hT /                      # 确认哪个挂载点满了、文件系统类型sudo du -x -d1 -h / 2>/dev/null | sort -rh | head -15du 必须加 -x（不跨文件系统）且用 root 跑，否则权限不足跳过的目录会造成「漏统计」的假象。对比 df 的 Used 和 du 的总和，差值就是要找的「隐形空间」。 第二步：查已删除但被进程占用的文件（最常见lsof | grep deleted 输出太多容易看走眼，直接这样查：sudo lsof +L1 | awk 'NR>1{printf "%.1fM %s %s:%s\n",$7/1024/1024,$9,$1,$2}' | sort -rn | head -10+L1 只列出链接数为 0 的文件（即已删除但仍被占用的），按大小排序，一眼就能看到凶手。 处理时不一定要重启进程，直接截断就行，空间立即释放：sudo : > /proc//fd/    # FD号取自 lsof 的 FD 列 日志文件是重灾区，事后记得给它 logrotate。 第三步：查被挂载点「盖住」的旧数据（第二常见）典型场景 /data 写了几十 GB，后来又把一块云硬盘挂载到 /data 上。旧数据还占着原文件系统的空间，但 du 走的是挂载后的目录树，看不见了。sudo mkdir -p /mnt/rootviewsudo mount --bind / /mnt/rootviewsudo du -sh /mnt/rootview/* 2>/dev/null | sort -rh | head# 对比 /mnt/rootview/data 和正常 du 看到的 /data，差的就是被盖住的sudo umount /mnt/rootview 第四步 journal 和容器日志（ECS 上最容易灯下黑的两项）journalctl --disk-usage                              # 看 systemd 日志占了多少sudo journalctl --vacuum-size=200M --vacuum-time=7d  # 清理并限制大小sudo du -sh /var/lib/docker/containers/* 2>/dev/null | sort -rh | head   # 容器 json 日志 单个容 -json.log 没做轮转时能涨到几十 GB，du 逐层查时很容易忽略。 第五步： inode 耗尽和预留块df -i /    # IUse% 到 100% 就是海量小文件把 inode 吃光了sudo tune2fs -l /dev/xxx | grep -i reserved    # ext4 默认给 root 预留 5% 1→5 跑一遍，df 的 Used 基本就能和各项加总对上。ECS 上我遇到最多的是第二种（日志删了但进程占着）和第四种（journal/容器日志），du 逐层查时最容易漏掉这两处。按 排除器的  ：查    ：先往加上   ）