🌐 什么是VPC？虚拟私有云网络完全指南

没有 VPC 的"经典网络"是什么样？

在 VPC 出现之前，云厂商提供的是经典网络（Classic Network）：所有用户的所有云服务器共享同一个大二层网络，靠防火墙规则区分彼此。

① 私有网段（CIDR）— 你的"地皮"

创建 VPC 时首先要选一块私有 IP 地皮（网段）。云厂商一般只允许使用 RFC 1918 私有地址段：

② 子网（Subnet）— 功能分区

子网是把 VPC 网段切成更小的片段，每个子网绑定一个可用区。典型划分：

• 公网子网（Public Subnet）：挂 SLB、跳板机等需要直接对外的实例，通过 IGW + EIP 暴露公网
• 私网子网（Private Subnet）：放数据库、缓存、内部服务，没有公网 IP，只能内网访问
• 多可用区：每个功能在同一可用区都有副本 → 单可用区故障不丢服务（高可用）

③ 路由表（Route Table）— 流量红绿灯

每个子网都关联一张路由表，路由表决定从这个子网发出的数据包往哪走：

匹配原则：最长前缀优先。比如去 10.0.2.10 的数据包，会匹配 10.0.0.0/16 的 Local 路由而不是 0.0.0.0/0 的默认路由。

④ 网关（Gateway）— 与外界的出入口

⑤ 安全组 & ⑥ 网络ACL — 两道防火墙

CIDR 基础：/16 /24 到底是多少个IP？

CIDR 后缀（/n）表示网络前缀占用的位数，越小网段越大：

推荐规划模板（可直接抄作业）

✅ 网段规划 7 条军规

1. 先全局、后局部：画一张全公司 IP 规划总表（IP 地址簿），再动手建
2. 网段留大不留小：宁可大段规划、细分子网，不要等不够再迁移
3. 环境分离：开发、测试、生产最好用不同 VPC 或至少不同子网，生产必须最严格
4. 多 AZ 冗余：核心业务子网至少分布在两个可用区，每个可用区放一半副本
5. 公网/私网分离：数据库、缓存一律放私网子网，永远不给公网 IP
6. 避免冲突：Docker（172.17）、K8s 集群网段（如 10.96.0.0/12）、本地机房段都要提前避开
7. 记录在案：每个子网用途、安全组归属写成文档，团队共享

五种方案的对比与选择

🎯 典型混合云架构（生产级参考）

• 本地核心数据库 + 云上弹性计算（应对流量高峰）
• 云上 VPC 网段（如 10.0.0.0/16）与本地网段（如 192.168.0.0/16）完全错开
• 专线故障自动切换 VPN 隧道（双链路冗余）
• 通过云联网把多个 VPC 与 IDC 统一纳管，路由集中配置

❓ 1. VPC 收费吗？

❓ 2. VPC 能跨地域吗？子网能跨可用区吗？

都不能。

• VPC 是地域级资源：华东1的 VPC 不能包含华东2的子网。跨地域要用云联网/对等连接（跨地域收费）
• 子网是可用区级资源：一个子网只能属于一个可用区。想多可用区高可用，就在每个可用区各建一个子网

❓ 3. 一个账号能建几个 VPC？VPC 里能建几个子网？

云厂商默认都有配额限制（如每个地域默认 5~10 个 VPC，每个 VPC 默认 10~20 个子网），但都可以工单申请提升配额。规划时不用太担心上限，真正要担心的是 IP 段规划是否合理。

❓ 4. 不同 VPC 可以用相同的 IP 段吗？

可以。因为 VPC 之间是隔离的，A VPC 里的 10.0.0.10 和 B VPC 里的 10.0.0.10 互不干扰。但一旦你需要让它们互通（对等连接/云联网），IP 段冲突就会导致路由无法配置。所以：规划时就全局统一，避免后患。

❓ 5. 什么是公网子网和私网子网？怎么判断？

判断标准只有一个：子网绑定的路由表里有没有 0.0.0.0/0 → IGW 这条默认路由。

• 有 → 公网子网：实例可以绑 EIP 被公网访问
• 没有（默认路由指向 NAT 或空）→ 私网子网：实例没有公网 IP，只能内网访问

典型架构：SLB/Web 服务器放公网子网，MySQL/Redis 放私网子网。

❓ 6. 安全组和网络ACL 能同时用吗？先过哪个？

能同时用，而且是推荐的纵深防御。数据包到达实例的路径：

❓ 7. 经典网络还能用吗？需要迁移吗？

大部分云厂商已停止经典网络的新购，存量实例也在逐步回收。如果业务还在经典网络上：

1. 新建 VPC + 迁移实例（云厂商通常提供免费迁移工具）
2. 先迁移无状态服务，再迁移有状态服务（数据库）
3. 切流量前充分验证安全组规则，避免迁移后网络不通

❓ 8. VPC 内怎么访问域名/外部服务？

VPC 内默认有厂商提供的 DNS 服务（内网解析），解析云产品内网域名、公网域名。私网子网实例访问公网域名需要走 NAT 网关；需要内网域名解析私有服务时，用云厂商的 PrivateZone / 内网DNS。

❓ 9. 为什么我的 RDS 只能用内网地址访问？

因为云数据库默认只放行内网访问（同 VPC 内），这是安全设计。不要给 RDS 开公网访问——等于把数据库裸奔在公网上。如果本地要连数据库调试，用 SSH 隧道 / 堡垒机 / VPN 进入 VPC 再访问。

📝 面试版一句话总结