VPC虚拟私有云入门：子网划分、路由表与安全组的关系

刚接触云计算时，很多人会把 VPC、子网、路由表、安全组当成四个孤立的概念。其实它们是一套配合工作的网络体系：VPC 划出边界，子网做分区，路由表决定去向，安全组负责放行。本文用一个简单例子把三者的关系讲清楚。

一、VPC：先划出一块专属网络

VPC（虚拟私有云）是在云上为自己划出的一块逻辑隔离的网络空间。你可以在里面自由规划地址段、创建子网、部署云服务器、数据库等资源，不同 VPC 之间默认互不连通。

规划 VPC 时先想清楚两件事：第一，地址段要留够余量，避免以后子网不够分；第二，生产、测试等不同环境的 VPC 尽量分开，出了问题互不影响。地址段一旦定下来，后续调整成本比较高，所以动手之前先在纸上画好拓扑。

二、子网：把 VPC 切成用途不同的房间

子网是 VPC 里的一段连续地址，是真正承载资源的单位。常见的做法是按用途和访问方式分区：公网子网放需要直接对外提供服务的资源，私网子网放应用和数据库，只通过内网访问。

举个例子，一个常见的三层结构是：Web 子网对外提供服务，应用子网处理业务逻辑，数据子网只放数据库。层与层之间只开必要的端口，这样即使某一层出现问题，影响范围也比较可控。

子网划分还有两个实用要点：一是每个子网预留一部分地址给网关、保留地址等系统占用，不要算得太满；二是按可用区把关键资源分散到不同子网，单个可用区出问题时业务仍有容灾空间。

三、路由表：数据包的“路标”

子网本身只是一段地址，数据包往哪里走，要靠路由表决定。每个子网都关联一张路由表，表里是一条条“目标地址段走哪条下一跳”的规则。

常见的规则有三类：访问 VPC 内部其他子网走本地路由；访问互联网走弹性公网 IP 或 NAT 网关；访问其他 VPC 或本地数据中心走对等连接或专线、VPN。

判断连通性时，可以顺着这条链路排查：源子网的路由表有没有到目标的路由，下一跳是否正常，目标子网的路由表能不能把回程流量送回来。很多“单向能通、双向不通”的问题，都是只配了去程、忘了回程。

四、安全组：贴在资源身上的“门禁”

安全组作用在云服务器、数据库等资源这个层面，是一组有状态的访问控制规则。它只关心“允许什么流量进来、允许什么流量出去”，默认拒绝不在规则里的流量。

和路由表的区别要分清：路由表决定能不能到达，安全组决定到门口让不让进。路由通了但安全组没放行，照样连不上；安全组放行了但路由不通，数据包根本到不了。

写安全组规则建议遵循最小权限：只开放业务必需的端口和来源地址，例如数据库端口只允许应用子网访问，而不是对所有地址开放。规则宁可先紧后松，根据实际报错再逐步放开。

五、三者怎样协同工作

以一次普通的 Web 访问为例：用户请求先到达 Web 子网的云服务器，Web 子网的路由表把去往应用子网的流量送到本地路由，应用服务器的安全组只放行来自 Web 子网的请求；应用再访问数据子网的数据库，数据库的安全组只放行来自应用子网的连接，数据库子网的路由表则不配置到互联网的路由，从源头上减少暴露面。

这个链条里任何一环缺失都会出问题：子网划分不合理，隔离就形同虚设；路由表配错，流量会走错路甚至出不去；安全组配得太松，隔离的效果又会被抵消。排查网络问题时，按“子网—路由—安全组”的顺序逐段检查，往往能最快定位。

六、新手常见误区

第一，把安全组当成防火墙的全部，忽略了网络 ACL 和子网隔离的作用；第二，图省事把所有资源放在一个子网，失去分层的意义；第三，复制别人的路由表和安全组规则时不改来源地址，留下不必要的开放口子。

小结

记住一句话：VPC 定边界，子网做分区，路由表指定方向，安全组把守门口。四者分工不同、缺一不可。入门阶段不必追求复杂的拓扑，先搭一个“公网 Web 子网 + 私网应用子网 + 私网数据子网”的最小结构，亲手配一遍路由和安全组，再逐段验证连通性，理解会比只看文档深刻得多。