云上网络隔离实践：用虚拟私有云子网规划筑牢第一道防线
【摘要】 上云之后，很多团队把安全重心放在安全组和密码上，却忽略了网络层面的第一道防线：虚拟私有云（VPC）与子网的规划。子网划分得不好，后期想改往往要动整套架构，成本很高。我的做法是按“用途+环境”两维划分子网。生产、测试、开发各用独立子网，Web 层、应用层、数据库层再分开：数据库只放在私有子网，不分配弹性公网 IP，只能由应用层子网通过内网访问；面向互联网的负载均衡和 Web 服务器放在公网子网...
上云之后，很多团队把安全重心放在安全组和密码上，却忽略了网络层面的第一道防线：虚拟私有云（VPC）与子网的规划。子网划分得不好，后期想改往往要动整套架构，成本很高。
我的做法是按“用途+环境”两维划分子网。生产、测试、开发各用独立子网，Web 层、应用层、数据库层再分开：数据库只放在私有子网，不分配弹性公网 IP，只能由应用层子网通过内网访问；面向互联网的负载均衡和 Web 服务器放在公网子网，其余资源一律不直接暴露。
其次是路由与网络 ACL 的配合。每个子网只配必要的路由，默认路由指向 NAT 网关而不是随意放行；网络 ACL 按子网做无状态的粗粒度放行，安全组再按实例做细粒度控制，两层叠加，避免单点配置失误导致整网暴露。
第三是定期复核。用云上网络拓扑和安全组规则清单每月检查一次：有没有子网误配了公网路由、有没有长期闲置的弹性 IP、有没有“0.0.0.0/0 全放行”的规则。发现一处就立刻收紧并记录原因。
子网规划不是一次性的图纸，而是随着业务增长不断演进的习惯。把隔离做在前面，事后补救的成本会低得多。
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论（0）