虚拟私有云 VPC 入门实操：子网规划与安全组隔离

上云第一步不是买一台云服务器，而是先把网络的“地基”打好。虚拟私有云（VPC）就是这块地基：它是在云上划出的一片逻辑隔离的网络空间，云服务器、数据库、负载均衡都在这个空间里互通，对外则由你说了算。本文结合一次真实搭建过程，讲清楚子网规划与安全组隔离。

一、VPC、子网、安全组的关系
VPC是最大的容器，一个VPC对应一个网段，例如10.0.0.0/16。子网是VPC里按业务切分的小区，例如10.0.1.0/24给Web层，10.0.2.0/24给应用层，10.0.3.0/24给数据层。安全组是贴在云服务器网卡上的“门禁”，按协议、端口和来源控制进出。三者分工不同：VPC决定“谁和谁在一个园区”，子网决定“谁住哪栋楼”，安全组决定“谁能进哪扇门”。只配VPC不配安全组，等于园区没有门禁；不分子网，等于所有房间挤在一个大通间，出问题很难定位。

二、子网规划：按访问路径分
新手常按部门划子网，结果同一条业务链路的机器散落在各处，路由和访问控制都难配。更合理的做法是按访问路径分层：公网子网只放负载均衡这类需要直接对外提供服务的组件；业务子网放应用服务器，不分配公网IP；数据子网放数据库和缓存，只允许业务子网访问。规划时注意三点：每个子网预留扩容空间，/24有251个可用地址，初期够用但要为峰值留余量；同一业务的子网要在不同可用区成对规划，跨可用区部署才能容灾；网段不要和本地数据中心或办公网重叠，否则以后打通VPN或专线时会发生路由冲突。

三、动手搭建
在控制台进入虚拟私有云服务，新建VPC，网段填10.0.0.0/16，默认路由表即可。接着新建三个子网，分别命名为subnet-public、subnet-app、subnet-db，网段按上文分配。创建ECS时选择这个VPC和对应的业务子网，业务子网的机器不勾选公网IP；只有临时验证需要的机器才绑定弹性公网IP，用完即解绑。建好后先验证连通性：在业务子网的ECS上ping数据子网的数据库内网地址，确认内网互通；再从本地访问公网子网的负载均衡地址，确认对外服务正常。这一步不要省，很多“服务起不来”的问题其实是子网或路由配错，而不是应用本身的问题。

四、安全组隔离：默认拒绝，按需放行
安全组最容易踩的坑是图省事放行0.0.0.0/0。正确做法是默认拒绝、按需放行：公网层只放行80和443端口；业务层只放行来自公网层安全组的业务端口，来源写安全组ID而不是网段，这样即使IP变化规则依然有效；数据层只放行来自业务层安全组的数据库端口，例如MySQL的3306，拒绝一切公网来源。管理端口要格外收紧：SSH的22端口不要对公网放行，改为只允许办公网出口IP或通过堡垒机跳转，临时排查放行后要立即收回。每条规则都建议写清用途备注，例如“应用访问数据库”，方便日后复查。

五、发布前检查清单
子网是否按访问路径分层且预留了扩容空间；业务和数据子网的机器是否都没有不必要的公网IP；安全组是否做到默认拒绝、按需放行；管理端口是否已收紧；网段是否与本地网络重叠。五项都通过，网络底座才算合格。VPC配置本身并不复杂，难的是养成“先规划、再创建、后验证”的习惯。子网划得清楚，故障定位就快一半；安全组收得够紧，半夜被告警叫醒的概率就小一半。