华为云 VPC 虚拟私有云入门：子网规划与安全组配合搭建隔离网络

上云的第一步通常是买一台云服务器，但只有一台机器并不等于有了一个可用的网络。很多新手直接把所有资源扔进默认网络，等到要隔离数据库、要区分内外网流量时才发现无从下手。华为云的 VPC 虚拟私有云就是用来解决这个问题的：它让你在云上划出一块完全属于自己的私有网络，地址段、子网、安全策略都由你说了算。本文用一个最常见的 Web 应用场景，讲清楚 VPC 该怎么规划、怎么搭。

一、VPC 到底是什么

可以把 VPC 理解成云上的一间独立机房。你在里面划分网段、放服务器和数据库，外面的人看不到里面，里面的资源出入也要经过你定的规则。一台云服务器可以属于且仅属于一个 VPC，同一个 VPC 内的资源默认内网互通，不同 VPC 默认隔离。这种隔离是云上安全的第一道防线，比事后在每台机器上打补丁要可靠得多。

二、为什么要先规划 VPC 再买机器

不少人是先买机器、后补网络，结果常常是地址段选小了，后续扩容没地方；或者所有资源挤在一个子网里，数据库和 Web 服务混在一起，一旦 Web 服务被攻破，数据库也跟着暴露。正确顺序是反过来的：先定 VPC 的地址段，再划子网，最后才往子网里放资源。花十分钟做规划，能省掉日后迁移的很多麻烦。

三、子网规划：地址段怎么分

VPC 的地址段一般从私有地址范围里选，常用的有 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 这三段。拿一个小型 Web 应用举例：VPC 选 10.0.0.0/16，这个地址段足够容纳 6 万多个地址，留足了扩容空间；然后在里面划两个子网，业务子网 10.0.1.0/24 放云服务器，数据库子网 10.0.2.0/24 放数据库。两个子网的地址段不能重叠，也不能超出 VPC 的范围。

规划时有三点经验值得记住。第一，地址段宁大勿小，子网掩码留出余量，后期想扩容时改地址段的代价非常大。第二，按用途分网段而不是按机器分网段，Web 层、应用层、数据层各放一个子网，出了问题也容易定位。第三，有条件的话把子网分布到不同可用区，同一个业务的两个子网跨可用区部署，单可用区故障时业务还能继续跑。

四、安全组与网络 ACL：两层防护怎么分工

VPC 里有两层网络防护，很多人分不清。安全组是实例级别的，挂在每一台云服务器或数据库上，控制进出这台实例的流量；网络 ACL 是子网级别的，挂在子网边界上，控制整个子网的进出流量。两者是叠加生效的，流量要同时通过 ACL 和安全组的放行才能到达实例。

实际配置时建议这样分工。数据库子网的网络 ACL 只放行来自业务子网的数据库端口，比如只允许 10.0.1.0/24 访问 3306 端口，其他来源一律拒绝；业务子网的安全组则对公网只放行 80 和 443 端口，管理用的远程登录端口只对自己的办公出口地址放行。规则遵循最小权限原则：不知道要不要放行的端口，先不放行，业务跑不通时再按需补。

五、动手搭建：六步完成一个隔离网络

第一步，在控制台创建 VPC，地址段填 10.0.0.0/16。第二步，在这个 VPC 里创建两个子网，业务子网 10.0.1.0/24，数据库子网 10.0.2.0/24，两个子网分属不同可用区。第三步，创建两个安全组，一个用于 Web 服务器，只放行 80、443 端口；一个用于数据库，只放行来自业务子网的 3306 端口。第四步，创建云服务器时选择业务子网并绑定 Web 安全组。第五步，创建数据库实例时选择数据库子网并绑定数据库安全组。第六步验证：从云服务器上测试能否连通数据库端口，再从公网测试能否访问 Web 页面，而数据库端口从公网应该完全不可达。

六、常见误区

第一个误区是地址段选得太小，比如 VPC 只给了一个 24 位掩码的地址段，子网还没划完地址就用完了。第二个误区是把所有资源放在一个子网里，等于放弃了 VPC 的隔离能力。第三个误区是安全组图省事放行全部地址的全部端口，实例直接暴露在公网上，这是最常见的安全事故来源。第四个误区是只配安全组、不配网络 ACL，子网边界少了一层防护。第五个误区是忘了检查路由，子网之间、子网与公网之间的访问路径需要路由表正确配置，否则配好了规则流量也走不通。

七、总结

VPC 的核心就三句话：地址段先规划、子网按用途隔离、安全策略按最小权限配置。一个 10.0.0.0/16 的 VPC、两个子网、两组安全组规则，就能搭出一个内外有别、数据库不直接暴露的 Web 应用网络。VPC 本身不单独收费，费用主要来自云服务器、带宽和数据库这些资源本身，所以这套隔离方案几乎是零额外成本。下一篇准备写云监控告警的配置，给这套网络加上故障提醒。