阿里云专用网络vpc

Posted on Views:

阿里云专用网络 VPC（Virtual Private Cloud）是在 阿里云 公有云上为你“虚拟切出的一块私有数据中心网络”。它不是“模拟”，而是逻辑隔离、完全可控、按需编排的云网络空间。

1.VPC 的本质

从网络工程视角看，VPC =

  • 私有 IP 地址空间（RFC1918）
  • 二层/三层虚拟化网络(数据链路层 + 网络层)
  • 可编程路由 + 可编程安全边界

2. VPC 的核心组成

2.1 CIDR 地址块

  • 创建 VPC 时一次性指定
  • 支持 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16
  • 不可修改，只能重建（这是架构设计的第一刀）

设计经验：

  • 单 VPC 不要太小（/16 是常见下限）
  • 预留未来容器、数据库、专线扩展空间

2.2 交换机（vSwitch）

  • 本质：子网（Subnet）
  • 强绑定可用区（AZ）
  • 决定 ECS、RDS、ACK 实例的“落点”

常见误区：

vSwitch ≠ VLAN
它更接近“云上 L3 子网 + AZ 绑定”。

2.3 路由表

  • 系统路由：VPC 内部互通

  • 自定义路由：

    • NAT 网关
    • VPN 网关
    • 云企业网 CEN
    • ECS 转发（不推荐）

这是你做多出口、多活、跨地域的核心工具。

2.4 安全控制

  • 安全组：有状态，实例级
  • 网络 ACL：无状态，子网级

生产建议：

  • 90% 场景只用安全组
  • ACL 只在强隔离、合规场景启用

3. 典型 VPC 架构

3.1 单 VPC / 多子网（最常见）

适合：

  • 中小规模系统
  • 单地域多可用区
  • Web / API / DB 分层
flowchart LR
    Internet --> SLB
    SLB --> ECS_WEB
    ECS_WEB --> ECS_APP
    ECS_APP --> RDS

3.2 VPC + NAT 网关（标准出网模型,固定出口）

flowchart LR
    ECS1 --> NAT
    ECS2 --> NAT
    NAT --> Internet

特点：

  • ECS 无公网 IP
  • 出口集中
  • 审计、限流、封禁更可控

3.3 多 VPC 互联（企业级）

方式对比（按演进）：

  • VPC 对等连接（小规模）
  • 云企业网 CEN（跨地域/大规模）
  • 专线 + VPN（混合云）
flowchart LR
    VPC_A --> CEN
    VPC_B --> CEN
    IDC --> VPN --> CEN