Skip to content
返回云服务

AWS VPC 网络

隔离云网络，子网、路由表、NAT、VPC peering 和 Transit Gateway。

AWS高级

为什么

VPC 在你自己的网络隔离资源 — 私有子网、经 NAT 控制出口、账户间 peering。RDS/ECS/EKS 必需。默认 VPC 对生产太开放。

何时使用

任何生产负载创建自定义 VPC — 多 AZ 子网、私有 + 公有、NAT 出口。避免默认 VPC（公有子网、开放 SG）。

如何做

1. 创建 VPC — aws ec2 create-vpc --cidr-block 10.0.0.0/16 2. 子网 — 每 AZ 2+，公有（IGW 路由）+ 私有（NAT 路由） 3. Internet Gateway — 附加到 VPC，公有 RT 路由 0.0.0.0/0 4. NAT Gateway — 在公有子网，私有 RT 路由 0.0.0.0/0 到 NAT 5. 安全组 — 有状态，按 SG 引用允许（app SG → DB SG 5432） 6. NACL — 无状态子网级，默认全允许（主要用 SG） 7. VPC peering — 连接 VPC，同/跨账户，CIDR 不重叠 8. Transit Gateway — 多 VPC 枢枢纽，比 peering 网格更可扩展

示例

# Terraform — 生产 VPC 带私有子网 + NAT resource "aws_vpc" "main" { cidr_block = "10.0.0.0/16" enable_dns_hostnames = true } resource "aws_subnet" "private" { count = 3 vpc_id = aws_vpc.main.id cidr_block = "10.0.${count.index + 1}.0/24" availability_zone = data.aws_availability_zones.available.names[count.index] } resource "aws_nat_gateway" "nat" { allocation_id = aws_eip.nat.id subnet_id = aws_subnet.public[0].id } # 私有子网出口经 NAT 路由 resource "aws_route" "private_egress" { route_table_id = aws_route_table.private.id destination_cidr_block = "0.0.0.0/0" nat_gateway_id = aws_nat_gateway.nat.id }

常见问题

  • ⚠NAT Gateway 成本 — $0.045/GB 出口，高流量比应用还贵
  • ⚠CIDR 重叠阻塞 peering — 提前规划 CIDR 范围，每 VPC 用 /16
  • ⚠默认 VPC 太开放 — 公有子网 + 开放 SG，生产勿用

最佳实践

  • ✓用 VPC Reachability Analyzer — 部署前验证连通性
  • ✓每 AZ 一个 NAT — HA，避免单 NAT 跨 AZ 瓶颈
  • ✓3+ VPC 用 Transit Gateway — 比 peering 网格简单，中央路由

常见问题解答

什么是AWS VPC 网络？它解决什么问题？

隔离云网络，子网、路由表、NAT、VPC peering 和 Transit Gateway。 它可帮助开发者在不自建基础设施的前提下完成部署、存储与扩展，是云服务选型的核心参考。

如何在 5 分钟内上手AWS VPC 网络？

两步即可跑通：① 创建 VPC — aws ec2 create-vpc --cidr-block 10.0.0.0/16；② 子网 — 每 AZ 2+，公有（IGW 路由）+ 私有（NAT 路由）。建议先用免费套餐验证流程，再接入生产环境。

AWS VPC 网络 最容易踩的坑是什么？

最高频的问题是：NAT Gateway 成本 — $0.045/GB 出口，高流量比应用还贵。建议在上线前用 checklist 逐项核对，并在 CI 中加入策略与配置扫描。

AWS VPC 网络 的最佳实践有哪些？

AWS VPC 网络 的最佳实践包括：用 VPC Reachability Analyzer — 部署前验证连通性；每 AZ 一个 NAT — HA，避免单 NAT 跨 AZ 瓶颈；3+ VPC 用 Transit Gateway — 比 peering 网格简单，中央路由。其中首条「用 VPC Reachability Analyzer — 部署前验证连通性」应作为团队默认规范写入 IaC 模板。

AWS VPC 网络 如何控制成本与避免账单意外？

三招防超支：① 为所有资源打 env/team 标签并启用账单告警；② 用预算阈值触发 Slack/邮件通知；③ 定期用 Cost Explorer 审查闲置资源并清理。AWS VPC 网络 多数提供免费套餐，先在免费额度内验证再放量。