阿里云 VPC：专有网络架构与跨 VPC 互联指南

专有网络（VPC）是每个阿里云部署的基础网络层。每台 ECS 实例、RDS 数据库、SLB 负载均衡器和 Kubernetes 集群最终都运行在 VPC 内部。精心设计的 VPC 架构决定了整个云环境的网络安全性、可扩展性和运维简洁性。相反，规划不当的 VPC 会导致 IP 地址耗尽、路由复杂性和安全漏洞——修复这些问题代价高昂。

本综合指南涵盖 VPC 架构设计、CIDR 地址段规划、交换机策略、NAT 网关部署以及多 VPC 互联模式——为云架构师和网络工程师提供在阿里云上构建生产级专有网络所需的知识。

VPC 架构基础

阿里云 VPC 是单个区域内的逻辑隔离、软件定义的网络。每个 VPC 形成一个私有 IP 地址空间，您可以在其中控制路由、子网划分和安全性。

VPC 核心组件

VPC 本身： 顶层网络容器。每个 VPC 被分配一个 CIDR 地址段（例如 10.0.0.0/16），定义了其私有 IP 地址范围。一个 VPC 横跨整个区域，可以包含多个可用区。

交换机（VSwitch）： VPC 内的子网，绑定到单个可用区。每个交换机拥有一个 CIDR 段，是 VPC CIDR 的子集。ECS 实例、RDS 实例和其他资源被启动到特定交换机中，这决定了它们的可用区位置和初始 IP 地址范围。

路由表： 控制 VPC 内部和出 VPC 的流量路由。每个交换机关联一张路由表。系统路由（例如到 VPC CIDR 的本地路由）自动创建；自定义路由将流量引导至 VPN 网关、NAT 网关或 VPC 对等连接。

VPC 路由器： 一个分布式、高可用的虚拟路由器，处理 VPC 内的所有路由。与传统网络不同，不存在单点瓶颈——VPC 路由器是作为底层基础设施上的分布式功能实现的。

默认 VPC vs. 自定义 VPC

当您创建阿里云账号时，每个区域都包含一个默认 VPC，并在每个可用区预设了一个交换机。虽然这对快速上手很方便，但默认 VPC 的 CIDR 段（172.16.0.0/12）通常范围过大，且可能与本地数据中心网络冲突。对于生产部署，始终创建具有精心规划的 CIDR 段的自定义 VPC。

CIDR 地址段规划：网络设计的基石

CIDR 规划是 VPC 设计中最重要的架构决策。VPC CIDR 段一旦设定就无法更改——您必须删除并重建 VPC，迁移所有资源。

允许的 CIDR 范围

阿里云 VPC 支持以下 RFC 1918 范围内的私有 IP 地址：

• 10.0.0.0/8（10.0.0.0 至 10.255.255.255）
• 172.16.0.0/12（172.16.0.0 至 172.31.255.255）
• 192.168.0.0/16（192.168.0.0 至 192.168.255.255）

VPC CIDR 段必须介于 /16 和 /28 子网掩码之间。/16 在整个 VPC 中提供 65,536 个 IP 地址，而 /28 仅提供 16 个——根据您的预期规模选择。

规划原则

为增长预留空间： 今天拥有 10 台服务器的组织，三年后可能拥有 1,000 台。要考虑到微服务（每项多副本）、托管服务（每个 RDS 实例消耗 IP 地址）和平台服务（Kubernetes Pod、无服务器函数）会快速消耗 IP 地址。

避免与本地网络重叠： 如果您计划通过 VPN 网关或高速通道将 VPC 连接到本地数据中心，请确保 VPC CIDR 不与本地网络重叠。重叠的 CIDR 使路由变得不可能，除非使用复杂的 NAT 解决方案。

为多 VPC 做规划： 如果您预计部署多个 VPC（用于环境隔离、业务单元分离或区域分布），从一开始就为所有 VPC 分配互不重叠的 CIDR。常见模式如下：

此分配方案使用第二段八位组标识环境，第三段八位组标识区域差异，为数百个 VPC 留足了空间。

规划交换机 CIDR： 每个交换机 CIDR 必须是 VPC CIDR 的子集。阿里云保留每个交换机 CIDR 中的前两个和最后一个 IP 地址（网络地址、网关和广播地址），因此一个 /24 交换机可产生 251 个可用地址。

多可用区交换机设计

为了实现高可用，在每个区域的至少两个可用区部署交换机：

VPC：10.1.0.0/16

交换机-AZ-A：10.1.1.0/24  （可用区 A - 应用层）
交换机-AZ-B：10.1.2.0/24  （可用区 B - 应用层）
交换机-AZ-A：10.1.11.0/24 （可用区 A - 数据层，私有，无互联网访问）
交换机-AZ-B：10.1.12.0/24 （可用区 B - 数据层，私有）
交换机-AZ-A：10.1.21.0/24 （可用区 A - DMZ / 面向公网的托管服务）
交换机-AZ-B：10.1.22.0/24 （可用区 B - DMZ）

此设计提供：

• 每层的多可用区冗余
• 应用层、数据层和 DMZ 层之间的隔离
• 按层应用不同路由表和安全控制的能力
• 每个交换机中足够的 IP 空间用于弹性伸缩

交换机深度解析

交换机是可用区特定的，决定了所有启动到其中的资源的 IP 范围和可用区。它们在概念上相当于 AWS 的子网，但具有一些重要的阿里云特有行为。

交换机属性

• 可用区亲和性： 交换机在特定可用区内创建。启动到该交换机的资源物理上位于该可用区内。创建后无法更改交换机的可用区。
• CIDR 约束： 交换机 CIDR 必须是 VPC CIDR 的子集。同一 VPC 内的多个交换机可以拥有重叠的 CIDR，但前提是它们位于不同的可用区（用于同一层的多可用区冗余）。
• IP 地址管理： 在启动 ECS 实例时，您可以从交换机 CIDR 自动分配 IP，也可以指定静态私有 IP。静态 IP 适用于需要固定地址的实例（例如域控制器、堡垒机）。

交换机共享

阿里云支持交换机共享，允许您与组织内的其他账号共享交换机。这实现了集中式网络管理——网络管理员创建 VPC 和交换机，而应用团队将资源启动到共享交换机中，无需 VPC 管理权限。

要共享交换机，需在资源访问管理（RAM）资源共享配置中将目标账号添加为主体。共享交换机会以只读形式显示在目标账号的资源列表中。

NAT 网关：为私有子网启用互联网访问

NAT 网关是一项托管的网络地址转换服务，使私有交换机中的资源（没有公网 IP 地址的实例）能够访问互联网进行软件更新、API 调用和外部服务集成——同时不会将其暴露给入站互联网流量。

NAT 网关类型

增强型 NAT 网关（推荐）： 当前代的 NAT 网关，基于分布式高可用架构。默认支持最高 10 Gbps 吞吐量，可申请更高限制。增强型 NAT 网关在特定交换机内创建，并与弹性公网 IP（EIP）关联。

标准型 NAT 网关（旧版）： 较老的版本，吞吐量上限较低，功能较少。阿里云建议迁移到增强型 NAT 网关。

NAT 网关配置

步骤一：创建弹性公网 IP（EIP）： NAT 网关需要至少一个 EIP。对于高吞吐量场景，可将多个 EIP 关联到网关——流量会分布到各 EIP 上。

步骤二：创建增强型 NAT 网关： 选择 VPC 以及网关所在的交换机。网关会占用交换机中的一个 IP 地址。

步骤三：创建 SNAT 条目： 源 NAT（SNAT）条目定义哪些交换机 CIDR 可使用 NAT 网关进行出站互联网访问。可以按交换机 CIDR 或按单个 ECS 实例创建精细的 SNAT 条目。

步骤四：创建 DNAT 条目（可选）： 目标 NAT（DNAT）条目将来自 EIP 的入站流量转发到特定的私有 IP 地址和端口。使用 DNAT 对外提供服务（例如 Git 服务器），而无需为实例分配公网 IP。

步骤五：更新路由表： 在与私有交换机关联的路由表中添加路由，将 0.0.0.0/0 流量引导至 NAT 网关。

NAT 网关最佳实践

• 专用 NAT 交换机： 将 NAT 网关放置在它自己的专用交换机中，而不是与应用资源混合。这简化了路由和安全组管理。
• 高带宽使用多个 EIP： 增强型 NAT 网关上的每个 EIP 支持最高 200,000 个并发连接。对于需要更多连接的工作负载，关联额外的 EIP。
• 监控 SNAT 端口耗尽： 如果 NAT 网关的 SNAT 端口耗尽，新的出站连接将失败。监控 SnatConnectionCount 云监控指标，如果连接数接近上限则添加 EIP。
• 使用 NAT 网关获取固定出站 IP： 如果您的应用调用使用 IP 白名单的第三方 API，请将所有出站流量通过 NAT 网关路由。EIP 将作为您的可信源 IP。

跨 VPC 互联模式

随着云环境规模的增长，连接多个 VPC 变得必不可少——用于共享服务、混合架构和多区域部署。阿里云提供多种跨 VPC 互联选项。

VPC 对等连接

VPC 对等连接通过阿里云骨干网在两个 VPC 之间创建直接的私有网络连接。对等连接的 VPC 之间的通信如同在同一网络上。

特征：

• 支持区域内和跨区域对等连接
• 区域内对等连接无带宽费用；跨区域对等连接按数据传输计费
• VPC CIDR 段不得重叠
• 对等连接不可传递：如果 VPC A 与 VPC B 对等，VPC B 与 VPC C 对等，VPC A 无法通过 B 与 VPC C 通信
• 每个 VPC 最多 20 个对等连接（软限制，可申请提升）

适用场景： 连接少量 VPC（少于 5-10 个），且不需要传递路由。对于小规模部署，对等连接比云企业网更简单、更便宜。

云企业网（CEN）

云企业网是阿里云基于 Transit 的网络服务，将多个 VPC、本地网络和分支机构连接成统一的全球网络。

特征：

• 支持传递路由：连接到 CEN 实例的任何 VPC 或网络都可以与其他任何连接的网络通信（受路由策略约束）
• 带宽包在各区域之间提供有保障的、可预测的吞吐量
• 支持基于前缀过滤、AS 路径追加和 Community 控制的路由策略
• 与 VPN 网关和智能接入网关（SAG）集成，实现混合连接
• 提供全局网络拓扑图和集中式监控

CEN 架构：

1. 创建 CEN 实例
2. 将 VPC 加载到 CEN 实例（它们成为"网络实例"）
3. 购买并关联带宽包，用于跨区域流量
4. 配置路由策略（可选），控制哪些路由被传播
5. 对于混合场景：将 VPN 网关或高速通道电路作为额外的网络实例加载

适用场景： 超过 3-4 个 VPC 的任何场景、任何需要传递路由的需求、连接本地和云的混合云部署，以及全球多区域架构。

PrivateLink

PrivateLink 支持 VPC 之间的私有连接，用于访问特定服务（通过 SLB 或 ALB 暴露），无需 VPC 对等连接或云企业网。

特征：

• 服务 VPC 通过 SLB 端点暴露服务
• 消费方 VPC 创建映射到该服务的 PrivateLink 端点
• 流量完全通过阿里云骨干网传输，绝不经过公网
• 消费方和服务方 VPC 可以有重叠的 CIDR
• 通过 RAM 策略实现精细访问控制

适用场景： 将共享服务（认证、支付处理、日志）暴露给多个消费方 VPC，而无需建立完整的网络连接。托管在阿里云上的 SaaS 提供商可以使用 PrivateLink 安全地向其客户暴露服务。

对比矩阵

安全组：主机级防火墙

虽然 VPC 和交换机提供网络隔离，安全组则充当 ECS 实例、RDS 实例和其他计算资源的有状态主机级防火墙。

安全组规则

每个安全组包含定义允许流量的入站和出站规则。规则指定：

• 方向： 入站或出站
• 操作： 允许或拒绝
• 协议： TCP、UDP、ICMP、GRE 或全部
• 端口范围： 特定端口（例如 443/443）或范围（例如 8000-9000）
• 源/目标： CIDR 段、另一个安全组或前缀列表

安全组是有状态的——如果允许某个端口上的入站流量，无论出站规则如何，响应流量都会自动被允许。相比无状态网络 ACL，这简化了规则管理。

安全组最佳实践

• 最小权限： 为不同应用层（Web、应用、数据库）创建独立的安全组。Web 安全组允许来自 0.0.0.0/0 的入站 HTTP/HTTPS；应用安全组仅允许 Web 安全组访问；数据库安全组仅允许应用安全组访问。
• 安全组引用： 在规则中使用安全组 ID 引用其他安全组，而不是 CIDR 段。这使得规则对 IP 变化和弹性伸缩事件具有弹性。
• 默认拒绝： 确保默认出站规则具有限制性。移除默认的 0.0.0.0/0 出站规则，替换为针对必需出口目标的特定规则。
• 限制每个实例的安全组数量： 每个 ECS 实例最多可关联 5 个安全组（企业级规格为 16 个）。安全组越多越复杂——目标为每个实例 2-3 个。

VPC 流日志

VPC 流日志捕获 VPC 中进出弹性网卡的 IP 流量元数据。流日志数据发布到日志服务（SLS），您可以在其中查询、分析和基于网络流量模式设置告警。

应用场景

• 排查连接问题： 通过分析 ACCEPT/REJECT 条目，确定哪个安全组规则或路由表条目正在阻断流量。
• 安全分析： 通过查询异常的目标 IP 或端口，检测异常流量模式（端口扫描、数据外泄）。
• 合规审计： 通过展示所有流量保持在 VPC CIDR 内，证明敏感数据从未经过公网传输。

为所有生产 VPC 启用流日志，并针对关键端口的 REJECT 条目创建云监控告警。

总结

精心设计的 VPC 是所有其他阿里云服务的无声推动者。通过为规模规划 CIDR 段、为高可用设计多可用区交换机布局、部署 NAT 网关实现受控的互联网访问，以及选择合适的跨 VPC 互联模式（对等连接、云企业网或 PrivateLink），您可以创建安全、可扩展的网络基础。

您今天做出的网络架构决策将持续影响多年。投入时间和精力，从一开始就精心设计 VPC 拓扑——当您未来面对多区域、多账号、混合云架构时，一定会感谢今天的自己。

有关详细的配置步骤和最新的 VPC 功能更新，请参阅阿里云 VPC 官方文档。

本文由 2.chengzicloud.cloud 提供，点击访问首页了解更多