用虚拟私有云 VPC 做网络隔离与安全组最小授权的实践笔记

业务上云之后，最先补的不是性能优化，而是网络隔离。这篇笔记记录我把一组业务服务从默认网络迁到自建 VPC，并用安全组做最小授权的过程和踩到的坑。

先把网络划成三层

新建 VPC 时我按用途划了三个子网：公网子网只放负载均衡和 NAT 网关，应用子网放业务服务，数据子网放数据库和缓存。三个子网之间用路由表控制走向，数据子网默认没有到公网的路由，只能被应用子网访问。

一开始图省事把所有服务塞进一个子网，结果一次安全组配错就把数据库端口暴露了出去。分层之后再配错，影响面也只限于本层。

安全组只开最小端口

安全组的原则就一条：默认拒绝，按需放行。

• 应用服务：只对负载均衡开放业务端口，来源写负载均衡的安全组 ID，不写 0.0.0.0/0。
• 数据库：只对应用子网的网段开放 3306/6379，来源精确到子网 CIDR。
• 管理端口 22/3389：只放自己的出口 IP，换个网络就得先改规则，用完再收掉。

有一次图方便给测试机放了全端口，结果第二天就收到异地登录告警。从那以后测试机也按最小授权走，临时放行必须设过期提醒。

两个容易忽略的点

一是默认安全组：新建 VPC 自带的那组规则很宽松，服务建好后要第一时间换到自己建的安全组，别让它一直挂着。

二是出方向规则：只盯入方向不够，数据子网的出方向也要收紧，只允许回应用子网的流量。否则一旦应用层被打穿，数据还能顺着出方向往外走。

小结

网络隔离不花钱，花的只是规划的耐心。子网分层 + 安全组最小授权 + 管理端口只对自己开放，这三条做完，云上业务的安全底线就有了。