新手记录：华为云 VPC 虚拟私有云入门——先划子网、再配安全组，别把内网暴露出去

刚上云的新手常把所有云服务器放在一个网络里，地址随便配、端口随便放，结果一台出问题就牵连全部，改网段还要重建。虚拟私有云 VPC 就是先在云上划出一块只属于你的隔离网络，里面的云服务器、数据库、负载均衡先在内部互通，对外再按需开口，思路是先隔离、再连通。

先搞清四个概念。VPC 是整块私有网络，相当于你租下的园区。子网是园区里的楼层，按可用区和用途划分，例如 Web 子网、应用子网、数据子网。安全组是每台云服务器门口的门禁，按协议、端口和来源地址放行。路由表决定流量往哪走，默认走内网，需要上网或跨网络时再加一条明确的路由。

新手可以按三步做。第一步建 VPC 时先定网段，常用 10.0.0.0/16，关键是不要和公司本地网络、以后要打通的其他 VPC 重叠，否则做 VPN 或专线互通时会冲突，改起来很麻烦。第二步划子网，同一个 VPC 内按可用区分开，重要服务多可用区部署，Web 放公有子网，数据库放私有子网，只让应用层访问，数据库自己不要直接上公网。第三步配安全组，默认全部拒绝，再按最小权限放行，例如 Web 只放 80 和 443，运维入口只放自己的办公出口地址，不要图省事放 0.0.0.0/0，尤其是 22 和 3389 这类管理端口。

再说三个新手最容易踩的坑。第一个是网段规划太随意，测试时随便选一个，后来业务扩容、多个 VPC 互通才发现重叠。第二个是安全组放得太宽，测试端口忘记收回，等于把内网服务公开。第三个是把数据库和缓存直接绑定弹性公网 IP，正确做法是只让应用服务器访问，数据库留在私有子网，运维需要时走跳板机或 VPN。

上线前按这张清单自查一遍：VPC 网段有没有和已有网络重叠；子网是不是按用途和可用区分开了；数据库在不在私有子网；安全组有没有 0.0.0.0/0 放行管理端口；需要访问外网的私有子网有没有走 NAT 网关，而不是直接绑公网 IP。五项都通过，再上线会稳很多。

一句话总结，VPC 不是多一个配置项，而是先把边界划清楚。网段定好、子网分好、安全组收紧，云上网络就从一团乱麻变成可查、可控、可扩展的布局。