VPC 子网规划：CIDR 分段与路由表隔离的实操要点

很多上云项目的问题不在应用层，而在第一天画错了网络图：VPC 的 CIDR 定得太小，后面只能重建；子网切得太碎，地址很快不够；所有子网共用一张路由表，一次误操作就可能打通生产与测试。规划的本质，是在地址、可用区和流量方向上一次定好边界。

一、先给 VPC 定一个能长大的 CIDR

VPC 主 CIDR 很难无痛改大，要按三到五年预留。优先用 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16，并避开本地、办公和合作方已占网段，否则专线或 VPN 对接时地址重叠会让路由无从选择。一个实用起点是每 VPC 分 /16，如 10.20.0.0/16。

二、CIDR 分段：按用途切，不要按机器切

先按用途分，再按可用区分布：Web、应用、数据分开，生产、测试分开，每个组合落在两个或三个可用区。以下以 10.20.0.0/16 为例：

每类预留一个空闲 /24，用于扩容和排障。

三、路由表隔离：一个子网，一张明确的路由表

默认路由表只做兜底，业务子网各自绑定自定义路由表：公有子网指向互联网网关，私有子网指向 NAT 网关，数据子网一般不配外网默认路由，只保留 VPC 内互通和服务终端节点路由。变更前导出快照，变更后验证 Web 到应用、应用到数据、数据不出公网三个方向。

四、把隔离做成三层防线

隔离要做三层：路由表管方向，网络 ACL 管子网边界，安全组管实例入口。只靠安全组，路由放错仍可能绕路；只靠路由表，同子网横向访问又缺乏约束；三层各司其职，故障也更容易定位。

五、上线前逐项核对

上线前核对：是否与本地和合作方网络重叠；子网是否绑对路由表而非默认表；私有子网有无多余外网默认路由；NAT 是否跨可用区；管理端口是否只对应用子网开放。地址留够、路由分清，扩容就只是再切一段、再绑一张表。