华为云 VPC 网络架构设计：从子网规划到安全隔离

前言

虚拟私有云（VPC）是华为云上用户专属的隔离网络环境。网络架构设计直接影响应用安全性、可扩展性和运维便利性。本文系统讲解 VPC 规划方法。

VPC 核心组件

子网：VPC 内 IP 地址段，云资源部署在子网中。
路由表：定义流量转发规则。
安全组：实例级虚拟防火墙。
网络 ACL：子网级访问控制。
网关：NAT、VPN、对等连接等实现外部互通。

网络规划

CIDR 网段选择

小型用 24 位掩码，中型用 20 位，大型用 16 位。推荐使用 RFC 1918 私有地址段，避免与本地数据中心冲突。

子网划分

按功能分层：Web 层部署前端和负载均衡器，应用层部署后端微服务，数据层部署数据库，管理子网部署跳板机。每层预留 50% 扩展空间。

路由设计

每个子网关联路由表，配置本地路由、NAT 网关路由和对等连接路由。生产环境建议每个子网独立路由表，灵活控制流量走向。

安全隔离

安全组设计

安全组采用白名单模式，默认拒绝所有流量。按层设计安全组：

Web 安全组：放行 80 和 443 入站，允许所有出站。
应用安全组：仅放行来自 Web 安全组的应用端口。
数据安全组：仅放行来自应用安全组的数据库端口。
管理安全组：仅放行管理员 IP 的 SSH 端口。

网络 ACL

网络 ACL 在子网边界生效，控制进出子网的流量。与安全组配合使用，安全组做实例级精细控制，ACL 做子网级粗粒度隔离。

VPC 对等连接

VPC 对等连接实现两个 VPC 之间内网互通，适用于多 VPC 架构。对等连接需要双方 VPC 路由表都添加对端路由。

NAT 网关

SNAT

SNAT 让 VPC 内无公网 IP 的实例通过 NAT 网关访问公网。配置 SNAT 规则指定子网和公网 IP，子网内实例即可出公网。

DNAT

DNAT 将 NAT 网关公网 IP 的端口映射到 VPC 内实例的端口，让外部可以访问内网实例。适合不想给实例分配 EIP 但需要对外服务的场景。

VPN 网关

VPN 网关在 VPC 和本地数据中心之间建立加密通道，实现混合云组网。支持 IPsec VPN，配置阶段一和阶段二参数建立安全关联。

常见问题

问：一个 VPC 能创建多少子网？
答：默认配额可创建多个子网，具体数量可在配额页面查看，不够可申请提升。

问：安全组和 ACL 优先级？
答：先检查 ACL（子网级），再检查安全组（实例级），两者都允许才放行。

总结

VPC 网络架构设计是云上应用的基础。按功能分层划分子网，配合安全组和 ACL 实现纵深防御，合理使用 NAT 和 VPN 网关连接外部。好的网络架构让应用更安全、更易扩展。