华为云 VPC 网络规划：子网、路由与安全组的关系

VPC 是华为云上所有网络资源的底座。很多“ECS 连不上”“数据库访问不了”的问题，最后都落到 VPC 的网段、路由或安全组配置上。本文把这三者的关系理清楚。

VPC 与子网

VPC 是一个隔离的虚拟网络，需要规划 IPv4 网段，例如 192.168.0.0/16。子网从 VPC 网段中划分，例如：

• 192.168.1.0/24：Web 层
• 192.168.2.0/24：应用层
• 192.168.3.0/24：数据库层

规划时注意：

• 不要和本地 IDC、其他 VPC 的网段重叠，否则对等连接或 VPN 会冲突。
• 预留足够地址，容器、负载均衡、后续扩容都会占用 IP。
• 按层划分子网，便于安全组和路由统一管理。

路由表

路由表决定流量往哪里走。默认路由表包含 VPC 内部互通规则；访问公网需要 EIP、NAT 网关或自定义路由。常见问题：

• 子网没有关联到正确的路由表。
• 对等连接建立后，双方路由表都需要添加对方网段的路由。
• NAT 网关绑定的子网和实际出网子网不一致。

安全组与网络 ACL

安全组作用于实例，网络 ACL 作用于子网。日常使用以安全组为主：

• 安全组是有状态的，放行入方向后返回流量自动通过。
• 网络 ACL 是无状态的，入方向和出方向都要分别放行。
• 两者同时存在时，流量需要同时满足两边规则。

排障顺序

实例之间不通时，按下面顺序排查：

1. 两台实例是否在同一 VPC；跨 VPC 是否有对等连接或 VPN。
2. 子网路由表是否有目标网段的路由。
3. 安全组是否放行对应端口和源地址。
4. 操作系统防火墙是否拦截。
5. 用 ping、telnet、curl 从两端分别验证。

小结

VPC 规划的核心是“网段不冲突、分层清晰、路由可达、权限最小”。先把地址规划好，再谈安全组细节，后面扩容和跨网络互联会省很多事。