VPC 子网划分基础

刚在云上开好几台服务器，很多人会发现它们默认都在同一个大网络里：能互相访问，也共用一个网关。机器一多就乱了——测试机和生产机混在一起，出了问题不好隔离，改个规则还怕影响别的服务。这时候就该划子网了。

一、VPC 和子网是什么关系

VPC 是你在云上的一片私有网络，相当于租下的一栋楼；子网是楼里的房间，一台服务器只能住在一个房间里。子网之间默认可以互通，但你可以给每个子网单独配规则：比如把数据库放进一个不对外暴露的子网，把网站放进另一个对外提供服务的子网。房间分开了，出了问题先锁一个房间，不会整栋楼一起遭殃。

二、划子网先想清楚三件事

第一，分什么。最实用的分法是按用途：对外服务的放一个子网，只在内部用的放另一个子网，测试环境的单独放一个子网。机器少的时候两个子网就够：一个对外、一个对内；机器多了再按业务拆。

第二，每个子网留多大。子网大小由网段决定，比如一个 /24 的子网有 256 个地址，扣掉云平台预留的几个，实际能用的大概 250 台左右。个人项目一个 /24 绰绰有余；别一上来就划很大的网段，地址留得太多以后想拆反而麻烦。

第三，网段别重叠。VPC 的网段和子网的网段不能互相重叠，也不要和你公司或家里的内网网段撞上，否则以后想打通 VPN 或专线时，地址冲突会让你重建整个网络。新建 VPC 时就选一个不常用的私有网段，比如 10.x 或 172.16.x。

三、新手常踩的三个坑

坑一：所有机器塞进一个默认子网。默认子网图省事，但测试机能直接碰到生产数据库，风险全攒在一起。哪怕只有三台机器，也值得把数据库单独放一个子网。

坑二：子网划完不配路由和安全组。子网本身不管进出，只管住哪；能不能上外网、能不能被访问，要看路由表和安全组。数据库子网不配公网路由、不放行入方向端口，才是真的隔离，只划子网不配规则等于没锁门。

坑三：网段选得太小。子网地址用完就扩不了，只能新建子网再迁移机器。规划时给每个子网多留一点余量，比事后搬家轻松得多。

四、一个能直接落地的做法

一个 VPC、两个子网：网站和应用放对外子网，只开 80、443 和自己 IP 的 22；数据库放对内子网，不配公网路由、不对外开放端口；测试环境单独一个子网，和生产彻底分开。建好后从外网 curl 一下网站端口确认能通，再试着从外网连数据库端口确认连不上——两边都对，隔离才算落地。

总结：子网划分不是为了好看，而是为了出问题时能关上一扇门而不是整栋楼。按用途分、留足地址、网段不重叠、配好路由和安全组，这四条做到位，云上的网络就有了最基本的秩序。