云上网络第一课：VPC 与安全组，三个习惯守住第一道门

买了云服务器之后，很多人第一件事是装环境、部署应用，网络配置却一路默认。结果要么是服务从公网访问不了，要么更糟——数据库端口裸奔在公网上。其实云上网络并不复杂，VPC 和安全组这两样东西配明白了，八成的安全问题和连通性问题都不会找上门。

一、VPC：先给你的云资源画好"小区"

VPC（虚拟私有云）相当于你在云上圈出来的一块"私有地盘"：同一 VPC 内的资源默认互通，不同 VPC 之间默认隔离。规划时记住三点：

1. 网段别贪大也别太小：比如 10.0.0.0/16 足够大多数中小业务用，给子网划分留足余地。网段一旦定下来再想改会很麻烦，动手前多想五分钟。
2. 子网按"公私"分开：Web 服务器这种需要公网访问的放公有子网，数据库、缓存、内部服务放私有子网。私有子网没有公网 IP，天然多了一层隔离。
3. 多可用区部署：关键业务把子网铺到至少两个可用区，一个机房出问题，业务还能在另一个区接着跑。

二、安全组：云服务器的"门卫"

安全组是有状态的虚拟防火墙，挂在实例或网卡上，控制进出流量。新手最容易犯的三个错：

• 入方向全开 0.0.0.0/0：为了省事把所有端口对全网开放，等于大门不上锁。需要公网访问的只开 80/443；SSH、RDP 只放自己的办公 IP 或跳板机。
• 出方向也想"管一管"：安全组默认出方向全放行，一般保持默认即可，业务需要访问外部 API、拉镜像都依赖它。收紧出方向之前先确认依赖。
• 一个安全组打天下：Web 层、应用层、数据层共用一套规则，改一条心惊胆战。按角色拆分安全组：web-sg、app-sg、db-sg，db-sg 的入方向只允许来自 app-sg 的流量，层层收敛。

三、三个能长期受益的习惯

1. 最小权限 + 定期复查：每月花十分钟看一眼安全组规则，把"临时调试开的端口"关掉。临时规则最容易变成永久后门。
2. 给规则写备注：每条安全组规则都写清楚"谁、为什么"，三个月后你会感谢当初的自己。
3. 先内网后公网：资源之间能走内网就走内网——同 VPC 内网互访免费、延迟低，还不经过公网。数据库、对象存储、缓存一律内网地址。

结语

云上网络安全没有黑魔法，就是"隔离 + 最小权限 + 持续复查"三板斧。VPC 画好地盘，安全组守好门，再养成定期复查的习惯，你的云上资产就已经比大多数"默认配置"安全一个量级。下次创建实例前，先花十分钟把网络想清楚，这十分钟是整套架构里性价比最高的投入。