云连接和 VPC

在公有云中构建环境时，您获得的不只是服务器，还包括网络。VPC（虚拟私有云）是服务提供商云中的一个逻辑隔离区域，您可以在其中放置自己的资源。它相当于位于他人数据中心中的私有网络。

其他租户共享相同的物理硬件，但您的 VPC 会将流量和地址空间与其他所有用户分隔开来。

您可以使用CIDR（无类别域间路由）表示法，通过一个私有IP 地址范围定义 VPC，例如 10.0.0.0/16。这个地址块将成为您在其中启动的所有资源的地址空间。

与本地网络一样，您应选择私有地址范围（10.x、172.16-31.x 或 192.168.x），这样 VPC 将来就能顺利连接到办公网络，而不会发生地址冲突。

在 VPC 内部，您可以划分出子网，即更小的地址范围，通常分别对应可用区（相互独立的数据中心），以提高弹性。

• 公有子网：其中的资源可以访问互联网。
• 私有子网：其中的资源没有直接通往互联网的路由，非常适合放置数据库。

将 Web 服务器放在公有子网中，将数据库放在私有子网中，是一种常见且安全的设计。

互联网网关将 VPC 连接到公共互联网，使公有子网能够访问互联网并接受来自互联网的访问。NAT 网关允许私有子网中的资源访问互联网（用于更新），同时阻止未经请求的入站连接。

这种组合可以让后端服务器保持修补状态并能够访问外部服务，同时隐藏在互联网之外，是云安全中的一种关键模式。

每个子网都使用一个路由表来指示流量的去向。将指向 0.0.0.0/0（所有目的地）的路由指向互联网网关，会使子网成为公有子网；将其指向 NAT 网关，则可以保持子网的私有性。

路由表让云平台能够在软件中复现传统的路由决策。路由配置错误是云资源无法访问互联网或彼此无法通信的常见原因。

两层防火墙保护 VPC 流量：

• 安全组：附加到每个实例上的有状态防火墙；如果允许流量出站，返回流量会自动获准进入。
• NACL（网络访问控制列表）：位于子网级别的无状态规则，会过滤双向流量。

二者结合后，您可以精确控制哪些端口和来源能够访问您的云资源。

VPC 对等连接将两个 VPC 连接起来，使资源能够使用私有地址进行通信，就像位于同一个网络中一样。它适合在不让流量经过公共互联网的情况下，私密地连接不同环境、团队或区域。

对等连接不具备传递性：如果 VPC A 与 B 建立对等连接，B 又与 C 建立对等连接，A 仍然无法直接访问 C。每条连接都必须明确建立。

对于流量大或敏感的通信，服务提供商会提供专用私有连接，例如 AWS Direct Connect 或 Azure ExpressRoute，完全绕过公共互联网。与经由互联网的路径相比，这些连接具有稳定的低延迟、高带宽和更高的安全性。

当可靠性以及面向云端的可预测性能至关重要时，企业会采用这类连接，并接受额外成本以获得有保障的链路。

一种常见且成本较低的选择是站点到站点 VPN：通过公共互联网建立加密隧道，将您的办公网络连接到 VPC。流量经过互联网时会受到加密保护（通常使用 IPsec）。

与专用线路相比，它成本更低、设置更快，不过性能取决于公共互联网，而不是有保障的私有路径。

VPC 证明了云网络本质上仍然是网络。您需要设计子网、编写路由表、应用防火墙并连接站点，只是这些操作通过控制台或 API 在软件中完成。熟悉的 IP 编址、路由和分段概念，都可以直接映射到云中的构造。

理解子网和路由的网络技术人员，已经掌握了 VPC 所需的大部分知识。

VPC 为您提供一个私有地址空间，并将其划分为公有和私有子网；路由表将这些子网连接到互联网网关和 NAT 网关，安全组和 NACL 则负责保护它们。您可以通过对等连接关联 VPC，并通过站点到站点 VPN 或专用线路连接办公室，从而完全在云中重建完整的企业网络。

测试您对 VPC 的掌握程度。

VPC 是您在云中的隔离私有网络，由 CIDR 地址范围定义，并划分为公有和私有子网。路由表将流量引导至互联网网关和 NAT 网关，而安全组和NACL负责过滤流量。您可以通过对等连接连接 VPC，并通过站点到站点 VPN或专用线路访问它们。