VPC 是什么
VPC（专有网络）是云上逻辑隔离的私有网络：你自己定义网段、划分子网、配置路由表与网关，云资源的私网地址都在这个边界内分配。它替代了早期『经典网络』那种租户间共享大二层的模型，让网络规划从『跟别人共用一张网』变成『自己规划一张网』，也是所有云网络设计的第一块地基。
基本信息
| 定义 | 逻辑隔离的私有网络，资源在 VPC 内分配私网地址 |
|---|---|
| 核心元素 | 网段（CIDR）、子网（交换机）、路由表、网关、安全组 |
| 网段规范 | 使用 RFC 1918 私网段：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 |
| 三厂名称 | 专有网络 VPC / 私有网络 VPC / 虚拟私有云 VPC |
| 不可变项 | 主网段创建后不能修改，只能新增附加网段或另建 VPC |
典型使用场景
- 给新项目划一片独立网络：按业务或环境（生产/测试）分 VPC，故障与变更互不牵连
- 规划地址空间：把 VPC 网段当作企业内网的延伸来设计，为将来与 IDC 互联预留余量
- 做网络隔离：核心数据层只在内网可达，公网入口集中在负载均衡与 NAT 网关
- 跨 VPC 组网：用对等连接、云企业网把多个 VPC 打通，替代把资源堆进一个巨型 VPC
- 多账号统一网络：每个账号建自己的 VPC，通过中心化网络账号与转发路由器互通
VPC 内核心对象
| 对象 | 作用 | 常见坑 |
|---|---|---|
| 交换机/子网 | 网段的细分，绑定一个可用区 | 网段重叠导致创建失败 |
| 路由表 | 决定流量下一跳（NAT、对等连接等） | 改了 NAT 却忘加 0.0.0.0/0 路由 |
| 安全组 | 实例网卡级虚拟防火墙，有状态 | 误删引用中的规则导致访问中断 |
| 网关 | NAT/VPN/专线/对等连接等出入口 | 规格不足导致高峰期丢连接 |
创建与查看 VPC
创建与查看 VPC
aliyun vpc CreateVpc --CidrBlock 10.0.0.0/16 --VpcName prod-vpc # 建 VPC
aliyun vpc CreateVSwitch --VpcId vpc-xxxx --CidrBlock 10.0.1.0/24 --ZoneId cn-hangzhou-i
aliyun vpc DescribeVpcs --RegionId cn-hangzhou # 查列表与网段
aliyun vpc DescribeVSwitches --RegionId cn-hangzhou --VpcId vpc-xxxx
aliyun vpc DescribeRouteTableList --RegionId cn-hangzhou # 核对路由指向VPC 主网段创建后不可修改，网段与本地 IDC 或对端 VPC 重叠时，专线、VPN、对等连接都会建不起来。动手画网段前先把两端地址表拉出来对齐。
同一地域内不同 VPC 之间默认完全隔离，连私网 IP 都不通；要互通必须显式配置对等连接、云企业网或经公网。安全组只控制实例级流量，不负责 VPC 之间的连通性。
老账号里可能残留自动创建的默认 VPC 与默认交换机，实例若落在默认 VPC 里，看似能跑但网络规划是空的；做正式项目时先确认资源所在 VPC，再决定是否迁移。
动手前的核对顺序
- 把公司 IDC、办公网、其他云账号的网段列成一张表，先排除重叠再选网段
- 确定 VPC 数量：按环境或业务域拆分，拆得太细会让互联配置成倍增长
- 预留扩展空间：生产 VPC 至少给到 /16，并按可用区预留连续子网
- 确定出口策略：公网入口集中在负载均衡，出网统一走 NAT，避免实例直接绑公网地址
- 确定互联方式：专线、VPN、对等连接或云企业网，提前确认带宽与路由条目数量上限
与其他网络概念的关系
- 安全组是实例网卡级的过滤器，VPC 是网络边界，两者配合才构成完整隔离：VPC 决定谁能到得了，安全组决定哪些端口能通
- 子网是 VPC 在某个可用区里的地址切片，没有子网的 VPC 放不下任何资源
- 路由表决定流量出门后的下一跳，NAT 网关、对等连接、VPN 都是通过路由表接入流量的
- 对等连接与云企业网解决 VPC 之间的私网互通，公网访问则要经过 EIP 或 NAT 网关
- 默认 VPC 与自定义 VPC 能力相同，区别只在创建方式，老账号的资源常落在默认 VPC 里