VPC 是什么
VPC（Virtual Private Cloud，虚拟私有云）是云上逻辑隔离的私有网络：创建时先指定私网网段（如 10.10.0.0/16），再在其中划分多个子网，用路由表决定流量走向、用安全组与网络 ACL 控制访问。VPC 之间默认完全不通，公网访问必须另行开通 EIP、NAT 网关或公网负载均衡。阿里云称专有网络 VPC，腾讯云称私有网络 VPC，华为云称虚拟私有云 VPC，三者对象模型基本一致。
基本信息
| 别名 | 专有网络 VPC（阿里云）/ 私有网络 VPC（腾讯云）/ 虚拟私有云 VPC（华为云） |
|---|---|
| 定位 | 云上隔离的私有网络，承载云服务器、数据库、负载均衡等资源的内网通信 |
| 关键要素 | 网段 CIDR、子网（交换机）、路由表、安全组、网络 ACL |
| 默认互通 | 同一 VPC 内不同子网默认内网互通；不同 VPC 之间默认隔离 |
| 地域属性 | VPC 属于单个地域，跨地域互通需要对等连接或云企业网 |
| 可修改性 | 主网段创建后不能直接修改，只能新增附加网段 |
典型使用场景
- 承载一个业务系统的全部内网资源：Web 层、应用层、数据库分在不同子网按层管控
- 生产与测试用两个 VPC 隔离，避免误操作与配置串用
- 需要与本地机房打通时，作为专线或 IPsec VPN 的云上终点
- 多账号体系下每个账号各自建 VPC，再按需对等连接或接入云企业网
- 把数据库、缓存等不放公网的资源统一放在无公网出口的子网
典型三层网络结构
典型三层网络结构
VPC 10.10.0.0/16
├─ 子网 10.10.1.0/24（可用区 A） Web / 应用层
├─ 子网 10.10.2.0/24（可用区 B） 应用层 / 负载均衡
└─ 子网 10.10.3.0/24（可用区 C） 数据库 / 缓存
入口：公网 SLB / EIP；出网：NAT 网关；运维：跳板机子网组成对象与作用
| 对象 | 作用 | 常见误用 |
|---|---|---|
| 网段 CIDR | 定义 VPC 的地址空间 | 划得过小，扩容时无地址可用 |
| 子网/交换机 | 划分可用区与业务层，资源落在此层 | 用子网代替安全隔离，忽略默认互通 |
| 路由表 | 决定流量去公网、去对端还是留在 VPC 内 | 新建子网未关联自定义路由表，条目不生效 |
| 安全组 | 实例级有状态白名单 | 对 0.0.0.0/0 全放行 |
| 网络 ACL | 子网级无状态规则表 | 只放行入站，忘记放行回包 |
同 VPC 内的子网互通是系统路由保证的默认行为，想做到「层与层之间不能随便访问」，要靠安全组引用与网络 ACL 实现，而不是靠换一个子网。
把生产与测试放在同一 VPC 并不构成隔离：一次误配的安全组或路由就可能互相影响，重要环境建议独立 VPC。
相关概念与分工
- 子网（交换机）：VPC 内的地址切分单位，同时绑定可用区，决定资源落位
- 路由表：决定子网内流量去公网、去对端 VPC 还是留在本地
- 安全组与网络 ACL：VPC 内的两层访问控制，分别作用在实例与子网
- 对等连接与云企业网：解决 VPC 之间的私网互通，属于 VPC 之外的能力
- 专线或 IPsec VPN：把本地机房接入 VPC 的通道，属于混合云连接
排查 VPC 内网络的顺序
排查 VPC 内网络的顺序
1. 实例是否拿到私网 IP，子网与可用区是否正确
2. 同 VPC 内其他实例能否 ping / telnet 通
3. 路由表中是否有到目标网段的条目
4. 安全组与网络 ACL 是否放行该方向流量
5. 是否跨 VPC / 跨地域（需对等连接或云企业网）排查顺序建议从上到下逐层确认，不要一上手就改安全组：先确认地址与路由是否成立，再核对访问控制，能避免改错配置引入新问题。