云联信息：VPC 网络规划没做好，后面处处受限

2026-11-05 1次浏览

上云第一步是建 VPC，很多人随手填一个网段就开工。等到要连本地机房、要跨账号互通、要和合作伙伴对接时，才发现网段冲突，改一次要迁移全部资源。

网段要预留空间

常用私有网段里挑一段，别用最常见的默认值。和本地机房、其他云、合作伙伴的网段统一规划，避免后期冲突。

生产、测试、开发各用独立子网，安全组和路由分开管理。混在一个子网里，一条规则改错影响所有环境。

公网接入层、应用层、数据层分开子网。数据层不配公网地址，只允许应用层访问，这是最基本的安全边界。

每张路由表写清用途，命名规范。几十条路由堆在一起没人维护，出问题时排查方向都没有。

出网走 NAT，入网用负载均衡加弹性IP。给每台机器都配公网IP，暴露面太大，也浪费地址。

核心服务至少两个可用区，一个区故障时另一个能顶上。子网也要按可用区建，别只在一个区里堆资源。

多个 VPC 互通，网状连接很快会失控。用中心枢纽模式，所有 VPC 连到统一的网络枢纽，路由清晰。

安全组管实例级，网络ACL管子网级。两层都配，别只靠一层，尤其是对外服务的子网。

网段、子网、用途、负责人，一张表维护下来。人员变动时，文档就是唯一可靠的信息来源。

从每个子网分别测试到公网、到其他子网、到本地机房的连通性。测完再放业务，比事后补洞省事。

并购、多团队各自建 VPC、早期随手填的网段，是冲突的三个主要来源。规划前先把现有网段全部列出来，包括本地机房和合作伙伴的，画在一张图上，冲突点一目了然。

有人习惯按部门切十几个小网段，结果每个都不够用。按环境和层级划分，留出足够余量，比按组织架构切更耐用，组织调整时也不用重建网络。

叫 web、app、db 比叫 sg-01、sg-02 清楚得多。命名规范看着是小事，出故障时能省下大量辨认时间，新同事也能快速上手。

网络是云上最不该返工的部分，规划一次做对，后面几年都省心。云联信息【资深云服务专家微信：cloud7591】的建议是先画一张地址规划表，把网段、子网、路由、安全边界都写清楚，再动手创建资源。

如果现有网络已经乱到没法梳理，也不必推翻重建，先把新增业务放进规划好的新 VPC，老环境逐步迁移，比一次性改造风险小得多。