图解虚拟私有云 VPC

• 虚拟私有云简介
• 核心组成
• 服务能力
• • 私有网络
  • 安全访问控制
  • 外部网络访问
  • 审计和监控
• 计费模式
• • 免费使用
  • 付费使用
• 约束和限制
• 参考链接

虚拟私有云简介

虚拟私有云（Virtual Private Cloud,VPC）为公有云用户提供了一个安全、隔离的私有网络环境，用户可以在VPC中按需部署云服务器、云数据库、云存储等云资源。VPC提供丰富的网络服务功能，例如子网、安全组、网络ACL、路由表、DNS，同时提供外部网络访问能力，例如基于VPC对等连接实现VPC互访、基于公网IP实现访问公网、基于IPSec VPN、专线网关实现VPC和本地互访。

图片来源：华为云帮助中心，https://support.huaweicloud.com/productdesc-vpc/

核心组成

虚拟私有云VPC由一个私有网络、路由表、和至少一个子网组成；

• 私有网络：用户在网络控制台创建虚拟私有云VPC时，需要指定虚拟私有云VPC使用的私有网段，各大云服务商均支持IANA组织划分的标准私有网段（部分云服务商可能会占用私有网段的部分IP地址段，用户无法配置使用已占用子网段），私有网络IP段设置后无法修改，建议用户在使用前做好IP地址规划。

  私有IP地址的范围分别是，10.0.0.0/8、172.16.0.0/12、192.168.0.0/16：

  A类地址范围：10.0.0.0—10.255.255.255；

  B类地址范围：172.16.0.0—172.31.255.555；

  C类地址范围：192.168.0.0—192.168.255.255。

• 路由表：顾名思义，路由表是用来控制虚拟私有云的网络流量策略，用户在创建虚拟私有云VPC时，系统会自动生成默认路由表，实现同一个VPC下的所有子网互通。如果用户需要自定义路由策略以满足复杂的网络访问策略，支持用户可以创建自定义路由表并添加路由策略。

• 子网：子网是虚拟私有云VPC里的IP地址块，同一个VPC内子网网段不可重复，用户可以通过子网划分进行合理规划IP地址资源，VPC里的所有云资源（云服务器、云数据库）必须部署在子网内。

服务能力

经过梳理和对比主流公有云服务商（AWS、阿里云、华为云），VPC承担云上业务的基础运行环境，提供了丰富的服务能力，满足用户多场景需求，主要服务能力可分为私有网络、安全访问控制、外部网络访问、审计和监控四大类。

私有网络

• VPC实例：为用户的云资源构建隔离、自主配置和管理的虚拟网络环境。用户可根据业务规划创建多个不同的VPC，修改VPC基本信息，，满足用户业务和维护管理需求。
• 私有网段：用户在创建VPC时需要指定该VPC的私有网段，如当前私有网段不满足业务需求时支持添加拓展私有网段。
• 子网：子网是VPC内的IP地址快，VPC内的所有云资源都必须部署在子网内，子网支持创建、修改和删除操作。
• 路由表：路由表定了了VPC的路由规则，路由规则用于将目标网段的流量路由至指定的目的地，支持添加、修改自定义路由规则。
• ipv4/ipv6双栈：支持云资源同时拥有ipv4和ipv6地址，满足ipv4和ipv6环境网络访问需求。
• 虚拟IP：虚拟IP（Virtual IP Address,VIP）是一个浮动的IP地址，不会固定在指定的弹性网卡上，VIP通过绑定多个云服务器弹性网卡，同时搭配高可用软件（例如，keepalived）的ARP协议来宣告VIP和弹性网卡的绑定关系，实现高可用HA的目的，提高业务可用性。
• 弹性网卡：弹性网卡（Elastic Network Interface,ENI）即虚拟网卡，弹性网卡拥有全局唯一的MAC地址，用于绑定云服务器提供网络服务能力，虚拟网卡支持自定义活和随机指定IP地址。
• 辅助弹性网卡：辅助弹性网卡（Submission Elastic Network Intenfaces,SubENI）是弹性网卡的衍生资源，由于公有云平台对云服务器可绑定的弹性网卡有数量限制，可以通过辅助弹性网卡来解决弹性网卡数量不足的问题，使得单个云服务器可以挂载更多网卡，实现更加灵活的网络方案配置。

安全访问控制

• 安全组：安全组是一种虚拟防火墙，云平台一般是基于iptables实现，安全组具备状态检测和数据包过滤能力，用于控制安全组内云资源的流量流出和流入，从而提升云资源的安全性，安全组规则支持三元组（协议、端口和对端地址）。

• 网络ACL：网络ACL（Network Access Control List）提供VPC中的网络访问控制功能，控制VPC子网的数据流入和流出。网络ACL默认拒绝所有流量，用户需要按需配置流入和流出规则，支持五元组（源地址、目的地址、源端口、目的端口、协议），网络ACL是无状态的，需要同时配置流入和流出规则。

  安全组和网络ACL功能对比

  对比项	安全组	网络ACL
  作用范围	对云资源实例生效	对VPC子网生效
  策略对比	支持允许	支持允许和拒绝
  规则生效	会评估所有安全组规则	不评估所有规则，按照规则优先级进行匹配处理
  报文状态	有状态，会话建立后默认放行相同会话数据包	无状态，返回数据流必须有明确规则允许

• IAM权限管理：用户可以利用公有云的统一身份认证管理服务（Identity and Access Management,简称IAM），对VPC进行精细化的权限管理，通过IAM权限管理，可以将VPC资源授权给其他用户管理，包括所有权限、只读权限、修改权限。

外部网络访问

• 连接其他VPC：支持用户访问其他VPC的云资源，用来满足不同VPC业务网络访问需求，主要有3种场景：
  1. VPC对等连接：支持通过VPC对等连接打通同账号、跨账号两个VPC之间的网络连接，实现2个VPC之间私网互通，构建互联网络。
  2. VPN网关：支持通过VPN网关打通跨资源池两个VPC之间的网络连接，实现2个VPC之间私网互通，构建互联网络。
  3. 云连接：支持通过云连接打通跨资源池两个VPC之间的网络连接，实现2个VPC之间私网互通，构建互联网络。
• 连接公网：支持用户云资源主动访问公网，获取公网资源、提供公网服务，可以通过弹性公网IP、NAT网关、弹性负载均衡等多种产品实现公网（互联网）访问。
  1. 弹性公网IP：有固定的IP地址，同时也是云资源访问公网的出口IP，支持共享带宽、共享流量包来降低用户成本。
  2. NAT网关：支持VPC内的多台云服务器共用NAT网关访问公网，支持配置SNAT和DNAT规则。
  3. 弹性负载均衡：基于端口提供四层和七层负载均衡能力，支持用户从公网通过弹性负载均衡访问云资源。
• 连接本地IDC：对于自建本地IDC的用户，出于存量系统、安全等因素考虑，并非所有的业务都部署在云上，因此需要搭建混合云环境，实现云上VPC和云下IDC互联；
  1. 专线连接：结合电信运营商的专线资源，使用物理专线将VPC和用户本地IDC连接起来，专线具备低时延、高安全、链路专用等优点，可以提供高质量的网络连接服务。
  2. VPN网关：基于Internet使用加密隧道将VPC和本地IDC连接起来，网络质量依赖Internet环境，网络质量和稳定性低于专线连接，但是具备低成本、配置简单、即开即用等优点，对于预算不充足、业务要求不高的用户来说，是一个性价比较高的选择。
  3. 云连接：将要互通的本地IDC关联的云专线加载到云连接实例中，实现跨区域的VPC、IDC互联，构建云上、云下的互通企业网。

审计和监控

云上私有网络的运维管理对用户来说至关重要，用户需要知道云上私有网络环境的稳定性和安全性，第一时间知道私有网络异常信息进行故障处理、回溯。

• VPC流日志：可以记录VPC网络中弹性网卡ENI（Elastic Network Interface）流入和流出的网络流量信息，帮助用户监控网络流量、排查网络故障、检查访问控制规则等。捕获的流日志信息包括账号id、源地址、源端口、目的地址、目的端口、协议号等等多个参数

• VPC流量镜像：VPC流量镜像提供流量采集功能，可以复制经过弹性网卡且符合筛选条件的网络流量，复制后的镜像流量转发给指定的目的实例，用于流量检查、网络威胁监控和问题排查等场景，镜像流量包括筛选条件、镜像源、镜像目的、镜像会话。

• 云监控：搭配公有云的云监控服务，用户可以通过云监控控制台方便的查看带宽、公网IP的流量情况，支持用户创建自定义的告警规则和通知策略，方便用户及时了解私有云的状况。

• 云审计：通过云审计，用户可以记录虚拟私有云相关的操作事件，便于日后的查询、审计和回溯。

计费模式

公有云提供弹性、按需付费的云服务，对用户来说使用云产品必须要关心产品的计费模式，是免费资源还是付费资源？

当前公有云厂商都提供免费的虚拟私有云服务，个别附加服务会进行相应的收费，具体可以参考云服务商的帮助中心，详细标注了计费模式。

免费使用

• 基础功能：私有网络、子网、路由表

• 其他功能：弹性网卡、安全组、网络ACL、HAVIP、DNS、DHCP

付费使用

• 弹性公网IP及带宽
• VPC流日志
• VPC流量镜像
• 对等连接（部分云服务商免费）
• NAT网关
• VPN网关

约束和限制

公有云服务商尽快提供了弹性、按需、可扩展的云服务资源，在实际使用中，云服务商因平台架构、资源可用量及管控需要，用户在使用云服务的过程中，会遇到这样或那样的约束和限制，主要有配额限制、性能限制、操作限制、资费生效限制，在用云阶段要重点关注。

参考链接

• AWS帮助中心：https://docs.aws.amazon.com/vpc/index.html
• 阿里云帮助中心：https://help.aliyun.com/product/27706.html
• 华为云帮助中心：https://support.huaweicloud.com/vpc/index.html