VPC基础 #

VPC核心特点：
├── 网络隔离
│   └── 逻辑隔离的虚拟网络
│
├── 完全控制
│   ├── IP地址范围
│   ├── 子网划分
│   ├── 路由配置
│   └── 网关设置
│
├── 安全控制
│   ├── 安全组
│   └── 网络ACL
│
├── 连接选项
│   ├── Internet网关
│   ├── NAT网关
│   ├── VPN
│   └── Direct Connect
│
└── 灵活配置
    ├── 公有子网
    └── 私有子网

VPC组件：
├── VPC
│   └── 虚拟网络容器
│
├── 子网（Subnet）
│   └── VPC内的子网络
│
├── 路由表（Route Table）
│   └── 控制流量路由
│
├── Internet网关（IGW）
│   └── 连接互联网
│
├── NAT网关/实例
│   └── 私有子网访问互联网
│
├── 安全组（Security Group）
│   └── 实例级防火墙
│
└── 网络ACL（NACL）
    └── 子网级防火墙

CIDR规划建议：
├── VPC CIDR范围
│   ├── 最小：/28（16个IP）
│   └── 最大：/16（65536个IP）
│
├── 常用CIDR
│   ├── 10.0.0.0/16（65536个IP）
│   ├── 172.16.0.0/16（65536个IP）
│   └── 192.168.0.0/16（65536个IP）
│
└── 预留空间
    └── 为未来扩展预留

aws ec2 create-vpc \
    --cidr-block 10.0.0.0/16 \
    --tag-specifications "ResourceType=vpc,Tags=[{Key=Name,Value=MyVPC}]"

aws ec2 create-subnet \
    --vpc-id vpc-12345678 \
    --cidr-block 10.0.1.0/24 \
    --availability-zone us-east-1a \
    --tag-specifications "ResourceType=subnet,Tags=[{Key=Name,Value=Public-Subnet-1}]"

公有子网配置步骤：
├── 1. 创建Internet网关
├── 2. 附加IGW到VPC
├── 3. 创建路由表
├── 4. 添加默认路由到IGW
└── 5. 关联路由表到子网

aws ec2 create-internet-gateway \
    --tag-specifications "ResourceType=internet-gateway,Tags=[{Key=Name,Value=MyIGW}]"

aws ec2 attach-internet-gateway \
    --vpc-id vpc-12345678 \
    --internet-gateway-id igw-12345678

aws ec2 create-route-table \
    --vpc-id vpc-12345678 \
    --tag-specifications "ResourceType=route-table,Tags=[{Key=Name,Value=Public-RT}]"

aws ec2 create-route \
    --route-table-id rtb-12345678 \
    --destination-cidr-block 0.0.0.0/0 \
    --gateway-id igw-12345678

aws ec2 associate-route-table \
    --subnet-id subnet-12345678 \
    --route-table-id rtb-12345678

子网类型：
├── 公有子网
│   ├── 有到IGW的路由
│   ├── 可直接访问互联网
│   └── 适合：Web服务器、负载均衡器
│
└── 私有子网
    ├── 无到IGW的路由
    ├── 不能直接访问互联网
    └── 适合：数据库、应用服务器

子网规划示例（10.0.0.0/16）：
├── 公有子网
│   ├── 10.0.0.0/24（AZ-a）
│   ├── 10.0.1.0/24（AZ-b）
│   └── 10.0.2.0/24（AZ-c）
│
├── 私有子网（应用）
│   ├── 10.0.10.0/24（AZ-a）
│   ├── 10.0.11.0/24（AZ-b）
│   └── 10.0.12.0/24（AZ-c）
│
└── 私有子网（数据库）
    ├── 10.0.20.0/24（AZ-a）
    ├── 10.0.21.0/24（AZ-b）
    └── 10.0.22.0/24（AZ-c）

子网注意：
├── AWS保留IP
│   ├── .0 - 网络地址
│   ├── .1 - VPC路由器
│   ├── .2 - DNS服务器
│   ├── .3 - 预留
│   └── .255 - 广播地址
│
├── 可用IP数量
│   └── /24子网有251个可用IP
│
└── 跨可用区部署
    └── 提高高可用性

路由表组成：
├── 路由条目
│   ├── 目标（Destination）
│   └── 目标（Target）
│
├── 本地路由
│   └── 自动添加
│   └── 目标：VPC CIDR → local
│
└── 自定义路由
    └── 用户添加的路由

公有子网路由表示例：
┌──────────────────┬────────────────────┐
│ 目标             │ 目标               │
├──────────────────┼────────────────────┤
│ 10.0.0.0/16      │ local              │
│ 0.0.0.0/0        │ igw-xxxxxx         │
└──────────────────┴────────────────────┘

私有子网路由表示例（使用NAT网关）：
┌──────────────────┬────────────────────┐
│ 目标             │ 目标               │
├──────────────────┼────────────────────┤
│ 10.0.0.0/16      │ local              │
│ 0.0.0.0/0        │ nat-xxxxxx         │
└──────────────────┴────────────────────┘

安全组特点：
├── 实例级防火墙
├── 状态检测
│   ├── 自动允许返回流量
│   └── 无需配置出站规则
│
├── 默认规则
│   ├── 入站：拒绝所有
│   └── 出站：允许所有
│
├── 规则配置
│   ├── 协议（TCP/UDP/ICMP）
│   ├── 端口范围
│   └── 源/目标
│
└── 多安全组
    └── 一个实例可关联多个安全组

aws ec2 create-security-group \
    --group-name MySecurityGroup \
    --description "My security group" \
    --vpc-id vpc-12345678

aws ec2 authorize-security-group-ingress \
    --group-id sg-12345678 \
    --protocol tcp \
    --port 22 \
    --cidr 0.0.0.0/0

aws ec2 authorize-security-group-ingress \
    --group-id sg-12345678 \
    --protocol tcp \
    --port 80 \
    --cidr 0.0.0.0/0

安全组引用：
├── 引用另一个安全组
│   └── 允许特定安全组的实例访问
│
├── 示例
│   └── Web安全组允许来自ALB安全组的流量
│
└── 好处
    └── 动态更新，无需修改IP

NACL特点：
├── 子网级防火墙
├── 无状态
│   └── 需要配置双向规则
│
├── 规则编号
│   ├── 按顺序评估
│   └── 最低编号优先
│
├── 默认规则
│   ├── 入站：允许所有
│   └── 出站：允许所有
│
└── 每个子网一个NACL

NACL规则示例：
┌────────┬────────┬──────────┬──────────┬───────────┬────────┐
│ 规则#  │ 类型   │ 协议     │ 端口     │ 源        │ 操作   │
├────────┼────────┼──────────┼──────────┼───────────┼────────┤
│ 100    │ HTTP   │ TCP      │ 80       │ 0.0.0.0/0 │ ALLOW │
│ 110    │ HTTPS  │ TCP      │ 443      │ 0.0.0.0/0 │ ALLOW │
│ 120    │ SSH    │ TCP      │ 22       │ 10.0.0.0/8│ ALLOW │
│ *      │ 所有   │ 所有     │ 所有     │ 0.0.0.0/0 │ DENY  │
└────────┴────────┴──────────┴──────────┴───────────┴────────┘

公有IP特点：
├── 自动分配（可配置）
├── 动态IP
│   └── 实例停止/启动后变化
│
├── 从AWS地址池分配
└── 免费

弹性IP特点：
├── 静态公有IP
├── 可关联到实例或ENI
├── 可重新映射
└── 收费
    ├── 关联时免费
    └── 未关联时收费

aws ec2 allocate-address --domain vpc

aws ec2 associate-address \
    --instance-id i-12345678 \
    --allocation-id eipalloc-12345678

标准三层架构：
┌─────────────────────────────────────────────────────────────┐
│                          VPC                                 │
│  ┌─────────────────────────────────────────────────────────┐│
│  │                    公有子网                              ││
│  │  ┌─────────┐  ┌─────────┐  ┌─────────┐                 ││
│  │  │   ALB   │  │  NAT GW │  │  IGW    │                 ││
│  │  └─────────┘  └─────────┘  └─────────┘                 ││
│  └─────────────────────────────────────────────────────────┘│
│  ┌─────────────────────────────────────────────────────────┐│
│  │                    私有子网（应用）                       ││
│  │  ┌─────────┐  ┌─────────┐  ┌─────────┐                 ││
│  │  │  EC2    │  │  EC2    │  │  EC2    │                 ││
│  │  └─────────┘  └─────────┘  └─────────┘                 ││
│  └─────────────────────────────────────────────────────────┘│
│  ┌─────────────────────────────────────────────────────────┐│
│  │                    私有子网（数据库）                     ││
│  │  ┌─────────┐  ┌─────────┐                              ││
│  │  │  RDS    │  │  RDS    │                              ││
│  │  └─────────┘  └─────────┘                              ││
│  └─────────────────────────────────────────────────────────┘│
└─────────────────────────────────────────────────────────────┘

规划建议：
├── 合理规划CIDR
│   └── 预留足够空间
│
├── 跨可用区部署
│   └── 至少2个可用区
│
├── 分离子网
│   ├── 公有子网
│   └── 私有子网
│
├── 安全组最小权限
│   └── 只开放必要端口
│
└── 文档化
    └── 记录网络架构

安全建议：
├── 使用私有子网部署敏感资源
├── 安全组最小权限原则
├── 使用NACL作为额外防护
├── 启用VPC Flow Logs
├── 定期审计安全组规则
└── 使用安全组引用