云网络基础：VPC、子网、路由表、NAT网关、VPN与专线

聊跨云数据布局，第一个绕不开的就是网络基础。很多朋友一上来就盯着存储和计算，结果数据搬过去才发现网络不通，或者带宽费用高得吓人。我个人的习惯是，先花半天把网络拓扑理清楚，后面能省下好几天的排查时间。

说白了，云网络就是你在云上搭的一套虚拟局域网。你得知道怎么划分子网、怎么控制流量、怎么连到你的办公室或其它云。这一章我们就把这些基础组件过一遍，重点放在它们跟成本的关系上。

2.1 VPC：你的云上专属网络

VPC（Virtual Private Cloud）就是你在云上的一块私有网络空间。你可以把它理解成云上的一个独立机房，里面所有的资源都在这个逻辑隔离的网络里跑。

每个VPC都有一个CIDR地址段，比如 10.0.0.0/16。这个段决定了你能用多少IP。我见过不少团队一开始图省事，直接用了 /16，结果后面要跟其他VPC或本地网络做互通时，发现地址重叠了，那叫一个头疼。

2.2 子网：把VPC切小块

VPC划好了，你还得在里面切子网。子网是VPC下的二级网络单元，每个子网也必须绑定一个CIDR块，而且不能跟VPC内的其他子网重叠。

子网通常按用途来分：

• 公有子网：挂载了互联网网关，里面的资源可以直接访问外网。适合放负载均衡器、堡垒机。
• 私有子网：没有直连互联网网关，资源只能内部访问。适合放数据库、应用服务器。

你想想看，如果把数据库放在公有子网里，虽然也能加安全组限制，但暴露面大了很多，而且公网流量费用也高。我建议数据库和缓存这类服务，一律放私有子网。

2.3 路由表：流量往哪走

子网建好了，流量怎么走？靠路由表。每个子网都必须关联一张路由表，里面定义了目标网段和下一跳。

举个例子，你的私有子网要访问外网，路由表里就得有一条：

目标：0.0.0.0/0
下一跳：NAT网关的ID

如果是跨VPC通信，下一跳就是对等连接或中转网关。我记得有一次排查一个跨云延迟问题，查了半天发现是路由表里少了一条指向专线的路由，导致流量走了公网，延迟直接翻倍。

2.4 NAT网关：私有子网的“外挂”

私有子网里的机器没有公网IP，怎么访问外网？靠NAT网关。它部署在公有子网里，帮私有子网的机器做源地址转换。

NAT网关是按使用量收费的，包括两部分：

• 小时费：不管用不用，只要创建了就计费。
• 流量费：处理的数据量，每GB多少钱。

这里有个坑：NAT网关的流量费通常比普通ECS的公网带宽贵。我建议，如果私有子网里的机器只是偶尔更新一下软件包，可以搭一个自建的NAT实例（比如用一台小规格ECS做转发），成本能降不少。当然，自建的要考虑高可用，不然挂了就全连不上了。

2.5 VPN与专线：连接你的地盘

跨云数据布局，免不了要把不同云的网络连起来，或者连回公司。这时候就要用到VPN或专线。

2.5.1 VPN：便宜但看天吃饭

VPN基于互联网建立加密隧道。优点是便宜，配置也简单。缺点嘛，延迟和稳定性受公网影响。我做过一个测试，某云到另一云的VPN，高峰期丢包率能到3%，对数据库同步来说基本不可用。

VPN适合的场景：

• 开发测试环境的数据同步
• 对延迟不敏感的管理流量
• 作为专线的备份链路

2.5.2 专线：稳定但贵

专线是通过运营商的物理光纤，直接连到云机房。延迟低、带宽稳定、不经过公网。但价格也摆在那，起步就是几千块一个月，还得签合同。

专线适合的场景：

• 核心业务数据库的主备同步
• 实时性要求高的跨云调用
• 大容量数据迁移

2.6 本章知识体系总览

下面这张图把本章的核心组件和它们的关系串起来了。你可以看到流量从私有子网到外网、从VPC到本地数据中心是怎么走的。

嗯，这张图基本把VPC、子网、路由表、NAT网关、VPN和专线的关系讲清楚了。你注意看，私有子网里的应用和数据库，通过路由表指向NAT网关才能访问外网；而跟外部网络的连接，则通过VPN或专线实现。

这一章的内容是后面所有跨云方案的基础。你把这些组件吃透了，后面聊数据同步、成本优化的时候，才能知道钱到底花在了哪里。