2. VPC基础与混合云网络架构
在混合云网络互联工程中，VPC（Virtual Private Cloud，虚拟私有云）是最基础的网络容器。它把云上的一段逻辑网络隔离出来，让用户像管理传统数据中心的一个独立网段一样，自主规划地址、划分子网、控制路由和出入口。理解 VPC 的四个核心构件——VPC 本体、子网、路由表、网关——是后续做跨云互联、专线接入、VPN 打通的前提。
VPC 是什么：一个可自定义的隔离网络
VPC 本质上是一块由云平台分配、但由用户自定义地址范围的私有网络。创建 VPC 时最关键的一个参数是 CIDR（无类别域间路由）网段，例如 10.10.0.0/16。这个网段决定了整个 VPC 内可用的 IP 地址总量：/16 提供约 6.5 万个地址，/24 只有 256 个。在混合云场景中，VPC 网段规划必须与本地数据中心网段、其他云上 VPC 网段整体协调，避免地址重叠——一旦重叠，后续路由无法区分目标，互联就会失败。
VPC 的隔离性体现在：不同 VPC 默认互不可见、互不可达，即使它们属于同一账号。要实现互通，必须显式建立对等连接、云企业网或经由网关的通道。这种“默认隔离、显式打通”的设计，正是混合云安全边界的基础。
子网：把 VPC 切成可用区内的地址块
子网（Subnet）是 VPC 内的地址分段，通常与可用区（AZ）绑定。一个 VPC 可以划分多个子网，每个子网从 VPC 的 CIDR 中切出一段，例如在 10.10.0.0/16 下划分 10.10.1.0/24（可用区 A）和 10.10.2.0/24（可用区 B）。子网划分有两个实践要点：
- 按角色分层：常见做法是划分“公有子网”和“私有子网”。公有子网的路由指向互联网网关，承载需要公网访问的负载均衡或跳板机；私有子网不直接暴露公网，承载数据库、应用服务器等核心资源。
- 预留地址：云平台会占用子网内若干地址（如网络地址、网关地址、广播地址及平台保留地址），实际可用地址少于理论值，规划时需留出余量。
子网是可用区级别的资源，跨可用区的高可用部署意味着同一角色要在多个子网中分别部署实例。
路由表：决定流量往哪里走
路由表（Route Table）是 VPC 内流量的“导航规则”。每条路由由“目标网段 + 下一跳”组成。例如：
目标网段 下一跳
10.10.0.0/16 local（VPC 内部）
0.0.0.0/0 igw-xxxx（互联网网关）
192.168.0.0/16 vpn-xxxx（VPN 网关，指向本地数据中心）
172.16.0.0/16 pcx-xxxx（对等连接，指向另一 VPC）路由匹配遵循“最长前缀优先”原则：目标地址同时匹配 0.0.0.0/0 和 192.168.0.0/16 时，选择更具体的 /16。子网必须关联路由表才能通信，一个路由表可被多个子网共用。混合云互联的核心工作，往往就是在各 VPC 路由表中正确添加指向本地网段的路由条目，并在本地路由器上添加回程路由——单向路由只能通一半。
网关：VPC 的出入口
网关是 VPC 与外部世界交换流量的关口，常见类型包括：
- 互联网网关（IGW）：让公有子网访问公网，需配合实例的公网 IP 或 NAT 使用。
- NAT 网关：让私有子网主动访问公网（如下载补丁），但不接受外部主动连接。
- VPN 网关 / 专线网关：连接本地数据中心，是混合云的主通道。
- 对等连接 / 中转网关：连接不同 VPC，实现云上多 VPC 互通。
网关的选择直接决定了混合云的连接方式：临时、低成本可用 VPN；稳定、大带宽、低时延则用专线。
混合云典型拓扑
一个典型的混合云拓扑是：本地数据中心通过专线或 VPN 连接到云上 VPC 的虚拟网关，VPC 内划分公有子网与私有子网，公有子网经 IGW 对外提供服务，私有子网承载数据库并通过 NAT 网关出网，多个 VPC 之间通过对等连接或中转网关互通。下图展示了这一结构关系。
从这张拓扑可以看出混合云互联的完整链路：本地网段 192.168.0.0/16 经专线或 VPN 到达云上虚拟网关，虚拟网关把流量交给 VPC 路由表，路由表再根据目标地址把流量分发到公有子网或私有子网。要让这条链路真正可用，必须同时满足三个条件：两端网段不重叠、双向路由都配置正确、网关与安全策略放行对应流量。任何一环缺失，都会表现为“能 ping 通网关但访问不了实例”或“单向通、反向不通”等典型故障。
掌握 VPC、子网、路由表、网关这四个构件及其组合方式，就具备了阅读和设计混合云网络拓扑的基本能力。后续的专线接入、VPN 配置、跨 VPC 互通，都是在这套基础结构上叠加连接与路由规则。