4. 网络基础与互联：VPC设计、VPN连接、专线、云间互联方案
各位同学，咱们今天聊点实在的。
网络，说白了就是云上所有资源的“血管”。你应用层写得再漂亮，网络不通，一切白搭。我见过太多项目，前期图省事，VPC随便一划，结果后期业务一扩张，网段冲突、路由绕路，改起来比重新建一套还痛苦。
所以，这一章咱们把网络互联的底裤扒干净。从VPC设计，到VPN、专线，再到多云互联，我会把我在项目中踩过的坑、总结的经验，一股脑倒给你们。
4.1 VPC设计：你的云上“私有地盘”
VPC（Virtual Private Cloud），就是你在云上圈的一块逻辑隔离的网络空间。你可以把它想象成你在云上买了一块地，想怎么规划都行。
4.1.1 网段规划：别给自己挖坑
这是最基础，也是最容易出问题的地方。我个人习惯，规划网段时遵循三个原则：
- 地址不重叠：这是铁律。你想想看，如果两个VPC都用
10.0.0.0/16，将来要互联，路由表怎么写？直接冲突。 - 留足余量：别抠抠搜搜的。我建议生产环境至少用
/16的掩码。业务增长比你想象得快。 - 统一规划：公司内部最好有个IP地址分配标准。比如：
10.1.0.0/16给生产，10.2.0.0/16给测试，10.3.0.0/16给开发。
避坑指南：我曾经有个客户，开发和生产环境用了完全相同的网段。后来要做数据同步，发现路由根本配不了。最后只能重建一套VPC，迁移数据，折腾了整整一周。记住，网段规划是“一锤子买卖”，前期多花一小时，后期省一周。
4.1.2 子网划分：公有与私有
VPC里可以划分子网。通常我们会把子网分为两类：
- 公有子网：挂载了互联网网关，里面的资源可以直接访问外网。一般放负载均衡器、堡垒机。
- 私有子网：没有互联网网关，资源只能内部访问。数据库、应用服务器放这里，安全。
嗯，这里要注意：数据库千万别放公有子网。我见过有人图方便，把RDS直接暴露在公网上，结果被扫到，数据被拖库。这种低级错误，咱们不犯。
4.1.3 安全组与网络ACL
这是VPC的“门卫”。
- 安全组：状态化防火墙，工作在实例级别。你允许了入站流量，出站流量自动放行。
- 网络ACL：无状态防火墙，工作在子网级别。入站和出站规则要分别设置。
我建议：安全组做精细控制，网络ACL做粗粒度兜底。比如，网络ACL先拒绝所有入站流量，然后安全组再按需开放端口。这样即使安全组配错了，还有ACL挡着。
4.2 VPN连接：低成本互联方案
VPN（Virtual Private Network），说白了就是在公共网络上拉一条“加密隧道”。适合小规模、对延迟不敏感的场景。
4.2.1 站点到站点VPN
这是最常用的方式。你在云上配一个VPN网关，本地配一个VPN设备（比如路由器、防火墙），两边建立IPsec隧道。
配置要点：
- IKE版本：建议用IKEv2，比v1更安全、更稳定。
- 预共享密钥：别用
123456这种弱口令。我见过有人用password，结果被暴力破解，整个内网都暴露了。 - 路由传播：VPN建立后，记得在云上路由表里添加去往本地的路由，下一跳指向VPN网关。
小技巧：如果本地没有固定公网IP，可以用动态DNS。但说实话，稳定性会差一些。有条件还是上固定IP。
4.2.2 客户端VPN
适合远程办公。员工在笔记本上装个客户端，拨号到云上VPC。我个人习惯用OpenVPN，开源、灵活，而且客户端支持全平台。
4.3 专线：土豪的稳定之选
专线，就是拉一根物理光纤，从你的机房直通云数据中心。延迟低、带宽大、稳定性好。当然，价格也感人。
主流云厂商的专线服务：
| 云厂商 | 服务名称 | 特点 |
|---|---|---|
| AWS | Direct Connect | 支持私有VIF和公有VIF，可同时访问VPC和公共服务 |
| Azure | ExpressRoute | 支持BGP路由，可连接多个VNet |
| 阿里云 | 高速通道 | 支持物理专线和共享专线，成本灵活 |
4.3.1 专线设计要点
- 冗余：别只拉一根线。万一被挖断了呢？我建议至少两根，走不同物理路径。
- BGP：用BGP动态路由协议。这样一条线路断了，流量自动切换到另一条。
- 带宽：别买刚刚好的。留20%的余量，应对突发流量。
警告：专线施工周期长，一般要1-3个月。别等到业务上线前一天才去申请。提前规划，提前下单。
4.4 云间互联方案：多云架构的“高速公路”
现在很多企业都是多云架构。AWS上跑前端，阿里云上跑数据库，Azure上跑AI。那这些云之间的网络怎么打通？
4.4.1 云厂商原生方案
主流云厂商都提供了跨地域、跨账号的互联服务：
- AWS Transit Gateway：可以连接多个VPC、VPN、专线，相当于一个网络枢纽。
- Azure Virtual WAN：微软的全球网络解决方案，支持分支互联。
- 阿里云CEN：云企业网，可以打通多个地域的VPC。
这些方案的好处是：配置简单，性能有保障。坏处是：被厂商锁定。你用了AWS的Transit Gateway，想迁到Azure？那得重新配一遍。
4.4.2 第三方SD-WAN方案
如果你不想被锁定，可以考虑SD-WAN。比如思科、VMware的SD-WAN方案，或者一些开源方案。
SD-WAN的好处是：
- 厂商无关：可以同时连接AWS、Azure、阿里云。
- 智能选路：根据延迟、丢包率，自动选择最优路径。
- 集中管理：一个控制台管理所有分支和云。
我记得有个金融客户，用了SD-WAN连接三个云厂商。他们要求所有流量必须加密，而且延迟不能超过10ms。SD-WAN配合专线，完美满足需求。
4.4.3 多云互联的“黄金法则”
最后，分享几条我总结的经验：
- 统一路由策略：所有云的路由表，用一套标准来管理。别AWS用BGP，阿里云用静态路由，Azure用策略路由。你会疯掉的。
- 监控先行：网络通了不代表没问题。延迟、丢包、带宽利用率，都要有监控。我习惯用Prometheus + Grafana，自定义告警规则。
- 安全隔离：多云互联后，攻击面也扩大了。每个云之间加一层防火墙，或者用云原生的安全组做隔离。
- 成本控制：专线贵，VPN便宜。但VPN不稳定。我的建议是：核心业务走专线，非核心业务走VPN。混合使用，性价比最高。
总结一下：网络互联没有银弹。VPC设计要留余量，VPN适合小规模，专线是稳定之选，多云互联要统一规划。你想想看，网络搞定了，上层应用才能跑得稳。这一章的内容，够你应付大部分场景了。
下一章，咱们聊聊安全。嗯，那才是真正的“硬骨头”。