第一次在阿里云上创建专有网络（VPC）时，很多人会卡在网段这一步。填 10.0.0.0/8 还是 192.168.0.0/16？选错了，后面改起来很费事。这篇文章把阿里云网段的基本概念、规划思路和两个实际案例讲清楚。
先分清 VPC 网段和交换机网段
平时说“网段”，其实会指两层东西。一层是 VPC 的主网段，另一层是交换机（VSwitch）的子网段。交换机网段必须落在 VPC 网段里面，两者是包含关系。
阿里云 VPC 常用的私网网段有三段可选。10.0.0.0/8 空间最大，适合规模会持续增长的业务。172.16.0.0/12 大小居中，和本地机房撞段的概率相对低一些。192.168.0.0/16 上手快，适合小项目和测试环境，但家用路由器和办公网络大多用这一段，一旦要做 VPN 或专线，冲突来得很快。
有一点要记住：VPC 的主网段创建后不能改。后面可以追加辅助网段，但主网段定下来基本就定了。所以这一步宁可多花十分钟想清楚。
规划前先问自己四个问题
网段没有标准答案，但下面四个问题基本绕不开。
- 规模多大。看未来一两年会有多少台 ECS、容器节点和数据库实例。按现在的数量乘以两倍，通常就够用了。
- 要不要和外部打通。如果要连本地 IDC、其他云或者其他 VPC，先把对方的网段列出来，确保不重叠。这一步最容易被漏掉。
- 环境是否要隔离。开发、测试、生产放在不同 VPC，或者至少不同网段，做访问控制时会省很多事。
- 运维能不能一眼看懂。比如生产用 10.10.x.x，测试用 10.20.x.x，看到 IP 就知道属于哪个环境，排查问题快很多。
案例一：门店专线打不通
一家中型电商团队最开始只有一个测试 VPC，用的是 192.168.0.0/16。业务上线后，他们需要通过专线和门店的 POS 系统打通。门店那边恰好也在用 192.168.x.x，两边地址重叠，专线建好了，路由却怎么都不通。
后来他们这样改：生产环境新建 VPC，主网段用 10.10.0.0/16；测试环境用 10.20.0.0/16。门店侧的网段则通过 NAT 转换或者重新规划来解决。事后他们的体会很简单，只要有跨机房、跨组织的互通需求，选网段之前就得先把对方的网段列出来对一遍。
案例二：容器扩容后 IP 不够用
一家在线教育公司用阿里云容器服务 ACK 跑业务。最初 VPC 选了 172.16.0.0/16，交换机只切了几个 /24。节点网段和 Pod 网段抢地址，集群规模稍一上去，IP 就耗尽了。
调整后，VPC 主网段换成 10.0.0.0/8 里的一段，比如 10.0.0.0/16 给节点用；Pod 网段和 Service 网段另外单独规划，三者互不重叠。每个可用区各放一个交换机，交换机统一用 /20 或更大的段，给后续扩容留足空间。
几个常见坑
- 图省事全部用 192.168.0.0/24。短期没问题，等要接 VPN 或专线时，只能推倒重来。
- 交换机切得太小。扩容时发现地址不够，往往只能新建交换机迁移，代价比想象中大。
- 只算 ECS 的 IP 数量，忘了容器的 Pod 也要占地址。
- 不同地域的 VPC 用了完全相同的网段。单地域用没问题，将来做跨地域互联时会直接失败。
小结
网段规划做的，其实就是给未来的业务留位置。主网段尽量选大、选不冲突的；交换机按可用区和业务切分；对外互通的网段提前列清楚。这三件事做到位，后面大部分网络问题都能避开。
