很多团队第一次上云时，会把服务器直接放在公网上，只靠安全组做基础防护。业务变大以后，问题接连出现：内网网段撞车，数据库挂着公网地址，跨地域访问绕行公网，又慢又贵。阿里云专有网络（VPC）就是为这些问题设计的。它在云上切出一块逻辑隔离的私有网络，网段、路由和访问规则都由你来定。
什么是阿里云专有网络
专有网络建在阿里云基础设施之上。同一账号下，两个专有网络默认互不通，要连通就必须显式配置。ECS、RDS、Redis 等产品都可以放进去，对外服务和内部数据因此能分开放置。
主要组件
- 专有网络与网段：定义整体的私网地址范围。主网段创建后不能修改，地址不够用时可以添加辅助网段。
- 交换机：网段的细分单位，一台交换机只属于一个可用区。要跨可用区部署，每个可用区各建一个。
- 路由表：决定流量往哪里走，比如指向 NAT 网关或 VPN 网关。
- 安全组：实例级的访问控制，带状态检测。放行入方向的连接后，返回流量自动放行。
- 网络 ACL：交换机级的访问控制，适合在子网之间做粗粒度隔离。
- NAT 网关与弹性公网 IP：让内网实例按需访问互联网，同时不必把实例直接暴露出去。
网段规划：最容易踩坑的一步
网段一旦和对端撞上，后面的互联基本要返工。规划时可以照着下面三条做：
- 优先使用 RFC 1918 私有地址段，比如 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。
- 给未来两到三年的增长留出空间，各个 VPC 之间的网段不要重叠。
- 动手前，把本地机房和其他云环境的网段对一遍，记进统一的 IP 地址表。表里写清用途、所属 VPC 和负责人。半年后换人接手时，这张表能省很多排查时间。
案例：某电商公司的网络改造
下面是一个示意案例，数字都是假设的，只用来说明做法。
背景
这家公司的业务跑在一个扁平网络里，前端、后端和数据库混在一起。数据库早年配过公网地址，安全审计时被标为高风险项。大促当天，前端流量一涨，数据库连接数很快被打满。
方案
团队新建一个专有网络，主网段定为 10.10.0.0/16，并划分三类交换机：
- 公网接入区：部署负载均衡和 WAF，绑定弹性公网 IP。
- 应用区：部署订单、商品等服务，出站访问通过 NAT 网关完成。
- 数据区：部署 RDS 和 Redis，不分配公网地址。安全组只允许应用区网段访问数据库端口。
结果
数据库不再暴露在公网，安全审计项全部关闭。大促时，应用层靠扩容 ECS 承接流量，前端压力不再直接传到数据库。上线之后，没有再出现因网络暴露引发的安全事件。
安全组和网络 ACL 怎么配合
安全组是第一道防线，按最小权限来配：只开放业务需要的端口，来源尽量写到具体网段，别长期保留 0.0.0.0/0 的入站规则。网络 ACL 负责子网级的兜底，比如禁止数据区直接访问公网。两层叠加使用，哪一层配错了，另一层还能拦住。
多 VPC 互联与混合云
业务拆分后，常见做法是生产、测试、数据分析各用一个 VPC。两个 VPC 之间可以用对等连接打通，但有两点要注意：对等连接不具备传递性，A 连 B、B 连 C，并不代表 A 能访问 C；两端网段也不能重叠。
配置对等连接时，按下面的顺序检查：
- 在两个 VPC 之间创建对等连接，并在双方都完成确认。
- 在双方各自的路由表里添加对端网段的路由，下一跳指向对等连接。只配一端，流量会单向不通，排查时很容易误判。
- 检查安全组的入方向规则，放行对端网段。
需要统一管理多个 VPC 和跨地域路由时，云企业网（CEN）更合适，它能把这些网络放在一处统一管理。与本地 IDC 互通时，可以先用 VPN 网关建立加密隧道做快速验证。业务稳定后，再考虑专线接入，以获得更稳定的带宽和延迟。
容易踩的坑
- 所有实例都放在同一个交换机里。之后要做隔离，只能重建网络。
- 网段随手选，和本地机房撞车。互联时路由冲突，往往要改业务配置才能解开。
- 以为 VPC 天然安全，忽略安全组和 RAM 权限的配置。
- 调试时给数据库挂上公网地址，之后忘了关。建议调试一结束就回收，并设一个待办提醒。
