阿里云内网ip也叫私网IP，是ECS、RDS、负载均衡这类资源在专有网络VPC里互相通信用的地址。它只在云内部可达，公网访问不到。同一地域、同一VPC里的服务互调，用内网ip通常最省事。
私网地址段一般来自RFC1918，常见的是10.0.0.0/8、172.16.0.0/12和192.168.0.0/16。建VPC时从中选一段作为自己的网段，再切分到不同的交换机（vSwitch）上。网段定下来后改动成本不小，建议一开始就留出余量。
内网ip和公网ip的差别
不少团队刚上云时，还是习惯用公网ip连数据库或缓存。这样做有两个麻烦：数据库端口暴露在公网上，风险大；公网流量要计费，延迟也比内网高。改成内网ip后，流量留在云内部，安全边界清楚，账单上也能看到变化。
还有一点容易忽略：内网ip跟实例绑定。实例释放后，私网ip会被回收，新建的实例未必拿到原来的地址。如果配置文件里把ip写死，迁移或扩容时很可能出问题，更稳妥的做法是用域名，或者交给服务发现处理。
一个电商站点的改造过程
某中小电商团队最早把Web服务放在ECS上，数据库用RDS，连接走的是公网地址。上线后遇到两件事：大促期间公网带宽费用涨得明显，页面里大量查询的响应时间也忽快忽慢。
他们的改造大致分五步：
- 确认ECS和RDS在同一地域、同一VPC下，交换机之间能互通。
- 在RDS白名单里加入ECS所在网段，把不需要的公网访问关掉。
- 应用配置里的数据库地址换成RDS提供的内网连接地址。
- 安全组只放行Web服务器的内网ip访问3306端口。
- 改造前后各压测一轮，对比响应时间和连接稳定性。
切到内网后，数据库访问不再绕公网，页面查询的平均响应时间有了明显下降，公网流量费用也随之减少。对这个团队来说，内网ip的价值不只是省钱，还让服务之间的通信变得可控：谁能连数据库、从哪里连，都能在安全组里说清楚。
配置内网互通要注意的几件事
检查网段规划
同一VPC内的交换机默认互通。跨VPC、跨地域，或者要和本地机房打通，就得额外配置，常见的有对等连接、云企业网CEN和VPN网关。规划网段时要避开本地网络已在使用的地址段，一旦重叠，后面打通会很费劲。
用安全组收紧访问范围
内网不等于没有风险。安全组只开放业务必需的端口，来源尽量写具体的内网ip段，别图省事直接放开全部地址。
用元数据服务获取自身ip
ECS可以通过元数据服务地址100.100.100.200读取自己的私网ip等信息。部署脚本里这样取值，比手动记录靠谱，弹性伸缩时也不用人工改配置。
出站访问交给NAT网关
内网实例默认没有公网出口。如果服务要调用外部接口或下载依赖，可以给VPC配一个NAT网关，让内网实例通过共享的公网ip出访，入站流量仍然不暴露。
连接失败怎么排查
连不上时，可以按下面的顺序检查：
- 源服务和目标服务是否在同一VPC，或者网络已经正确打通。
- 安全组和白名单有没有放行源ip和对应端口。
- 应用里填的是内网连接地址，而不是公网地址，也不是以前那个旧ip。
- 服务端有没有监听在正确的网卡上。如果只绑定了127.0.0.1，其他机器自然连不进来。
大多数超时问题都出在这几处。查完仍不通，就结合网络诊断工具和日志一起看。连接卡在建连阶段，和建连后很快断开，两种情况的排查方向不一样。
小结
内网ip是云上服务互联的基础。网段规划清楚，安全组收紧，数据库和缓存改走内网地址，安全、成本和性能通常都能兼顾。正在上云或准备优化架构的团队，可以先从内网互通入手，改动范围小，见效也快。
