AWS VPC架构师指南：从零设计企业级云网络隔离方案

news2025/5/11 2:12:23

一、VPC核心概念解析

1.1 核心组件

VPC：逻辑隔离的虚拟网络，可自定义IPv4/IPv6地址范围（CIDR块）
子网（Subnet）：
- 公有子网：绑定Internet Gateway（IGW），允许直接访问互联网
- 私有子网：通过NAT网关间接访问外网，禁止入站公网流量
- 隔离子网：仅内部通信（如数据库层）
路由表（Route Table）：控制子网流量走向，默认路由表需谨慎修改
安全组（Security Group） & 网络ACL：
- 安全组：实例级别状态化防火墙（支持允许规则）
- 网络ACL：子网级别无状态过滤（支持允许/拒绝规则）

二、Terraform实战配置

3.1 初始化VPC

resource "aws_vpc" "main" {
cidr_block = "10.0.0.0/16"
enable_dns_support = true
enable_dns_hostnames = true
tags = { Name = "prod-vpc" }
}

3.2 创建子网

# 公有子网
resource "aws_subnet" "public" {
vpc_id = aws_vpc.main.id
cidr_block = "10.0.1.0/24"
availability_zone = "us-east-1a"
map_public_ip_on_launch = true # 自动分配公网IP
}

# 私有子网
resource "aws_subnet" "private" {
vpc_id = aws_vpc.main.id
cidr_block = "10.0.2.0/24"
availability_zone = "us-east-1b"
}

3.3 配置NAT网关

# 弹性IP
resource "aws_eip" "nat" {
vpc = true
}

# NAT网关部署在公有子网
resource "aws_nat_gateway" "gw" {
allocation_id = aws_eip.nat.id
subnet_id = aws_subnet.public.id
}

# 私有子网路由指向NAT
resource "aws_route_table" "private" {
vpc_id = aws_vpc.main.id
route {
cidr_block = "0.0.0.0/0"
nat_gateway_id = aws_nat_gateway.gw.id
}
}

三、安全最佳实践

最小权限原则：
- 安全组仅开放必要端口（如Web层开放80/443）
- 数据库安全组仅允许App层IP+端口
网络分层隔离：

# 数据库子网组，禁止任何互联网路由
resource "aws_route_table" "db" {
vpc_id = aws_vpc.main.id
# 无默认路由
}

3. 启用流日志（Flow Logs）：

resource "aws_cloudwatch_log_group" "vpc_flow" {
name = "vpc-flow-logs"
}

resource "aws_flow_log" "main" {
iam_role_arn = aws_iam_role.vpc_flow.arn
log_destination = aws_cloudwatch_log_group.vpc_flow.arn
traffic_type = "ALL"
vpc_id = aws_vpc.main.id
}