华为云VPC专有网络网站服务器网络架构规划完全指南

1. 引言：为什么网站服务器需要精心规划VPC网络

在云计算环境中，虚拟私有云是构建网站服务器网络架构的基石。华为云VPC为用户提供了一块逻辑隔离的、完全由用户自主定义和管理的虚拟网络空间。与传统物理网络相比，VPC赋予了前所未有的灵活性和控制力——可以自由选择IP地址范围、创建多个子网、自定义路由表和安全策略。然而，这种灵活性也意味着规划不当会带来严重问题：IP地址冲突导致网络中断、子网划分不合理造成性能瓶颈、安全策略疏漏引发数据泄露。一套经过深思熟虑的网络架构规划，是网站稳定运行和高性能服务的基础保障。本文将系统性地讲解如何为网站服务器规划华为云VPC专有网络架构，涵盖网段设计、子网划分、高可用部署、安全防护、混合云扩展等核心议题，并提供可直接落地的配置示例和代码片段。

需要先登录华为云控制台，点击：华为云控制台，还没有账号，点击：注册并关联，已有账号点击：登录后关联

2. VPC网段规划：打好架构的根基

2.1 网段选择的核心原则

VPC网段的选择是整个网络规划的第一步，也是最关键的一步，因为VPC创建完成后网段无法修改。规划VPC网段时需要遵循以下核心原则：

• 避免IP地址冲突：云上VPC必须被视为企业整体网络的延伸部分，而非孤岛。如果VPC网段与本地数据中心网络、办公室网络或其他VPC的网段重叠，当建立混合云连接时，路由器将收到去往同一网段的多条路由信息，导致路由混乱和数据包无法正常转发。
• 预留足够的IP地址：要为业务扩展预留充足的IP地址空间，防止业务增长给网络带来冲击。建议根据当前业务规模乘以2到3倍的系数来预估未来几年的IP需求。
• 规避软件默认网段：Docker默认使用172.17.0.0/16网段，Kubernetes也有一系列默认网段。如果VPC网段覆盖了这些范围，容器将无法正常访问VPC内其他IP地址，引发难以排查的网络路由异常。

2.2 推荐的网段范围

华为云建议使用RFC1918中定义的私有IPv4地址范围作为VPC网段：

• 10.0.0.0/8 ~ 24：掩码范围8~24，IP地址范围10.0.0.0 ~ 10.255.255.255
• 172.16.0.0/12 ~ 24：掩码范围12~24，IP地址范围172.16.0.0 ~ 172.31.255.255
• 192.168.0.0/16 ~ 24：掩码范围16~24，IP地址范围192.168.0.0 ~ 192.168.255.255

对于大多数网站业务，推荐使用10.0.0.0/8这个大网段，因为它提供的IP地址数量最多（约1677万个），能为未来的大规模扩展留足空间。如果企业已有本地网络使用了10.x.x.x网段，则应选择172.16.0.0/12或192.168.0.0/16等不冲突的网段。

2.3 网段规划实战示例

假设我们要为一个中等规模的电商网站规划VPC网络，推荐采用以下方案：

VPC网段：10.0.0.0/16（提供65536个IP地址）
可用区A子网：10.0.1.0/24（Web层，251个可用IP）
可用区A子网：10.0.2.0/24（应用层，251个可用IP）
可用区A子网：10.0.3.0/24（数据层，251个可用IP）
可用区B子网：10.0.4.0/24（Web层灾备，251个可用IP）
可用区B子网：10.0.5.0/24（应用层灾备，251个可用IP）
可用区B子网：10.0.6.0/24（数据层灾备，251个可用IP）

采用/16的VPC掩码既能提供充足的IP地址，又能通过/24的子网划分实现精细化的网络管理。每个/24子网可提供251个可用IP地址（除去网络地址、网关地址和广播地址），足以支撑绝大多数网站场景。

3. 子网划分：构建分层隔离的网络架构

3.1 子网的基本概念

子网是VPC内的IP地址块，可以将VPC的网段分成若干块。VPC中的所有云资源（如ECS、RDS等）都必须部署在子网内。同一个VPC中，不同子网的网段不能重叠。默认情况下，同一个VPC内不同子网的所有实例网络互通。子网可以绑定到特定的可用区，从而实现业务跨可用区部署，提升系统的容灾能力。

3.2 网站服务器的经典三层子网架构

对于网站服务器，最经典的子网划分策略是按照业务功能将VPC划分为三个层级的子网：

• Web层子网：部署Web服务器（如Nginx、Apache），通过配置弹性公网IP与Internet互通，直接响应用户的HTTP/HTTPS请求。
• 应用层子网：部署业务逻辑层应用（如Tomcat、Node.js、PHP-FPM），该层不被公网直接访问，仅接收来自Web层的请求。
• 数据层子网：部署数据库产品（如RDS for MySQL、GaussDB），只允许应用层的流量访问，确保核心数据的安全。

这种三层架构的优势在于：每一层都部署在独立的子网中，可以通过网络ACL在子网边界进行流量控制，实现纵深防御。即使Web层服务器被攻破，攻击者也无法直接访问数据层的数据库。

3.3 子网规划的最佳实践

在规划子网时，需要重点关注以下几个方面：

• 子网大小：子网创建成功后不支持修改网段，必须提前根据业务所需的IP地址数量合理规划。对于Web层，如果计划使用弹性伸缩组，建议子网容量至少是最大实例数的2倍。
• 可用区分布：为了实现高可用，每个层级的子网都应该在两个或以上的可用区中各创建一个。同一VPC的不同子网可以位于不同可用区，不影响通信。
• 预留扩展子网：在VPC中预留若干未使用的子网网段，为未来新增的服务（如缓存层、消息队列层）做准备。

4. 高可用网络架构设计

4.1 多可用区部署策略

高可用是网站架构的核心诉求之一。华为云VPC天然支持跨可用区部署——同一个VPC内的子网可以分布在不同的可用区中。将网站的各层服务器分散部署在多个可用区，即使某个可用区发生故障，其他可用区的服务器仍能继续提供服务。

具体实践中，应该在至少两个可用区中各创建一套完整的Web层、应用层和数据层子网，并将对应的ECS和RDS实例分别部署到这些子网中。对于数据库，建议使用华为云RDS的主备实例，主实例和备实例自动部署在不同的可用区。

4.2 虚拟IP与Keepalived实现主备切换

虚拟IP（VIP）是华为云VPC提供的一种高可用特性，主要用于弹性云服务器的主备切换。当主服务器发生故障无法对外提供服务时，虚拟IP会自动漂移到备服务器上，继续对外提供服务。

以下是在华为云上使用虚拟IP配合Keepalived搭建高可用Web集群的配置示例：

# 在两台ECS上安装Keepalived
yum install -y keepalived

# 主服务器Keepalived配置（/etc/keepalived/keepalived.conf）
vrrp_instance VI_1 {
    state MASTER
    interface eth0
    virtual_router_id 51
    priority 100
    advert_int 1
    authentication {
        auth_type PASS
        auth_pass 1234
    }
    virtual_ipaddress {
        10.0.1.100/24  # 虚拟IP地址，需在华为云VPC中预先申请
    }
}

# 备服务器Keepalived配置
vrrp_instance VI_1 {
    state BACKUP
    interface eth0
    virtual_router_id 51
    priority 90
    advert_int 1
    authentication {
        auth_type PASS
        auth_pass 1234
    }
    virtual_ipaddress {
        10.0.1.100/24
    }
}

配置完成后，虚拟IP 10.0.1.100将始终指向当前健康的主服务器，客户端只需访问这个虚拟IP即可。

4.3 弹性负载均衡ELB的部署

对于需要应对海量并发请求的网站，弹性负载均衡ELB是必不可少的组件。ELB可以将访问流量均衡分发到多个VPC内的后端服务器上，提高业务的稳定性和可用性。

华为云ELB支持独享型负载均衡，且支持多可用区部署——选择的每个可用区都会创建相应的负载均衡实例。这些可用区的负载均衡实例间采用双活或多活模式，客户端请求会被就近分配到同可用区的实例。

ELB部署的关键配置要点：

• 确保ECS实例与ELB实例属于同一个VPC
• 选择与后端服务器相同的可用区，可以减少网络时延并提高访问速度
• 配置健康检查，自动将不健康的ECS实例从后端服务器池中剔除
• 开启会话保持功能，确保用户的会话请求始终分配到同一台后端服务器

5. 公网接入方案设计

5.1 弹性公网IP的直接绑定

VPC中的云资源默认无法访问公网。当仅有少量弹性云服务器需要访问Internet或对外提供服务时，可以将弹性公网IP直接绑定到弹性云服务器上。

直接绑定EIP是最简单的公网接入方式，适用于开发测试环境或只有一台Web服务器的场景。但对于生产环境，这种方式存在单点故障风险——如果该ECS宕机，公网服务将完全中断。

5.2 NAT网关的SNAT和DNAT配置

NAT网关是生产环境中最常用的公网接入方案。NAT网关支持SNAT和DNAT两种功能：

• SNAT（源地址转换）：支持VPC中的多台云服务器通过同一个弹性IP主动访问外网。这可以节省弹性IP资源，同时隐藏VPC内云服务器的私有IP，防止对外暴露网络部署。
• DNAT（目的地址转换）：通过绑定弹性IP，将VPC内云服务器的私有IP和端口映射成外网IP和端口，使得云服务器上部署的服务可被外网访问。

以下是一个典型的NAT网关配置示例：

# 场景：VPC内有多台Web服务器（10.0.1.10、10.0.1.11、10.0.1.12），
# 需要共享一个EIP（121.xx.xx.xx）对外提供HTTPS服务

# 1. 创建公网NAT网关（通过华为云控制台或API）
# 2. 配置DNAT规则：将EIP的443端口映射到三台Web服务器的443端口
# 注意：DNAT规则通常需要为每台服务器分别配置，或使用ELB+DNAT的组合

# 3. 配置SNAT规则：让VPC内的服务器可以访问外网（如下载软件包）
# SNAT规则配置示例（通过华为云CLI）
hcloud nat CreateSnatRule \
    --nat_gateway_id \"nat-xxxx\" \
    --source_type 0 \
    --network_id \"subnet-xxxx\" \
    --floating_ip_id \"eip-xxxx\"

公网NAT网关的规格与绑定的EIP均可随时调整，配置简单，即开即用。NAT网关通过与EIP绑定，可以使多个云主机共享EIP访问公网或使云主机提供互联网服务。

5.3 公网接入方案选型建议

6. 网络安全防护体系

6.1 安全组：实例级别的防护

安全组是华为云VPC中最基础的访问控制手段，对实例进行防护。将实例加入安全组后，该实例将会受到安全组的保护。安全组是有状态的——允许入站请求的响应流量可以不受规则限制地出入实例。

安全组支持基于报文三元组（协议、端口、源/目的地址）的过滤。多个规则冲突时，取其并集生效。

以下是一个Web服务器安全组的典型配置示例：

# Web层安全组规则（入方向）
协议: TCP, 端口: 80, 源地址: 0.0.0.0/0, 说明: 允许所有IP访问HTTP
协议: TCP, 端口: 443, 源地址: 0.0.0.0/0, 说明: 允许所有IP访问HTTPS
协议: TCP, 端口: 22, 源地址: 管理网段（如10.0.0.0/8）, 说明: 仅允许内网管理SSH

# 应用层安全组规则（入方向）
协议: TCP, 端口: 8080, 源地址: Web层子网网段（10.0.1.0/24）, 说明: 仅允许Web层访问

# 数据层安全组规则（入方向）
协议: TCP, 端口: 3306, 源地址: 应用层子网网段（10.0.2.0/24）, 说明: 仅允许应用层访问数据库

安全组是必选的——每个实例必须至少加入到一个安全组中。

6.2 网络ACL：子网级别的批量防护

网络ACL是一个子网级别的可选安全防护层，可以对出入子网的流量进行防护。相比安全组针对实例防护，网络ACL的防护范围可覆盖整个子网，实现对子网内所有实例的批量防护。

网络ACL与安全组的主要区别：

• 防护范围：安全组防护实例，网络ACL防护整个子网
• 是否必选：安全组必选，网络ACL可选
• 配置策略：安全组不支持拒绝策略，网络ACL支持允许和拒绝策略
• 规则粒度：安全组支持三元组，网络ACL支持五元组（协议、源端口、目的端口、源地址、目的地址）
• 生效顺序：安全组多个规则取并集；网络ACL根据优先级数字从小到大生效，数字越小越优先

当安全组和网络ACL同时存在时，流量优先匹配网络ACL的规则，然后匹配安全组规则。这种双层防护机制可以显著提升安全性。

以下是一个三层网站架构的网络ACL配置示例：

# Web层子网关联的网络ACL（入方向）
允许: 全部协议, 源地址: 0.0.0.0/0, 目的地址: Web层子网

# 应用层子网关联的网络ACL（入方向）
允许: 全部协议, 源地址: Web层子网网段, 目的地址: 应用层子网
# 出方向
允许: 全部协议, 源地址: 应用层子网, 目的地址: Web层子网网段（响应Web层请求）
允许: 全部协议, 源地址: 应用层子网, 目的地址: 数据层子网网段（访问数据库）

# 数据层子网关联的网络ACL（入方向）
允许: 全部协议, 源地址: 应用层子网网段, 目的地址: 数据层子网

6.3 IP地址组简化规则管理

IP地址组是一个或多个IP地址的集合，可以在配置安全组规则时使用。如果变更了IP地址组内的IP地址，相当于直接变更了这些IP地址对应的安全组规则，免去了逐条修改安全组规则的工作量。对于需要频繁变动IP地址的场景（如办公网络IP变更），使用IP地址组可以大幅提升管理效率。

7. 混合云与多VPC互联

7.1 VPC对等连接

不同的VPC之间默认网络隔离，无法直接通信。对等连接是建立在两个VPC之间的网络连接，用于连通同一个区域内的VPC，可以实现不同VPC之间的云上内网通信。对等连接可以连通相同账号或者不同账号下的VPC网络。

对等连接的特点：

• 成本低，当前VPC对等连接不收取任何费用
• 需要手动配置路由
• 仅支持同一区域内的VPC互通

配置对等连接后，需要在路由表中添加路由规则，并在安全组和网络ACL中放通对端VPC的网段，否则对等连接无法生效。

7.2 VPN与云专线

对于拥有本地数据中心的用户，可以通过VPN或云专线连通云上VPC与云下IDC之间的网络，构建混合云网络。

• VPN（虚拟专用网络）：基于公网，通过加密通道连通VPC和云下数据中心。优点是成本低、配置简单、即开即用；缺点是网络质量依赖公网。
• 云专线（Direct Connect）：基于物理专线，提供高安全的专属网络通道，具有低时延、高速率的特性。

云专线单线路最大支持10Gbps带宽连接，可满足各类用户的带宽需求。对于对网络质量要求高的生产环境，云专线是更优的选择。

7.3 企业路由器与云连接

当需要连通多个VPC或跨区域的网络时，企业路由器ER和云连接是更强大的工具。

• 企业路由器ER：可以接入同一个区域内的多个VPC，并结合云专线的全球接入网关或VPN的能力，快速实现多个VPC和云下数据中心的网络互通。配置简单，支持路由学习，无需手工配置路由。
• 云连接：可以将不同区域的VPC连接起来，实现跨区域网络互通。搭配中心网络，可以构建覆盖多个区域的复杂网络拓扑。

8. 网络监控与运维最佳实践

8.1 网络流量监控

华为云提供了VPC流日志功能，可以记录VPC内弹性网卡的出入流量信息。通过分析流日志，可以：

• 排查网络连通性问题
• 识别异常流量和潜在的安全威胁
• 分析业务流量趋势，为容量规划提供依据

建议为所有生产环境的子网开启流日志，并将日志投递到云日志服务LTS进行集中存储和分析。

8.2 网络告警配置

结合云监控服务CES，可以为网络相关的关键指标配置告警策略：

• NAT网关的连接数超过阈值
• ELB的后端服务器健康检查失败
• EIP的出方向或入方向带宽超过设定值
• VPC流日志中检测到大量被拒绝的连接请求

8.3 网络架构的持续优化

网络架构规划不是一劳永逸的工作。随着业务的发展，需要定期审视和优化网络架构：

• 定期检查IP地址使用率，提前规划扩容
• 评估安全组和网络ACL规则是否过于宽松，及时收紧
• 根据业务流量变化调整ELB的规格和NAT网关的规格
• 对于不再使用的VPC、子网和EIP，及时释放以节省成本

9. 总结

华为云VPC专有网络的网站服务器架构规划是一项系统性工程，需要从网段选择、子网划分、高可用设计、公网接入、安全防护、混合云扩展等多个维度进行全面考量。本文详细阐述了每个环节的核心原则和最佳实践，并提供了可直接落地的配置示例和代码片段。核心要点可以总结为：

• 网段规划：选择RFC1918私有地址，避免与本地网络和软件默认网段冲突
• 子网划分：按Web层、应用层、数据层进行三层隔离，跨可用区部署
• 高可用：多可用区部署 + 虚拟IP主备切换 + ELB负载均衡
• 公网接入：生产环境优先使用NAT网关的SNAT/DNAT方案
• 安全防护：安全组（实例级）+ 网络ACL（子网级）双层防护
• 混合云扩展：按需选择对等连接、VPN、云专线或企业路由器

只有经过精心规划的网络架构，才能为网站业务的稳定运行、弹性扩展和安全防护提供坚实的底层支撑。

Q&A

Q1：VPC创建后还能修改网段吗？

A1：不能。VPC创建完成后，主网段无法修改。当主网段IP地址不够分配时，可以通过添加IPv4扩展网段来扩充VPC网段。但扩展网段仅能用于新增子网，无法改变已有子网的网段。因此，网段规划必须在创建VPC之前慎重完成。

Q2：安全组和网络ACL应该如何使用？

A2：安全组是必选的实例级防护，网络ACL是可选的子网级防护。最佳实践是两者结合使用——在网络ACL层面设置粗粒度的子网边界防护（如拒绝来自公网对数据库子网的访问），在安全组层面设置细粒度的实例级规则。流量会先经过网络ACL，再经过安全组。

Q3：如何让VPC内的多台ECS共享一个EIP访问外网？

A3：使用NAT网关的SNAT功能。在VPC中创建公网NAT网关并绑定一个EIP，然后添加SNAT规则，将需要访问外网的子网或ECS添加到规则中。这样该子网内的所有ECS都可以通过这个EIP访问外网，同时隐藏了内网IP结构。

Q4：不同可用区的子网之间可以通信吗？

A4：可以。同一个VPC内的子网，无论位于哪个可用区，默认都是网络互通的。ECS实例可以和VPC子网位于不同可用区。跨可用区的网络通信由华为云底层网络基础设施自动处理，无需额外配置。

Q5：对等连接和云连接有什么区别？

A5：对等连接用于连通同一个区域内的两个VPC，配置简单且免费。云连接用于连通不同区域的VPC，支持跨区域网络互通。如果需要连通三个以上的VPC，或者涉及跨区域场景，建议使用企业路由器ER配合云连接中心网络。

Q6：网站部署在华为云上，如何选择公网接入方案？

A6：根据业务规模和需求选择：开发测试环境可直接为ECS绑定EIP；生产环境建议使用ELB+EIP组合，实现负载均衡和高可用；如果有多台服务器需要访问外网（如更新软件包），配置NAT网关的SNAT规则；如果需要让VPC内多个服务对外提供访问，配置NAT网关的DNAT规则。混合云场景下，云专线是更优选择。