选择云平台后，第一项基础设施任务就是设计VPC网络。AWS与阿里云作为全球前两大公有云，其虚拟私有云VPC（Virtual Private Cloud／专有网络）在网络模型上高度相似，但在细节实现、资源命名和操作习惯上存在显著差异。错误的子网划分或CIDR规划会直接影响业务扩展、跨区互联和后续迁移成本。本文直接面向架构师和运维人员，拆解两大平台在网络规划阶段必须掌握的核心概念与操作要点，并提供可验证的规避方案。
一、AWS VPC核心概念与子网划分实践
1.1 AWS VPC的基础构成
AWS VPC是一个区域级资源，一个VPC覆盖同一Region内的所有可用区（Availability Zone）。VPC创建时必须指定一个IPv4 CIDR块（如10.0.0.0/16），之后在VPC内部按可用区创建子网。每个子网必须关联一个CIDR块（从VPC的主CIDR中划分），且子网CIDR不能重叠。AWS要求VPC的CIDR块大小在/16到/28之间，但实测推荐至少使用/16以确保灵活性。
1.2 子网类型与路由决策
AWS子网根据是否自动分配公网IP分为公有子网和私有子网。关键区别在于路由表：公有子网有一条指向Internet Gateway的默认路由（0.0.0.0/0 -> igw-id），私有子网则无或指向NAT Gateway。子网必须与显式或隐式路由表关联，且每个子网只能关联一张路由表。常见规划策略是每个可用区创建两个子网（公有/私有），或按功能单元（应用层、数据层）各建一个子网跨AZ分布。
1.3 安全组与网络ACL的层级
AWS安全组（Security Group）是实例级有状态防火墙，支持允许规则（无拒绝规则）。网络ACL（Access Control List）是子网级无状态防火墙，支持允许和拒绝规则，且按规则编号顺序匹配。在子网规划时推荐：安全组用于微调实例间通信，网络ACL用于子网边界的基础防护（如阻止特定端口出站）。
二、阿里云专有网络（VPC）核心概念与子网划分
2.1 VPC与VSwitch的结构
阿里云专有网络（VPC）同样为区域级资源，但在其概念中，“交换机（VSwitch）”对应AWS的子网。一个VPC内可创建多个交换机，每个交换机必须属于同一Region下的一个可用区，且交换机CIDR从VPC的CIDR中划分。阿里云允许VPC的CIDR块大小为/16~/24，但建议预留/16地址空间。交换机创建后无法修改CIDR，因此初始规划必须预留充分。
2.2 NAT网关与弹性公网IP
阿里云提供SNAT（源地址转换）功能通过NAT网关实现私有子网访问外网，DNAT（目标地址转换）用于将公网服务映射到内网实例。与AWS类似，公有子网通常关联弹性公网IP（EIP），私有子网通过NAT网关路由至外网。阿里云的路由表中，自定义路由条目显式指向NAT网关实例，系统路由默认处理VPC内部通信与公网出口。
2.3 安全组与网络ACL（访问控制）
阿里云安全组是实例级别有状态防火墙，支持允许规则（默认拒绝所有入站，允许所有出站）。网络ACL（阿里云称为“网络访问控制列表”）是交换机（子网）级别的无状态防火墙，优先级由规则编号决定（数值越小优先级越高）。在规划中注意：安全组是白名单机制，网络ACL需同时配置入站和出站规则。
三、关键对比与跨平台规划建议
3.1 CIDR规划与子网大小
AWS：一个VPC只能有一个主CIDR，最多可附加4个次要CIDR（IPv4）。子网最小/28，最大/16（但受VPC范围限制）。阿里云：VPC最多可添加5个附加IPv4网段，子网（交换机）最小/29，最大/16。规划建议：无论哪个平台，生产环境VPC推荐/16，每个可用区划分至少/20的子网，避免未来扩容时CIDR耗尽。跨账号/跨VPC通信时，务必确保CIDR不重叠。
3.2 多可用区高可用设计
AWS与阿里云都建议将资源分布到至少两个可用区。在AWS中，每个可用区至少创建一个公有子网和一个私有子网；阿里云则在每个可用区创建对应的交换机。区别在于：AWS NAT网关按AZ创建，阿里云NAT网关具有多AZ能力，但需要为每个交换机单独配置SNAT条目。设计时需保留冗余IP用于弹性伸缩和容器集群（如Kubernetes），建议每个子网至少预留50%可分配地址。
3.3 公网连接与混合云互联
AWS使用Internet Gateway对外暴露，而阿里云使用公网NAT网关或SLB（负载均衡）配合EIP。如果涉及专线（Direct Connect或对等连接），两者均需规划好路由条目与地址重叠检测。注意：阿里云高速通道（Express Connect）与AWS Direct Connect在BGP配置上略有不同，但子网规划原则一致：不跨VPC占用相同内网段。
四、常见风险与验证方法
4.1 子网CIDR重叠导致连通失败
风险：在不同VPC或账号之间使用相同CIDR（如同时用10.0.0.0/16），当通过对等连接或VPN互通时，路由冲突造成部分实例不可达。验证：建立连接前使用云平台的网络可达性诊断工具（AWS Reachability Analyzer，阿里云网络检测）进行预检查。如果已发生重叠，必须重新规划一个VPC的CIDR（AWS支持在VPC上添加次要CIDR并迁移子网，阿里云不支持直接修改VPC CIDR，需要重建VPC并用快照恢复实例）。
4.2 子网地址空间不足
风险：初始分配/24子网，后期容器节点或Lambda弹性网络接口消耗大量IP，导致无法创建新实例。规避：每个子网至少预留/24大小，对高弹性场景使用/20或更大。定期检查子网可用IP数（AWS CloudWatch / EC2控制台；阿里云VPC控制台显示可用IP数），当可用IP低于20%时主动扩容——扩容方式为新建子网并路由调整。
4.3 路由策略错误导致服务不可访问
风险：错误配置0.0.0.0/0指向NAT而忽略指向内部服务的自定义路由，或错误配置安全组阻断默认流量。验证：在实例上使用ping/traceroute，或使用平台连接测试工具。阿里云提供“连通性诊断”一键检测端口，AWS提供“连接性测试”功能（VPC Reachability Analyzer）。回滚方案：保留前一天的路由表快照，通过API/CLI恢复到指定版本（AWS支持恢复路由表至前一版本，阿里云路由表支持批量删除后重新导入历史配置）。
五、选择依据与总结
如果团队主要使用AWS生态，自然优先选择AWS VPC，其辅助CIDR和服务化集成更成熟；如果业务扎根国内合规或依赖阿里云产品生态（如CDN、短信、云企业网CEN），则应采用阿里云VPC。网络规划没有银弹，核心在于预留充足CIDR、绑定清晰的安全组策略、并定期验证路由与ACL。无论平台如何，深度理解云厂商的VPC文档并付诸测试是避免生产故障的唯一途径。
延伸阅读