【51CTO.com原創(chuàng)稿件】隨著云計算的快速發(fā)展，網(wǎng)絡問題爭議不斷，為了解決云上租戶網(wǎng)絡隔離問題，VPC（專有網(wǎng)絡）應運而生，VPC也被認為是未來的趨勢。

那么，阿里云的VPC是如何幫助用戶解決云上的隔離問題呢？VPC之間如何互通、VPC又是如何主動訪問公網(wǎng)，如何讓用戶從公網(wǎng)訪問呢？VPC上還有哪些可以避免的坑呢？

記者采訪了阿里云網(wǎng)絡技術(shù)團隊高級產(chǎn)品專家李泉（花名）與阿里云網(wǎng)絡技術(shù)團隊高級研發(fā)專家梵葉（花名），本文整理自二位的采訪內(nèi)容。

VPC的由來

VPC是隨著虛擬化、云計算的發(fā)展而出現(xiàn)的產(chǎn)品形態(tài)。用戶需要VPC主要有兩個方面的原因，一方面是安全的原因，即用戶需要更安全的網(wǎng)絡隔離，二是用戶需要有自主可控的網(wǎng)絡管理能力。

在VPC出現(xiàn)之前，用戶在云上購買虛擬機等云產(chǎn)品，云服務商會為虛擬機提供一個IP地址供用戶私用，但用戶在云上并沒有自己獨立的網(wǎng)絡，用戶不能規(guī)劃自己的網(wǎng)絡，也無法自定義云上網(wǎng)絡的地址等，也就是說，在VPC出現(xiàn)之前，用戶在云上是缺乏網(wǎng)絡能力的，而稍微成規(guī)模的用戶，其實都是需要在云上有網(wǎng)絡能力。

同時，在VPC出現(xiàn)之前，所有的用戶都在一張大網(wǎng)內(nèi)，不同用戶的虛擬機通過網(wǎng)絡層的隔離做到不同租戶的網(wǎng)絡隔離，但網(wǎng)絡層的隔離不如VPC基于數(shù)據(jù)鏈路層隔離那么徹底和安全。因此，云計算服務提供商就為每個租戶提供一張網(wǎng)絡，并且是獨立的、隔離的網(wǎng)絡，這就是現(xiàn)在的專有網(wǎng)絡VPC（Virtual Private Cloud）。阿里云早在2013年就開始了VPC的研發(fā)，并且于2014年正式上線VPC產(chǎn)品，為用戶提供服務。

另外，VPC的出現(xiàn)也來自于云服務商自身驅(qū)動，除了前面提到的滿足用戶的安全隔離和網(wǎng)絡管理需求外，最典型的就是在云計算環(huán)境中，傳統(tǒng)網(wǎng)絡越來越難以滿足業(yè)務的快速變化和發(fā)展需要，傳統(tǒng)網(wǎng)絡更關(guān)注的是穩(wěn)定性，但缺乏靈活性，這是巨大的矛盾。而隨著這幾年SDN思想和技術(shù)的發(fā)展，這個巨大的矛盾有了解決方案。

VPC是什么？

專有網(wǎng)絡VPC（Virtual Private Cloud）是用戶基于阿里云創(chuàng)建的自定義私有網(wǎng)絡, 不同的專有網(wǎng)絡之間實現(xiàn)二層邏輯隔離，用戶可以在自己創(chuàng)建的專有網(wǎng)絡內(nèi)創(chuàng)建和管理云產(chǎn)品實例，比如ECS、負載均衡、RDS等。

也可以這么簡單理解，VPC就是用戶在云上的一個網(wǎng)絡容器，容器里有虛擬路由器和虛擬交換機，這些基礎組件構(gòu)成了用戶在云上的一個獨立網(wǎng)絡環(huán)境。有了這個網(wǎng)絡容器后，用戶就可以在容器中“存放”自己需要的云產(chǎn)品。更重要的是，這個網(wǎng)絡容器讓用戶有了豐富的網(wǎng)絡管理功能，比如，用戶可以自主選擇需要的私網(wǎng)地址段進行組網(wǎng)，管理公網(wǎng)的出和入，將多個VPC網(wǎng)絡容器打通，甚至和用戶線下IDC打通等。

經(jīng)典網(wǎng)絡下，統(tǒng)一部署都在阿里云的公共基礎網(wǎng)絡內(nèi)完成，網(wǎng)絡的規(guī)劃和管理由阿里云負責，因此經(jīng)典網(wǎng)絡類型的產(chǎn)品更加適合對網(wǎng)絡沒有管理需求的客戶，而專有網(wǎng)絡VPC比較適合有網(wǎng)絡管理能力和需求的客戶。

VPC的特點和優(yōu)勢

現(xiàn)在業(yè)界眾多云服務商紛紛推出VPC，那么，阿里云的VPC又有什么特點和優(yōu)勢呢？

首先，阿里云VPC的整個架構(gòu)從最初設計時就是為了支撐百萬規(guī)模的。眾所周知，阿里云從2009年就啟動了代號為“飛天”的云計算研發(fā)項目，致力于提供公共云計算服務，當時使用的就是經(jīng)典網(wǎng)絡。2013年，阿里云開始進行VPC產(chǎn)品的研發(fā)，當時在阿里云平臺上已經(jīng)有了規(guī)模龐大的用戶，因此，VPC產(chǎn)品的底層基礎架構(gòu)，就必須要支撐比當時規(guī)模還要大很多倍的用戶規(guī)模。通過借鑒SDN的思想，阿里云采用當時還不是標準的vXLAN技術(shù)，構(gòu)建了VPC產(chǎn)品底層的控制平面和轉(zhuǎn)發(fā)平面。

因此，阿里云VPC能滿足中大型、甚至超大型企業(yè)級客戶的需求，對大規(guī)模的業(yè)務系統(tǒng)有很好的支撐。除了規(guī)模，還有一個非常重要的因素就是高可用和容災設計，阿里云VPC所依賴的轉(zhuǎn)發(fā)集群是每可用區(qū)部署的，同時每可用區(qū)的集群都有一個備可用區(qū)，當一個可用區(qū)的集群出現(xiàn)異常時，可以切換到另外一個可用區(qū)服務。

目前，阿里云平臺上部分用戶單個VPC就容納了5000臺規(guī)模的服務器，這套系統(tǒng)的可運維性也非常高，這么龐大的系統(tǒng)只需要極少的運維人員就可以完成相關(guān)工作。

其次，阿里云VPC的另外一個優(yōu)勢是阿里巴巴的骨干網(wǎng)絡。阿里巴巴出于業(yè)務的需要，建設了高質(zhì)量骨干網(wǎng)絡，這是很多云服務商所不具備的。基于這張骨干網(wǎng)絡，阿里云VPC具備了很強的互聯(lián)互通能力，用戶可以非常方便的將多地部署的VPC進行互聯(lián)互通。比如，用戶為了容災，在北京和上海兩地分別構(gòu)建了VPC，就可以使用阿里云高速通道產(chǎn)品將兩地的VPC進行連接。此外，如果用戶需要在全球不同節(jié)點使用VPC部署業(yè)務系統(tǒng)，依靠阿里巴巴的跨國網(wǎng)絡，也可以通過高速通道產(chǎn)品將兩個不同國家的VPC進行快速連接。

最后，阿里云VPC對物理網(wǎng)絡的侵入很小，不需要物理網(wǎng)絡進行特殊的功能適配，在原有的物理網(wǎng)上就可以構(gòu)建VPC。阿里云VPC是純軟件的實現(xiàn)方案，基于x86服務器自研轉(zhuǎn)發(fā)設備，既能滿足轉(zhuǎn)發(fā)性能的要求，又可以快速在原有的物理網(wǎng)絡上實現(xiàn)VPC。

VPC的使用方法

一般情況下，創(chuàng)建VPC的過程分為幾步，注冊阿里云賬戶，創(chuàng)建VPC，創(chuàng)建專有網(wǎng)絡中的虛擬交換機，然后就是創(chuàng)建云產(chǎn)品了，比如在專有網(wǎng)絡中創(chuàng)建ECS實例，然后開通彈性公網(wǎng)IP，最后為ECS實例綁定彈性公網(wǎng)IP。這樣，一個包含一臺具備公網(wǎng)能力的ECS的專有網(wǎng)絡環(huán)境就完成了。

VPC的使用還是有一定門檻的，至少要懂得一些網(wǎng)絡的基本知識。而對于小白用戶來講，也可以直接使用阿里云提供的Default VPC，也就是系統(tǒng)默認分配的VPC。用戶不需要了解VPC是什么，直接使用就可以了。一般情況下，用戶需要先創(chuàng)建VPC，創(chuàng)建虛擬交換機，再購買ECS。而Default VPC可以讓用戶不用先創(chuàng)建VPC，而是直接購買ECS，系統(tǒng)會自動為用戶創(chuàng)建VPC。

多個云上VPC間的訪問

專有網(wǎng)絡天生是隔離的安全網(wǎng)絡，默認情況下，別人不能通過私網(wǎng)訪問用戶VPC，用戶的VPC也不能通過私網(wǎng)訪問別人。專有網(wǎng)絡內(nèi)的 ECS 只能和本 VPC 內(nèi)其他 ECS 通信，或者和 VPC 內(nèi)的其他云服務之間進行通信。那么，用戶有多個VPC的時候如何實現(xiàn)不同VPC間的通信呢？

比如，為了安全，用戶要將測試業(yè)務和生產(chǎn)業(yè)務分開，因此在云上建立兩個VPC，A VPC 負責生產(chǎn)業(yè)務，B VPC負責測試業(yè)務，兩個VPC之間默認不能通信，但用戶可能在某些情況下需要讓這兩個VPC間進行通信，這個時候用戶可以使用高速通道產(chǎn)品的VPC互聯(lián)功能將兩個VPC打通。

VPC內(nèi)如何訪問公網(wǎng)

對于不懂VPC的小白用戶，可以直接使用阿里云的Default VPC，系統(tǒng)會默認分配給ECS一個公網(wǎng)IP，這和傳統(tǒng)網(wǎng)絡中的ECS的方式是一致的。而對于了解VPC的用戶，在購買ECS時選擇自己的VPC，阿里云不會分配給他公網(wǎng)IP，用戶需要通過其他手段，例如使用EIP（彈性公網(wǎng)IP）和NAT網(wǎng)關(guān)產(chǎn)品來配置公網(wǎng)的訪問。

阿里云在公網(wǎng)訪問方面的一個產(chǎn)品叫做EIP，用戶可以購買一個EIP，也就是公網(wǎng)IP地址，然后綁定到ECS上，然后這個VPC中的該ECS就可以訪問Internet了。還有一種方法，用戶可以購買NAT網(wǎng)關(guān)，通過配置SNAT規(guī)則，VPC中的ECS就可以通過NAT網(wǎng)關(guān)來訪問公網(wǎng)了。
注：SNAT：源網(wǎng)絡地址轉(zhuǎn)換（出方向代理），用于VPC內(nèi)的ECS訪問互聯(lián)網(wǎng)內(nèi)容。

VPC內(nèi)如何被公網(wǎng)訪問

而對于公網(wǎng)的用戶需要通過公網(wǎng)訪問VPC私網(wǎng)中的業(yè)務系統(tǒng)，則有三種方法，一是給每個ECS配置有一個EIP，用戶直接訪問EIP，第二種是購買NAT網(wǎng)關(guān)，但是不用配置SNAT規(guī)則，而是配置DNAT規(guī)則，第三就是使用負載均衡SLB（Server Load Balancer）公網(wǎng)實例，并將需要的ECS掛在到該負載均衡實例下。
注：DNAT，目的網(wǎng)絡地址轉(zhuǎn)換（入方向代理），用于VPC內(nèi)的ECS面向互聯(lián)網(wǎng)提供服務；支持端口映射、IP映射。

云上VPC與云下IDC的聯(lián)通

此外，用戶還可以將云上的VPC與云下的IDC進行連通，通過使用高速通道-專線接入功能就可以完成，這就是混合云的模式。另外，用戶還可以使用VPN將云下IDC經(jīng)過internet的加密隧道連接到云上VPC。

如何從經(jīng)典網(wǎng)絡遷移到VPC

阿里云有大量的經(jīng)典網(wǎng)絡用戶，而未來的趨勢是VPC，因此，經(jīng)典網(wǎng)絡如何遷移到VPC就是用戶非常關(guān)心的問題。對于經(jīng)典網(wǎng)絡的云資源遷移到VPC，阿里云會分階段完善遷移方案。首先，阿里云提供一個工具，這個工具只針對于單臺ECS從經(jīng)典網(wǎng)絡遷移到VPC中，使用這個工具，用戶只需重啟機器就可以完成遷移工作。

第二階段，阿里云會研發(fā)一個平滑遷移的解決方案，解決方案的核心是負載均衡SLB可以同時掛載VPC和經(jīng)典網(wǎng)絡的ECS，同時，RDS等云產(chǎn)品支持用戶同時從經(jīng)典網(wǎng)絡和VPC網(wǎng)絡中訪問。通過這個解決方案，用戶可以通過在VPC中新建ECS，通過業(yè)務遷移的方式，將系統(tǒng)從經(jīng)典網(wǎng)絡遷移到VPC。當所有業(yè)務遷移到VPC后，再將經(jīng)典網(wǎng)絡的資源銷毀。這個解決方案可以滿足絕大部分系統(tǒng)的遷移要求。

第三階段，阿里云會提供ClassicLink功能，允許用戶將一臺經(jīng)典網(wǎng)絡的ECS直接與VPC的ECS進行通信。這個功能上線后，結(jié)合前面兩個階段的功能，就可以滿足用戶所有的遷移需求。

避免VPC中的坑

首先，避免不同云產(chǎn)品使用不同的網(wǎng)絡類型。有些用戶開通VPC，購買了VPC類型的ECS，但是RDS卻購買的是經(jīng)典網(wǎng)絡的，導致ECS無法訪問RDS而無法使用。因此，用戶使用云首先要考慮的就是網(wǎng)絡類型，就是VPC，避免不同云產(chǎn)品使用不同的網(wǎng)絡類型。特別要注意的是，對于實例型云產(chǎn)品，如ECS，RDS，SLB等，用戶是在購買的時候選擇需要的網(wǎng)絡類型的。而對于大部分非實例型云產(chǎn)品，如OSS，日志服務等，則一般通過文檔的方式告知用戶從VPC中訪問要使用的域名。

其次，避免VPC IP規(guī)劃中的坑。用戶在開通VPC時，首先要決定使用哪個網(wǎng)段，目前阿里云提供三個網(wǎng)段，即10.0.0.0/8，172.16.0.0/12，192.168.0.0/16，用戶可以選擇使用這三個網(wǎng)段或者其子網(wǎng)作為VPC的網(wǎng)段。在考慮網(wǎng)絡規(guī)劃時，一定要想清楚，避免地址沖突。第二，如果用戶在云上有多個VPC，則建議兩個VPC使用不同的網(wǎng)段，如果使用同一網(wǎng)段，虛擬交換機的網(wǎng)段也是相同，則兩個VPC之間是無法通信的，也就無法打通。

第三，在選擇交換機時，阿里云建議至少選擇兩個，并且兩個交換機位于兩個可用區(qū)，避免在同一可用區(qū)出現(xiàn)異常而導致整個業(yè)務無法訪問。此外，交換機的子網(wǎng)掩碼選擇也是要考慮清楚的。用戶應該根據(jù)自己的業(yè)務需求，確定虛擬交換機的網(wǎng)段，并且要考慮未來的擴展性。例如，現(xiàn)在有100臺機器，那么網(wǎng)段數(shù)量就必須大于100臺主機數(shù)量，并且還要考慮未來預留一定的余量，比如500臺。

從規(guī)避IP沖突的角度，總結(jié)一下VPC IP規(guī)劃的原則：
1.不同VPC使用不同網(wǎng)段
2.如果1做不到，則做到不同VPC的交換機使用不同網(wǎng)段
3.如果2也做不到，則做到要私網(wǎng)通信的交換機使用不同網(wǎng)段

除了用戶進行合理規(guī)劃外，阿里云也會提供更多的功能，比如專線網(wǎng)關(guān)可以解決云上VPC和云下IDC地址沖突的問題，再如交換機網(wǎng)段可以讓用戶修改等。

最后，避免不必要的訪問公網(wǎng)和被公網(wǎng)訪問。VPC 是安全隔離的私有網(wǎng)絡，任何訪問公網(wǎng)或被公網(wǎng)訪問都是需要經(jīng)過用戶配置的。但運行一段時間后，經(jīng)常出現(xiàn)不必要的訪問公網(wǎng)和被公網(wǎng)訪問的情況。比如，不再需要公網(wǎng)能力的ECS卻忘記解綁EIP了，或者還有SNAT規(guī)則。又如，不再需要對外開放的端口卻繼續(xù)對外開放。這些問題都可能埋下安全隱患。

VPC的未來

云上已經(jīng)進入VPC時代，VPC是用戶使用云的首選，那VPC本身，未來又會是怎樣的呢？ 從VPC本身來說，其產(chǎn)品形態(tài)不會有很大變化，但是對比經(jīng)典網(wǎng)絡中的網(wǎng)絡產(chǎn)品和功能就會知道，目前以VPC為代表的云上虛擬網(wǎng)絡還只有部分功能，未來，基于VPC，肯定會有滿足更多場景的豐富網(wǎng)絡功能出現(xiàn)，比如防火墻、入侵檢測，流量分析等產(chǎn)品和功能。

【51CTO原創(chuàng)稿件，合作站點轉(zhuǎn)載請注明原文作者和出處為51CTO.com】