亚马逊云个人实名 Amazon VPC 入门教程：从零创建 AWS 虚拟私有云、子网、路由与公网访问配置指南
如果需要更深入咨询了解可以联系全球代理上TG: @cloudcup 他们在云平台领域有更专业的知识和建议，他们有国际阿里云，国际腾讯云，国际华为云，aws亚马逊，谷歌云一级代理的渠道，微软云开户充值。oss防风控上传加密系统。客服1V1服务，支持免实名、免备案、免绑卡。开通即享专属VIP优惠、充值秒到账、官网下单享双重售后支持。用户搜索“Amazon VPC 入门”，通常不是为了记住术语，而是在创建 EC2、部署网站、连接数据库时卡住了：为什么实例有公网 IP 还是连不上？为什么放进私有子网后 yum、apt 无法更新？为什么 RDS 建好后应用访问失败？这篇文章按真实操作顺序展开，重点解决创建、配置、连通性和故障排查问题，适合第一次在 AWS 上搭建网络环境的开发者和运维人员直接照做。
先判断你的目标：你是要建网站、跑应用，还是隔离数据库？
在开始点击控制台之前，先明确你的目标，否则最容易在子网、路由和公网访问上返工。大多数用户的真实需求通常落在下面 3 类：
- 部署网站或 API：需要 EC2 位于公有子网，允许 80/443 入站，通常还要绑定域名和 HTTPS。
- 应用加数据库：Web 服务器放公有子网，MySQL、PostgreSQL、Redis 放私有子网，只允许内网访问。
- 仅做内部服务：所有实例都放私有子网，通过堡垒机、VPN 或 SSM 进入，不直接暴露公网。
亚马逊云个人实名 如果你现在还不确定，建议先采用最常见的双层结构：2 个公有子网 + 2 个私有子网，跨 2 个可用区部署。这样后续接入 ALB、RDS、NAT Gateway 都不需要重建网络。
开始前准备：账号、权限、地址规划一次定好
需要的账号和权限
至少需要具备以下 AWS 权限，否则控制台里能看不能改：
| 资源 | 建议权限 |
| VPC | 创建 VPC、子网、路由表、IGW、NAT Gateway、NACL |
| EC2 | 创建实例、网卡、弹性 IP、安全组、密钥对 |
| RDS | 创建子网组、数据库实例、安全组绑定 |
| Route 53 | 如需域名解析，需要修改 Hosted Zone 权限 |
建议先确定的网络参数
很多后续问题都源于 CIDR 规划随手填写。建议一开始按可扩展方式设计。
| 项目 | 建议值 | 说明 |
| VPC CIDR | 10.0.0.0/16 | 地址空间足够，后续可继续拆分子网 |
| 公有子网A | 10.0.1.0/24 | 放 ALB、NAT Gateway、可公网访问 EC2 |
| 公有子网B | 10.0.2.0/24 | 跨可用区冗余 |
| 私有子网A | 10.0.11.0/24 | 放应用或数据库 |
| 私有子网B | 10.0.12.0/24 | 跨可用区冗余 |
不要把 VPC 直接设成 192.168.0.0/24 这种太小的网段，后面增加环境、容器节点、数据库只会频繁扩容和迁移。
操作实践：在 AWS 控制台创建一套可直接使用的 VPC
步骤1：创建 VPC
亚马逊云个人实名 进入 AWS 管理控制台，打开 VPC 服务，点击“Your VPCs”或“VPC”，再点击“Create VPC”。
推荐填写：
| 参数 | 填写建议 |
| Name tag | prod-vpc 或 dev-vpc |
| IPv4 CIDR block | 10.0.0.0/16 |
| IPv6 CIDR | 初学者可先不启用 |
| Tenancy | Default |
注意事项：
- VPC 创建后主 CIDR 不能随意改，填错会影响整个环境。
- 如果后续需要与本地机房、其他云或其他 AWS 账号打通，避免使用已有网络冲突的 CIDR。
步骤2：创建子网并分配可用区
进入“Subnets”，点击“Create subnet”，选择刚才创建的 VPC。至少创建 4 个子网，分别跨 2 个可用区。
| 子网名称 | 可用区 | CIDR | 用途 |
| public-a | ap-northeast-1a | 10.0.1.0/24 | 公网入口 |
| public-c | ap-northeast-1c | 10.0.2.0/24 | 公网入口冗余 |
| private-a | ap-northeast-1a | 10.0.11.0/24 | 应用/数据库 |
| private-c | ap-northeast-1c | 10.0.12.0/24 | 应用/数据库冗余 |
创建完成后，分别选中 public-a 和 public-c，点击“Edit subnet settings”，开启“Auto-assign public IPv4 address”。这一步很多人会漏掉，导致实例即使在公有子网也没有公网 IP。
步骤3：创建并绑定 Internet Gateway
进入“Internet Gateways”，点击“Create internet gateway”，命名后创建，再点击“Attach to VPC”，选择你的 VPC。
如果你跳过这一步，公有子网里的 EC2 即使拿到公网 IP，也无法出网。
亚马逊云个人实名 步骤4：创建路由表，让公有子网真正可上网
进入“Route Tables”，找到 VPC 默认路由表。建议不要直接混用默认路由表，而是新建两个：public-rt 和 private-rt。
先创建 public-rt，然后在“Routes”里添加：
| 目标网段 | Target |
| 10.0.0.0/16 | local |
| 0.0.0.0/0 | Internet Gateway |
接着在“Subnet associations”中绑定 public-a 和 public-c 子网。
如果你已经创建了 EC2，但 SSH 仍不通，请先检查实例所在子网是否真的关联到了 public-rt，而不是还挂在默认路由表上。
步骤5：给私有子网配置 NAT 出网
如果私有子网里的服务器需要安装软件、拉取补丁、访问外部 API，但又不希望被公网直接访问，需要 NAT Gateway。
操作路径：
- 进入“Elastic IPs”，先分配一个 EIP。
- 进入“NAT Gateways”，点击“Create NAT gateway”。
- 选择一个公有子网，例如 public-a。
- 绑定刚申请的 EIP。
创建 NAT 后，进入 private-rt 的“Routes”，添加：
| 目标网段 | Target |
| 0.0.0.0/0 | NAT Gateway |
再把 private-a 和 private-c 绑定到 private-rt。
常见错误：
- NAT Gateway 建在私有子网：这样不会生效。
- 私有子网没绑定 private-rt：实例仍然无法出网。
- 没有 EIP：NAT Gateway 无法提供公网出口。
把 EC2 放进 VPC 后，怎样确保能连通？
步骤6：创建 EC2 并验证 SSH 或 RDP
进入 EC2 控制台，点击“Launch instance”。网络相关参数建议重点检查：
| 参数 | Linux Web 服务器建议 | Windows 堡垒机建议 |
| Network | 选择刚创建的 VPC | 选择刚创建的 VPC |
| Subnet | public-a | public-a |
| Auto-assign public IP | Enable | Enable |
| Security Group | 22、80、443 按需开放 | 3389 限制办公 IP |
Linux 连接命令示例：
ssh -i your-key.pem ec2-user@公网IP
Ubuntu 镜像通常用户名是 ubuntu，Amazon Linux 通常是 ec2-user，用户名错了会直接导致连接失败。
Windows 实例通过 RDP 连接时，除了 3389 端口开放，还要确认安全组来源 IP 不要写错。如果你的办公公网 IP 经常变化，建议先临时放行当前 IP，登录后再通过堡垒机或 VPN 收口。
步骤7：配置安全组，避免“路由通了但端口不通”
安全组是最常见拦截点。推荐最小开放原则。
| 场景 | 入站规则建议 |
| SSH 管理 | TCP 22，仅允许你的办公公网 IP |
| RDP 管理 | TCP 3389，仅允许你的办公公网 IP |
| 网站服务 | TCP 80/443，来源 0.0.0.0/0 |
| MySQL | TCP 3306，仅允许应用服务器安全组 |
| Redis | TCP 6379，仅允许应用服务器安全组，不要开放公网 |
重点建议：数据库不要用公网 IP + 端口白名单这种方式长期运行，优先使用私有子网 + 安全组引用。
步骤8：如果要部署 RDS，先创建 DB Subnet Group
很多用户在创建 RDS 时才发现私有子网没准备好。正确做法是先进入 RDS 控制台，创建 DB Subnet Group，把 private-a 和 private-c 两个私有子网加进去，再创建数据库实例。
RDS 建议设置：
| 参数 | 建议值 |
| Public access | No |
| VPC security group | 只允许应用服务器安全组访问 |
| Multi-AZ | 生产环境建议开启 |
| Backup retention | 至少 7 天 |
如果应用连不上 MySQL，不要先怀疑用户名密码，先检查这 4 项：RDS 是否在私有子网、应用服务器是否在同一 VPC、3306 是否被安全组放行、应用配置里是否写成了旧 IP 或公网地址。
不同业务该怎么选 VPC 配置？
个人开发者
适合测试站、博客、开发环境。
| 项目 | 建议 |
| VPC | 1 个 /16 网段 |
| 子网 | 1 公有 + 1 私有即可 |
| NAT | 预算有限可不配，私有实例通过 SSM 管理 |
| EC2 | t3.micro/t4g.micro 起步 |
| 备份 | 启用 EBS Snapshot |
企业用户
建议按环境拆分：prod、staging、dev 分不同 VPC，不要把测试和生产混在一个网络里。生产环境至少跨 2 个可用区，应用、数据库、运维入口分层部署。
跨境业务
先根据目标用户地域选 Region，再做延迟测试。不要先开实例再发现用户访问跨洋。对于亚太业务，东京、新加坡、首尔常见；面向北美则优先美东、美西。测试时直接从目标用户所在地执行 ping、curl、页面加载测速，而不是只看你本机办公室网络。
亚马逊云个人实名 网站应用
推荐结构：ALB 在公有子网，应用 EC2 在私有子网，数据库 RDS 在私有子网，Route 53 做 DNS，ACM 申请 SSL 证书。这样公网只暴露负载均衡器，不直接暴露应用服务器。
数据库业务
如果是 MySQL 或 PostgreSQL，优先私网连接；如果是 Redis，务必关闭公网访问并限制来源安全组。高并发场景下要提前规划连接数、参数组和只读副本，而不是等 CPU 飙升后再补救。
排障部分：连接失败、出网失败、访问慢，按这个顺序查
案例1：EC2 有公网 IP，但 SSH 连不上
- 检查实例是否位于公有子网。
- 检查该子网的路由表是否有 0.0.0.0/0 指向 Internet Gateway。
- 检查安全组是否放通 22 端口。
- 检查系统内部防火墙是否拦截，例如 firewalld、iptables、ufw。
- 确认密钥对和登录用户名是否正确。
案例2：私有子网服务器无法 yum update 或 apt update
- 检查 private-rt 是否有默认路由指向 NAT Gateway。
- 检查 NAT Gateway 是否部署在公有子网。
- 检查 NAT Gateway 所在公有子网是否有 IGW 路由。
- 检查实例 DNS 设置是否正常，VPC 的 DNS resolution 与 DNS hostnames 建议开启。
案例3：RDS 无法连接
- 亚马逊云个人实名 确认应用实例与 RDS 位于同一 VPC 或已建立互通。
- 确认 RDS 安全组允许应用服务器安全组访问对应端口。
- 确认 NACL 没有拒绝返回流量。
- 确认数据库参数组未限制连接来源或 SSL 策略。
案例4：网站能打开，但速度慢
- 先测实例 CPU、内存、磁盘 IOPS，不要只盯网络。
- 亚马逊云个人实名 跨地域访问时用 CloudFront 或就近 Region。
- 检查是否把数据库放在跨可用区或跨区域，导致每次请求都走高延迟链路。
- 检查安全组、NACL 是否过度复杂，虽然不常见，但错误配置会导致重传和间歇性超时。
优化建议：上线前至少做这四类收口
安全优化
- 管理端口 22、3389 不要对全网开放，限制办公 IP 或改用 SSM Session Manager。
- 数据库、Redis、内部 API 仅允许私网访问。
- 启用 VPC Flow Logs，定位异常连接来源。
- 亚马逊云个人实名 生产环境把公有子网和私有子网用途分清，不要混放数据库。
性能优化
- 应用和数据库尽量同 Region、同 VPC，必要时同可用区减少延迟。
- 高流量网站前置 ALB + CDN，静态资源走缓存。
- 实例网络性能不足时，优先检查实例规格是否限制带宽。
成本优化
- NAT Gateway 按小时和流量计费，小型测试环境可以使用单 NAT 或直接用 SSM 代替公网跳板。
- 闲置弹性 IP 会产生费用，不用就释放。
- 多环境不要共享一套大而全 VPC，测试环境尽量简化。
稳定性优化
- 关键子网至少跨 2 个可用区。
- 数据库开启自动备份，EBS 定期做快照。
- 修改路由表、安全组前先记录当前配置，避免线上误操作后无法回滚。
如果这是你第一次搭 AWS 网络，最稳妥的路径不是先追求复杂架构，而是先做出一套“能连通、能出网、能隔离”的基础 VPC：1 个 VPC、2 个公有子网、2 个私有子网、1 个 IGW、1 个 NAT Gateway、分离路由表、按角色拆安全组。完成这一步后，再继续扩展 ALB、Auto Scaling、RDS、VPN、VPC Peering 会顺畅很多。
