AWS之VPC、子网、路由、网关的关系和区别

在 AWS 中，VPC（Virtual Private Cloud） 、子网（Subnet） 、路由（Routing） 和 网关（Gateway） 是构建云上网络架构的四大核心组件。它们层层嵌套、协同工作，共同构成一个安全、灵活、可扩展的私有网络环境。下面从定义、关系、区别 和典型架构四个方面系统说明。

一、基本定义

组件	定义	关键特性
VPC	你在 AWS 云中的私有虚拟网络	- 自定义 IP 范围（如 `10.0.0.0/16`） - 逻辑隔离于其他 VPC - 所有资源必须部署在 VPC 内
子网（Subnet）	VPC 内的一个 IP 地址段	- 必须属于一个可用区（AZ） - 分为公有子网（可访问互联网）和私有子网（不可直接访问）
路由（Routing）	控制流量转发路径的规则集合	- 通过路由表（Route Table）实现 - 每个子网必须关联一个路由表
网关（Gateway）	连接 VPC 与其他网络的出入口	- 如 Internet Gateway（IGW）、NAT Gateway、Virtual Private Gateway（VGW）等 - 是路由表中"下一跳"的目标

二、层级关系（从大到小）

复制代码

AWS Region
└── VPC（10.0.0.0/16）
    ├── Subnet A（10.0.1.0/24）→ AZ1 → 关联 Route Table X
    ├── Subnet B（10.0.2.0/24）→ AZ2 → 关联 Route Table Y
    └── Subnet C（10.0.3.0/24）→ AZ1 → 关联 Route Table Z

Route Table X:
  10.0.0.0/16 → local
  0.0.0.0/0   → igw-123      ← 指向 Internet Gateway（公有子网）

Route Table Y:
  10.0.0.0/16 → local
  0.0.0.0/0   → nat-456      ← 指向 NAT Gateway（私有子网出站）

Gateways attached to VPC:
  - Internet Gateway (igw-123)
  - NAT Gateway (nat-456) in Subnet A
  - Virtual Private Gateway (vgw-789) for VPN

✅ 层级总结 ：
VPC ⊃ 子网 ⊃ 路由表 → 网关

三、核心区别对比

维度	VPC	子网	路由	网关
作用	网络容器	网络分区	流量导向规则	网络出口设备
范围	跨多个 AZ	单一 AZ	关联到子网	附加到 VPC
是否收费	❌ 免费	❌ 免费	❌ 免费	✅ 多数收费（如 NAT Gateway）
必需性	所有资源必需	必需（资源部署位置）	必需（每个子网需关联）	按需创建
安全角色	隔离边界	攻击面控制	路径控制	出入口控制

四、典型架构示例：三层安全架构（Web-App-DB）

这是 AWS 推荐的高安全性生产架构：

复制代码

                              ┌───────────────────────┐
                              │   Internet            │
                              └──────────┬────────────┘
                                         │
                           ┌────────────▼────────────┐
                           │ Internet Gateway (IGW)  │ ← 公网入口
                           └────────────┬────────────┘
                                        │
          ┌────────────────────────────┼────────────────────────────┐
          │                            │                            │
┌─────────▼─────────┐      ┌───────────▼──────────┐   ┌─────────────▼─────────────┐
│ Public Subnet     │      │ Private Subnet       │   │ Private Subnet (DB)       │
│ (10.0.1.0/24)     │      │ (10.0.2.0/24)        │   │ (10.0.3.0/24)             │
│                   │      │                      │   │                           │
│ EC2 (Web Server)  │◄────►│ EC2 (App Server)     │◄─►│ RDS / EC2 (Database)      │
│ - 公网 IP         │      │ - 无公网 IP          │   │ - 无公网 IP               │
└─────────┬─────────┘      └───────────┬──────────┘   └─────────────▲─────────────┘
          │                            │                            │
          │                            │                            │
          └──────────────┐   ┌─────────┴─────────────┐   ┌──────────┘
                         │   │                       │   │
                 ┌───────▼───▼───────┐     ┌───────▼───▼───────┐
                 │ NAT Gateway       │     │ Security Groups   │
                 │ (in Public Subnet)│     │ + NACLs           │
                 └───────────────────┘     └───────────────────┘

各组件角色说明：

组件	在架构中的作用
VPC	整个应用的私有网络空间（如 `10.0.0.0/16`）
Public Subnet	托管 Web 服务器，允许互联网访问（路由指向 IGW）
Private Subnet (App)	托管业务逻辑，仅接受来自 Web 层的请求，通过 NAT Gateway 访问外网（如打补丁）
Private Subnet (DB)	数据库层，仅接受 App 层访问，无任何出站路由（或严格限制）
IGW	允许 Web 服务器响应公网请求
NAT Gateway	允许 App/DB 层安全出站，但阻止入站
路由表	* 公有子网：`0.0.0.0/0 → IGW` * 私有子网：`0.0.0.0/0 → NAT Gateway`

五、关键协作机制

VPC 提供基础：定义 IP 空间和隔离边界。
子网实现分区：按安全等级划分网络区域（公/私）。
路由控制流向 ：
- 公有子网 → 路由到 IGW → 可被公网访问
- 私有子网 → 路由到 NAT Gateway → 仅能主动出站
网关提供能力 ：
- IGW：双向公网通信
- NAT Gateway：单向出站（更安全）
- VGW：连接本地数据中心（混合云）

🔒 安全原则体现：

最小暴露面：只有 Web 层暴露公网

纵深防御：即使 Web 被攻破，攻击者无法直连数据库（路由 + 安全组双重限制）

出站可控：私有资源可通过 NAT 安全更新，无需开放入站端口

六、常见误区澄清

误区	正确理解
"子网类型由 IP 决定"	子网是公有还是私有，取决于路由表是否指向 IGW，而非 IP 本身
"有 IGW 就能上网"	必须将 IGW 附加到 VPC ，且子网路由表包含 `0.0.0.0/0 → igw-xxx`
"NAT Gateway 可以被公网访问"	❌ NAT Gateway 只支持出站，不能作为入站目标

七、总结：架构逻辑链

VPC 划地 → 子网分区 → 路由指路 → 网关通行

VPC 是你的"云上国土"；
子网是"城市功能区"（商业区、住宅区、军事禁区）；
路由是"交通规则"（哪些车能上高速）；
网关是"海关/收费站"（控制进出边境）。

通过这四者的合理组合，你可以在 AWS 上构建出既开放又安全、既灵活又合规的网络架构。这也是 AWS Well-Architected Framework 中"安全"和"可靠性"支柱的重要基础。