VPC与子网分层规划：让应用和数据库拥有清晰边界

🏗️ VPC与子网分层规划：明确应用和数据库边界

VPC提供隔离的网络空间，子网把其中地址范围划分为不同路由域。将应用和数据库放在同一网段可能便于起步，但会增加规则耦合，也更难表达“哪些来源能访问数据”。分层规划的目标是明确流量方向和信任边界，而不是单纯增加子网数量。

🧱 先按组件职责划分网络层

典型业务可区分外部入口、应用服务和数据服务。入口层承接用户流量；应用层接收来自入口或受控服务的请求；数据库层仅接受应用身份和指定端口。每层可以位于一个或多个子网，具体数量取决于可用区部署、扩容和路由设计。子网负责地址与路由范围，安全组或等效策略负责允许哪些连接，不能把两者混为一谈。

• 入口层：只暴露确实需要的服务入口，管理访问路径。
• 应用层：通常不直接接受任意互联网来源，按调用关系开放端口。
• 数据层：避免不必要的公网地址，仅允许受控应用来源访问数据库端口。

若采用多可用区部署，应为各层预留地址并保持路由意图一致；不要把网段规划到后期才发现与办公网络或互联VPC重叠。🗺️

📍 地址、路由与出口的判断方法

先确定VPC网段，按子网规模和增长预留余量，再核对可能的VPN、专线或VPC互联网段。逐个检查子网关联的路由表：本地路由负责VPC内部通信，默认路由可能指向互联网网关、NAT或其他网络设备。“私有子网”描述的是路由与暴露方式，不等于无出站能力；若默认路由经过NAT，实例仍可能主动访问外部服务。

诊断时同时查看云侧路由表和实例路由，例如ip route。对目标数据库地址判断下一跳、源地址是否经过转换，以及返回路径是否存在。跨网段连接若只有去程没有回程，也会表现为超时。📡

🔐 用允许与拒绝两侧验证访问

1. 从预期应用实例连接数据库指定端口，确认DNS解析、路由和策略均匹配。
2. 从非应用子网发起同一目标的只读连通性探测，确认规则阻止了非授权来源。
3. 检查数据库监听地址、服务端访问控制、子网ACL与实例安全组是否共同允许请求和返回流量。
4. 观察连接成功率、超时、拒绝日志及应用连接池错误，按时间关联网络变更。

网络可达不等于数据库认证通过；认证失败说明请求已经到达应用协议层，应沿账号权限和数据库日志继续排查。反过来，实例启动正常也不能证明目标路径可达。⚙️

✅ 验收：把设计落实为可复测路径

为每条允许流量记录来源层、目标、端口和预期用途，并对不允许路径做负向验证。确认数据库无不必要公网入口，应用到数据库连接成功且稳定，其他网段无法建立连接；同时确认扩容地址仍处于预留范围，互联网段没有冲突。验收结果应能解释路由如何到达、规则为何放行或拒绝，而不是只凭网络拓扑图判断安全。