阿里云網絡系列之經典網絡和專有網絡
本文作者:駐云科技,趙樂義
阿里云面向客戶提供的網絡類型服務有經典網絡和專有網絡兩種,但這兩者有什么區別呢?阿里官網給的解釋是:
經典網絡:IP地址由阿里云統一分配,配置簡便,使用方便,適合對操作易用性要求比較高、需要快速使用 ECS 的用戶。
專有網絡:是指邏輯隔離的私有網絡,您可以自定義網絡拓撲和 IP 地址,支持通過專線連接。適合于熟悉網絡管理的用戶
相信很多人看了這個解釋還是云里霧里,作為用戶你該如何判斷哪一種是適合自己的網絡類型呢:
其實,可以這樣簡單地理解,從公網ip來講,經典網絡和專有網絡沒有區別;從內網ip來講,經典網絡是DHIP,也就是自動分配局域網ip地址,而專有網絡則是手工分配局域網ip地址,這樣方便有多臺云服務器的用戶自行定義內網ip結構。所以,如果用戶只有一臺服務器,或者有多臺服務器但不需要進行內網互聯,那么這兩種網絡都可以選擇的。
但從安全上講,因為經典網絡是阿里云自動分配的ip地址,有一定的規律性,那么黑客也就可以利用內網ip進行局域網攻擊,雖然在阿里云的安全體系下有些難度,但事實也證明了有被攻擊的可能性。而專有網絡因為是自定義局域網ip,那么黑客就沒那么容易進入用戶的內網進行攻擊了。
經典網絡阿里云一經初始化了很多參數,適合快速入門ECS的用戶;專有網絡:適合精通網絡管理的用戶,定制型可擴展型更強,是邏輯隔離的私有網絡支持用戶自定義網絡拓撲和ip地址。
那么什么是VPC呢:
VPC(Virtual Private Cloud)就好像是在云上的一個家,我可以在家里放很多喜歡的東西(云產品),比如ECS,RDS,負載均衡等等,如下圖。
那么為什么要有VPC呢:
在vpc之前的網絡類型就叫經典網絡,VPC的主要作用為了解決用戶在云端的安全隔離問題。
舉個例子,我建在專有網絡里的家,其他人到我家默認是沒有路的。而建在經典網絡里的家,其他人到我家是有路的,只不過路上被很多荊棘擋住了,所以經典網絡存在被攻擊的可能性。當然VPC還有很多其他好處,比如網絡管理更靈活。
專有網絡天生是隔離的安全網絡,默認情況下,別人不能通過私網訪問用戶VPC,用戶的VPC也不能通過私網訪問別人。這里的別人包括:其他VPC和經典網絡。
前面介紹到專有網絡適合精通網絡管理的用戶,定制型可擴展型更強,那么用戶利用VPC可以做些什么呢?
IP自主選擇
目前,阿里云VPC提供的IP地址有192.168.0.0/16,172.16.0.0/12和10.0.0.0/8。用戶可以選擇一段IP地址來識別云產品,同時可以把IP地址拆分成很多子網給不同的應用使用,能夠做到很好的網絡管理。
安全自主可控
專有網絡里沒經過授權任何外部訪問都是被禁止的網絡內的成員(如ECS)默認也不能隨便訪問公網或者其他專有網絡。成員之間(如ECS)默認可以通信,但管理員也可以對成員的通信進行管制(通過安全組)
實現路由的自定義規則
實現VPC內的路由控制
雙可用區(機房)冗余備份
把云產品放置在不同的可用區,這樣萬一一個可用區(機房)出現問題,另外一個可用區(機房)還可以繼續服務
PC 的NAT網關功能
NAT網關在VPC中的位置:
NAT網關的特性:
lDNAT:目的網絡地址轉換(入方向代理),用于VPC內的ECS面向互聯網提供服務;支持端口映射、IP映射;
lSNAT:源網絡地址轉換(出方向代理),用于VPC內的ECS訪問互聯網內容;
l多IP共享帶寬:NAT網關上購買公網IP和公網帶寬時以“共享帶寬包”形式購買,一個帶寬包內的所有IP共享帶寬;
共享帶寬使用場景:
實現多個云上多個VPC之間的訪問
為了安全,用戶要將測試業務和生產業務分開,因此可以在云上建立兩個VPC,A VPC 負責生產業務,B VPC負責測試業務,兩個PVC之間默認不能通信。如果A VPC 負責生產業務,優先級高,需要經常訪問B VPC,但反之則不行,這個時候就需要使用高速通道把A VPC 單向連到B VPC 就可以了。
實現云上VPC和云下IDC
除了云上VPC,用戶在云下自己的機房還有很多服務器,也可以使用高速通道把云上VPC和云下機房連起來。這就是現在流行的混合云。
我們優先推薦客戶使用VPC網絡環境來部署應用系統,VPC下的網絡環境會更靈活,安全更加有保證。關于阿里云網絡環境的任何使用問題,我們為您提供最專業的服務。