产品知识库–阿里云网络系列之经典网络和专有网络.docx

面对经典网络和专有网络，企业该何去何从阿里云面向客户提供的网络类型服务有经典网络和专有网络两种，但这两者有什么区别呢？阿里官网给的解释是：经典网络类型的云产品，统一部署在阿里云的公共基础网络内，网络的规划和管理由阿里云负责，更适合对网络易用性要求比较高的客户。专有网络，是指用户在阿里云的基础网络内建立一个可以自定义的专有隔离网络，用户可以自定义这个专有网络的网络拓扑和IP地址，与经典网络相比，专有网络比较适合有网络管理能力和需求的客户。经典网络和VPC的功能对比功能点经典网络专有网络二层逻辑隔离不支持支持自定义私网网段不支持用户自定义用户自定义私网IP规划经典网络内唯一专有网络内唯一，专有网络间可重复自建VPN不支持支持私网互通账号内相同地域内互通专有网络内互通，专有网络间隔离自建Nat网关不支持支持相信很多人看了这个解释和功能对比之后还是云里雾里，作为用户你该如何判断哪一种是适合自己的网络类型呢：其实，可以这样简单地理解，从公网IP来讲，经典网络和专有网络没有区别；从内网IP来讲，经典网络是DHCP，也就是自动分配局域网IP地址，而专有网络则是手工分配局域网IP地址，这样方便有多台云服务器的用户自行定义内网IP结构。所以，如果用户只有一台服务器，或者有多台服务器但不需要进行内网互联，那么这两种网络都可以选择的。但从安全上讲，因为经典网络是阿里云自动分配的IP地址，有一定的规律性，那么黑客也就可以利用内网IP进行局域网攻击，虽然在阿里云的安全体系下有些难度，但事实也证明了有被攻击的可能性。而专有网络因为是自定义局域网IP，那么黑客就没那么容易进入用户的内网进行攻击了。经典网络阿里云一经初始化了很多参数，适合快速入门ECS的用户；专有网络：适合精通网络管理的用户，定制型可扩展型更强，是逻辑隔离的私有网络支持用户自定义网络拓扑和IP地址。什么是VPCVPC（Virtual Private Cloud）就好像是在云上的一个家，我可以在家里放很多喜欢的东西（云产品），比如ECS，RDS，负载均衡等等，如下图。为什么要有VPC在VPC之前的网络类型就叫经典网络，VPC的主要作用为了解决用户在云端的安全隔离问题。举个例子，我建在专有网络里的家，其他人到我家默认是没有路的。而建在经典网络里的家，其他人到我家是有路的，只不过路上被很多荆棘挡住了，所以经典网络存在被攻击的可能性。当然VPC还有很多其他好处，比如网络管理更灵活。专有网络天生是隔离的安全网络，默认情况下，别人不能通过私网访问用户VPC，用户的VPC也不能通过私网访问别人。这里的别人包括：其他VPC和经典网络。利用VPC可以做些什么前面介绍到专有网络适合精通网络管理的用户，定制型可扩展型更强，那么用户利用VPC可以做些什么呢？IP自主选择目前，阿里云VPC提供的IP地址有192.168.0.0/16，172.16.0.0/12和10.0.0.0/8。用户可以选择一段IP地址来识别云产品，同时可以把IP地址拆分成很多子网给不同的应用使用，能够做到很好的网络管理。安全自主可控专有网络里没经过授权任何外部访问都是被禁止的，网络内的成员（如ECS）默认也不能随便访问公网或者其他专有网络。成员之间（如ECS）默认可以通信，但管理员也可以对成员的通信进行管制（通过安全组）实现路由的自定义规则在专有网络中，可以通过在虚拟路由器中配置响应路由规则，实现VPC内的路由控制。例如：可以让访问某一网段的流量，寻址到响应的网络节点进行响应。双可用区（机房）冗余备份把云产品放置在不同的可用区，这样万一一个可用区（机房）出现问题，另外一个可用区（机房）还可以继续服务VPC 的NAT网关功能NAT网关是一款企业级的高性能VPC公网网关，可以集中管理VPC中的公网IP和公网带宽，并提供SNAT、DNAT、共享带宽等功能，提供跨可用区的高可用能力。对于ECS实例、公网IP和公网带宽需求量较大的企业用户而言，相比于为每台ECS绑定EIP（弹性公网IP），使用NAT网关在功能和成本上有诸多优势。NAT网关主要是作为VPC网络的公网出口，下图标示了VPC中使用NAT网关的典型架构：NAT网关的特性：DNAT：目的网络地址转换（入方向代理），用于VPC内的ECS面向互联网提供服务；支持端口映射、IP映射；SNAT：源网络地址转换（出方向代理），用于VPC内的ECS访问互联网内容；多IP共享带宽：NAT网关上购买公网IP和公网带宽时以“共享带宽包”形式购买，一个带宽包内的所有IP共享带宽；共享带宽使用场景在传统模式下，企业需要为每一个业务购买公网带宽，而业务本身会有高峰和低谷，这就使得带宽的利用率较低，投资成本大大升高。而利用NAT网关，企业可以实现业务流量的整合，有效的提升带宽利用率，最终购买的出口带宽将远小于所有业务购买带