VPC 与网络

VPC（Virtual Private Cloud） 是你在 AWS 内的私有网络，类似给云资源划一块 虚拟机房。宝塔 VPS 通常单公网 IP + 面板防火墙；VPC 用 子网、路由表、安全组 精细控制流量。

学习目标

• 理解 VPC、子网、IGW、路由表、安全组
• 区分安全组（有状态）与 NACL（无状态）
• 为 EC2 + RDS 实验拓扑打网络基础

核心内容

典型拓扑

VPC 10.0.0.0/16
├─ 公有子网 10.0.1.0/24  → IGW → 互联网（EC2 公网入口）
└─ 私有子网 10.0.2.0/24  → NAT（可选）→ RDS 仅内网

CodeRoadMap 迁移实验：EC2 放公有子网 SSH，RDS 放私有子网，3306 仅对 EC2 安全组开放。

安全组 vs 宝塔防火墙

	安全组	宝塔防火墙
绑定	ENI / 实例	整机
状态	有状态（回程自动放行）	依规则
默认	出站全开、入站需显式 Allow	常默认放行 80/443

对照 linux-essentials 的 ufw：安全组是 云侧 第一道闸。

Console

VPC → Create VPC → VPC and more（向导一次建子网 + IGW）。

EC2 → 实例 → Security groups → Inbound：SSH 22 仅你的 IP；HTTP 80/443 按需。

CLI 示例

# 列出 VPC
aws ec2 describe-vpcs --query 'Vpcs[*].[VpcId,CidrBlock,Tags[?Key==`Name`].Value|[0]]' --output table

# 创建安全组（需 vpc-id）
aws ec2 create-security-group --group-name coderoadmap-web \
  --description "CodeRoadMap lab web" --vpc-id vpc-xxxxxxxx

# 仅允许你的 IP SSH
aws ec2 authorize-security-group-ingress --group-id sg-xxxxxxxx \
  --protocol tcp --port 22 --cidr 203.0.113.10/32

网络 HCL 见 terraform-essentials 的 tf-aws。

练习

• 用向导创建 VPC，记录公有/私有子网 CIDR
• 为 Web 建安全组：22 限 IP，80/443 按需开放
• 画 ASCII：浏览器 → IGW → EC2 SG → EC2 → RDS SG → RDS

小结

VPC = 云上机房与网段规划。 下一课 EC2：在这张网里起虚拟机。