云网络架构规划

让云上网络隔离清晰、弹性足够、成本可控，并预留扩展空间。本技能给出从多账号设计、CIDR 全局规划、子网划分、网络分区、统一出口到共享服务部署的完整可执行链路。

一、核心原理

云网络规划的核心矛盾是隔离与互通的平衡：既要让生产/测试/共享服务互不干扰，又要让需要互通的服务高效访问，同时全局 CIDR 不能与线下、其他 VPC 冲突。

• 多账号：按业务/环境划分云账号，实现账单、权限、资源隔离，避免单账号「一锅粥」。
• 多区域：按用户地域与合规要求选择 Region，跨 Region 互通有延迟与成本代价。
• CIDR 全局规划：所有 VPC、子网、线下网段统一规划，零重叠，预留 ≥50% 扩展。

flowchart TB
    subgraph 云上组织
      ACC1[账号A：生产]
      ACC2[账号B：测试]
      ACC3[账号C：共享服务]
    end
    ACC1 --> VPC1[生产 VPC<br/>10.0.0.0/16]
    ACC2 --> VPC2[测试 VPC<br/>10.1.0.0/16]
    ACC3 --> VPC3[共享 VPC<br/>10.2.0.0/16]
    VPC1 -->|对等/云联网| VPC3
    VPC1 -->|NAT 统一出口| EGRESS[互联网出口]

二、参考架构（多账号 + 分区 + 统一出口）

flowchart LR
    subgraph 生产账号
      PVPC[生产 VPC] -->|NAT| IGW[互联网网关]
      PVPC -->|对等| SVPC
    end
    subgraph 共享账号
      SVPC[共享服务 VPC<br/>DNS/日志/镜像/堡垒机]
    end
    subgraph 线下
      DC[数据中心] -->|专线/VPN| PVPC
    end
    IGW --> FW[云防火墙/WAF]
    FW --> Internet[互联网]

配套 ASCII 分区图（用于方案文档）：

 云账号组织
 ┌──────────────────────────────────────────────────────┐
 │ 生产账号          测试账号          共享服务账号        │
 │  ┌──────────┐   ┌──────────┐   ┌──────────┐          │
 │  │ 生产 VPC  │   │ 测试 VPC  │   │ 共享 VPC  │          │
 │  │10.0.0.0/16│  │10.1.0.0/16│  │10.2.0.0/16│         │
 │  └────┬─────┘   └──────────┘   └────┬─────┘          │
 │       │         (完全隔离)           │                 │
 │       └────── 对等连接 ──────────────┘                 │
 └──────────────────────┬───────────────────────────────┘
                        │ 统一 NAT 出口 + 云防火墙
                   ┌────▼────┐
                   │ 互联网   │
                   └─────────┘

三、关键参数决策表

3.1 CIDR 规划（真实数值）

3.2 网络分区策略

3.3 跨账号/跨区域互联

四、分步 SOP

1. 上云梳理：业务清单、地域分布、访问关系、合规要求。
2. 多账号设计：按业务/环境划分账号，规划组织与权限。
3. CIDR 全局规划：与线下及其他 VPC 零冲突，预留 ≥50% 扩展，跑 subnet_cidr_planner.py 划分子网。
4. 网络分区：生产/测试/共享服务/DMZ 分区，策略明确。
5. 子网划分：按用途与可用区划分子网，公私网分离。
6. 出口设计：统一 NAT/防火墙出口并冗余。
7. 共享服务：DNS、日志、镜像、堡垒机集中部署于共享 VPC。

五、真实配置示例

5.1 AWS CLI（创建 VPC + 子网 + 路由 + 安全组）

# 创建 VPC
aws ec2 create-vpc --cidr-block 10.0.0.0/16 --tag-specifications \
  'ResourceType=vpc,Tags=[{Key=Name,Value=prod-vpc}]'
# 创建子网（跨 AZ）
aws ec2 create-subnet --vpc-id vpc-12345678 --cidr-block 10.0.1.0/24 \
  --availability-zone us-east-1a
# 创建路由表并关联
aws ec2 create-route-table --vpc-id vpc-12345678
# 创建安全组
aws ec2 create-security-group --group-name web-sg --vpc-id vpc-12345678 \
  --description "web tier security group"

5.2 阿里云 CLI（VPC + 交换机）

# 创建 VPC
aliyun vpc CreateVpc --CidrBlock 10.0.0.0/16 --VpcName prod-vpc
# 创建交换机（子网）
aliyun vpc CreateVSwitch --CidrBlock 10.0.1.0/24 --VpcId vpc-xxx \
  --ZoneId cn-hangzhou-b --VSwitchName prod-web-a

5.3 Terraform（多账号基础设施即代码，概念）

resource "aws_vpc" "prod" {
  cidr_block = "10.0.0.0/16"
  tags = { Name = "prod-vpc" }
}
resource "aws_subnet" "web_a" {
  vpc_id            = aws_vpc.prod.id
  cidr_block        = "10.0.1.0/24"
  availability_zone = "us-east-1a"
}

> 完整可填空云网络规划模板见 assets/cloud-network-template.txt，参数与公式详解见 references/cloud-planning-parameters.md。

六、验证方法与达标阈值

# 子网规划
python subnet_cidr_planner.py --vpc-cidr 10.0.0.0/16 \
  --subnets "public:2000,private:1000,db:250"
# 检查路由表（AWS CLI）
aws ec2 describe-route-tables --filters Name=vpc-id,Values=vpc-12345678

七、常见故障排查表

> 更多案例见 references/cloud-planning-troubleshooting.md。

八、输出规范

交付时应产出：云网络架构图（账号/VPC/子网/互联）、CIDR 规划总表、子网划分表、分区与隔离策略、出口与冗余设计、共享服务清单、成本与可观测设计。

九、边界与风险

• CIDR 规划必须预留扩展，避免后期无法扩容；网段一旦上线再改代价极高。
• 计费口径以云厂商公开文档为准，不确定时标注，不臆造价格。
• 不绑定单一云厂商，能力要求优先于品牌；跨云需额外考虑网络互通与延迟。

配套资源

• 参数手册：references/cloud-planning-parameters.md
• 配置对照：references/cloud-planning-configs.md
• 故障案例库：references/cloud-planning-troubleshooting.md
• 数据基线：assets/subnet-planning-baseline.csv
• 规划模板：assets/cloud-network-template.txt
• 脚本：scripts/subnet_cidr_planner.py（子网 CIDR 规划器）
• 配套检查清单：《云网络架构规划清单》