阿里云网络系列之经典网络和专有网络
阿里云,面向客户提供的网络类型服有经典网络和专有网络两种,但这两者有什么区别呢?
阿里官网给的解释是:
经典网络:IP地址由阿里云统一分配,配置简便,使用方便,适合对操作易用性要求比较高、需要快速使用 ECS 的用户。
专有网络:是指逻辑隔离的私有网络,您可以自定义网络拓扑和 IP 地址,支持通过专线连接。适合于熟悉网络管理的用户
相信很多人看了这个解释还是云里雾里,作为用户你该如何判断哪一种是适合自己的网络类型呢?
简单说
经典网络,购买后,立即分配云服务器和外网IP地址,用户可以直接访问此云服务器,此云服务器也可访问外网,如米扑科技
专有网络,购买后,只有云服务器,没有外部IP地址,用户不可直接访问此云服务器,此云服务器也不可访问外网,需要另外再购买阿里云的弹性IP并绑定后,才可以用户访问此云服务器,此云服务器可访问外网
其实,可以这样简单地理解,从公网ip来讲,经典网络和专有网络没有区别
从内网ip来讲,经典网络是DHIP,也就是自动分配局域网ip地址,而专有网络则是手工分配局域网ip地址(需要另外购买弹性IP,绑定上VPC云服务器),这样方便有多台云服务器的用户自行定义内网ip结构。所以,如果用户只有一台服务器,或者有多台服务器但不需要进行内网互联,那么这两种网络都可以选择的。
但从安全上讲,因为经典网络是阿里云自动分配的ip地址,有一定的规律性,那么黑客也就可以利用内网ip进行局域网攻击,虽然在阿里云的安全体系下有些难度,但事实也证明了有被攻击的可能性。而专有网络因为是自定义局域网ip,那么黑客就没那么容易进入用户的内网进行攻击了。
经典网络,阿里云一经初始化了很多参数,适合快速入门ECS的用户;
专有网络,适合精通网络管理的用户,定制型可扩展型更强,是逻辑隔离的私有网络支持用户自定义网络拓扑和ip地址。
VPC 是什么
在创建阿里云服务之前,先去创建一个网络,然后在这个自己独有的网络上添加需要的阿里云产品,这就是阿里云的 VPC (Virtual Private Cloud),直译就是虚拟私有云,产品的中文名是 “专有网络” 。
专有网络的服务器不能访问互联网,也不能通过互联网访问到它们。给它们绑定弹性公网 IP,就可以访问互联网了。你可以只为其中的一台服务器绑定个公网 IP ,然后配置一下它,让其它的服务器通过这台有公网 IP 的服务器访问互联网。
创建一个使用专有网络的 ECS 云服务器,流程大概是这样的(视频课程制作中 ... ):
- 创建一个专有网络
- 在专有网络下添加一个交换机
- 创建云服务器,选择所属的专有网络与交换机
如果你的云服务器要面向互联网提供服务,你还需要一个公网的 IP 地址,这样你还需要:
- 申请弹性公网 IP
- 把申请的公网 IP 绑定到指定的云服务器上
VPC(Virtual Private Cloud)就是专用网络,就好像是在云上的一个家,我可以在家里放很多喜欢的东西(云产品),比如ECS,RDS,负载均衡等等,如下图。
为什么需要 VPC
在VPC之前的网络类型就叫经典网络,VPC的主要作用为了解决用户在云端的安全隔离问题。
举个例子,我建在专有网络里的家,就像一座孤岛,其他人到我家默认是没有路的,我想去别人家也是无路的(例如不可访问米扑科技)。而建在经典网络里的家,其他人到我家是有路的,我到别人家也是有路的(可访问米扑科技),只不过路上被很多荆棘挡住了(例如米扑科技做了很多防恶意攻击的屏蔽策略),所以经典网络存在被攻击的可能性。当然VPC还有很多其他好处,比如网络管理更灵活。
专有网络天生是隔离的安全网络,默认情况下,别人不能通过私网访问VPC,VPC也不能通过私网访问别人。这里的别人包括:其他VPC和经典网络,例如米扑科技、米扑代理、米扑财富等外网。
前面介绍到专有网络适合精通网络管理的用户,定制型可扩展型更强,
那么用户利用VPC可以做些什么呢?
1. IP自主选择
目前,阿里云VPC提供的IP地址有 192.168.0.0/16,172.16.0.0/12和10.0.0.0/8
用户可以选择一段IP地址来识别云产品,同时可以把IP地址拆分成很多子网给不同的应用使用,能够做到很好的网络管理。
2. 安全自主可控
专有网络里没经过授权任何外部访问都是被禁止的网络内的成员(如ECS)默认也不能随便访问公网或者其他专有网络。成员之间(如ECS)默认可以通信,但管理员也可以对成员的通信进行管制(通过安全组)
3. 实现路由的自定义规则
可以自己在VPC集群服务器之间,自定义规则实现路由互联,完全自主掌握
4. 实现VPC内的路由控制
5. 双可用区(机房)冗余备份
把云产品放置在不同的可用区,这样万一一个可用区(机房)出现问题,另外一个可用区(机房)还可以继续服务
6. VPC 的NAT网关功能
NAT网关在VPC中的位置:
NAT网关的特性:
DNAT:目的网络地址转换(入方向代理),用于VPC内的ECS面向互联网提供服务;支持端口映射、IP映射;
SNAT:源网络地址转换(出方向代理),用于VPC内的ECS访问互联网内容;
多IP共享带宽:NAT网关上购买公网IP和公网带宽时以“共享带宽包”形式购买,一个带宽包内的所有IP共享带宽;
7. 共享带宽使用场景
8. 实现多个云上多个VPC之间的访问
为了安全,用户要将测试业务和生产业务分开,因此可以在云上建立两个VPC,A VPC 负责生产业务,B VPC负责测试业务,两个PVC之间默认不能通信。如果A VPC 负责生产业务,优先级高,需要经常访问B VPC,但反之则不行,这个时候就需要使用高速通道把A VPC 单向连到B VPC 就可以了。
9. 实现云上VPC和云下IDC
除了云上VPC,用户在云下自己的机房还有很多服务器,也可以使用高速通道把云上VPC和云下机房连起来。这就是现在流行的混合云。
我们优先推荐客户使用VPC网络环境来部署应用系统,VPC下的网络环境会更灵活,安全更加有保证。
参考推荐:
版权所有: 本文系米扑博客原创、转载、摘录,或修订后发表,最后更新于 2019-12-09 19:23:32
侵权处理: 本个人博客,不盈利,若侵犯了您的作品权,请联系博主删除,莫恶意,索钱财,感谢!
转载注明: 阿里云网络系列之经典网络和专有网络 (米扑博客)
这个也太专业了,膜拜米扑大佬 》—《