云网络：基础对象与机制
VPC、子网、地址与路径清单
云网络同时包含路由选择和流量授权。先明确 VPC、子网与网络接口，再画出请求和回包路径；安全组、网络 ACL、网关与主机规则的状态语义应按具体平台分别确认。
VPC与子网
云网络子网把VPC地址空间划分为可关联路由表和ACL的范围，私有地址可用于隔离通信，但“私有子网”并不自动代表所有出入流量安全。是否有互联网路径取决于路由、网关、地址和权限组合。工作表选10.40.0.0/16与两个/24，不与真实组织地址绑定；部署前必须评估公司/对等/VPN网段冲突。
五元组诊断入口
云网络五元组包含源地址、源端口、目标地址、目标端口与协议，是检查过滤和回包的最小描述。客户端49152访问数据库5432时，返回包目标是49152而不是5432。读者以后可通过授权平台查看流日志、路由和DNS证据。静态工作表只能说明规则推理，不能证明真实接口已关联。
保留地址与暴露边界
云网络地址边界中192.0.2.0/24与example.invalid用于文档说明，不是可部署公网配置；读者必须替换并重新授权。数据库示例没有公网IP与互联网默认路由，不能靠添加安全组规则直接从公网访问。IPv6需要单独的地址和路由/过滤审计，不能以IPv4没有0.0.0.0/0就宣称无公网暴露。
本篇练习与参考解答
练习：“私有子网”是否自动阻止所有外部流量？
参考解答
不是。路由、网关、地址、过滤和跨网连接共同决定可达性，IPv6还需要独立审计。
核对资料与相邻阅读
路由、安全组、ACL 与 DNS
先明确子网/网卡关联、路由、安全组与 NACL，再对照配套示例理解5432 请求与客户端临时端口的回包规则。
核对日期2026-10-17；适用范围：以AWS VPC/EC2 2016-11-15 API对象模型为固定示例，核对2026-10-17官方中英文网络ACL/安全组资料；不是跨云通用配置或云端当前最新部署模板。示例未执行；真实环境仍需验证产品配置、权限、连通与恢复结果。先读起点理解前置，再按章节完成推演。
路由选择与下一跳
云网络路由选择先在源子网关联路由表按最长前缀匹配，选目标下一跳，再核对返回子网路由。路由描述去哪里，不负责放行身份或端口；安全组放行也不会生成缺失路由。课堂app/db均用10.40.0.0/16 local，实际跨VPC路径还需对等、传递网关或VPN双方路由及不重叠地址。NAT允许特定出站与回流，不能自动提供任意入站访问。
有状态安全组与无状态ACL
云网络安全组在AWS示例中是有状态允许规则，关联接口/实例控制访问，已建立连接的返回流量按状态处理。NACL作用在子网，允许与拒绝规则按编号升序首匹配，无状态所以回包也要显式许可。课堂5432出站成功还需反向临时端口49152通过；ACL末尾隐式拒绝。不同云产品的ACL语义应另查，不能把此有状态结论无条件照搬。
DNS解析与缓存边界
云网络DNS解析必须核对使用的解析器、私有zone关联、名称答案及TTL。db.lab.example.invalid在工作表中指10.40.2.10，文件并未创建真实zone；TTL60是缓存约定，不保证应用一定60秒重查。私有名称解析成功不等于目标可达，路由成功也不保证解析正确。AWS AmazonProvidedDNS有平台特殊处理，NACL不能用来笼统阻断该解析器，应按DNS防火墙等实际机制设计。
本篇练习与参考解答
练习：安全组有状态时NACL可省略回程许可吗？
参考解答
不能。NACL无状态，返回包仍须按目标临时端口和网段匹配规则，两个层独立评估。
核对资料与相邻阅读
本节沿用本页资料与示例入口。
继续阅读
- 开发与配置实践
- 开发与配置实践
- 开发与配置实践