一、先把名字掰正

VPC 的全称是 Virtual Private Cloud，中文一般译作"虚拟私有云"。

这个名字里最容易误解的是"私有"两个字——它不是说"这台机器只归你一个人"（那是 3-11 里"物理独占"那类做法），而是说"这张网只归你一家用"：网段是你划的、谁能进来是你定的、内部怎么互访也是你配的。

而"虚拟办公室"这个说法，来自它的实际用途。 把公司内网的那套规矩整个搬到云上之后，会发生这么几件事：

• 你在家里打开电脑连上云，看到的网络结构和在公司里一模一样——同样的地址段、同样的访问规则。
• 那些只对内开放的服务器（数据库、内部系统），在外面依然访问不到，跟坐在公司里一样。
• "办公室"的边界从物理位置变成了规则——不再由"你在不在那栋楼里"决定，而是由"你有没有通过认证、符不符合规则"决定。

所以"虚拟办公室"这个词描述的是效果，不是技术。 技术上它就是一块网络配置。

二、VPC 里有什么：和公司内网一一对应

这张表说明一件事：云上的网络不是"配置一下就能用"，而是"要从头设计"。 六行里每一行都对应一个要做出的决定。

其中最需要理解的是第二行——"子网（公有/私有）"：

• 公有子网：里面的机器可以直接和互联网通信。一般只放必须对外的东西——比如对外的网站、跳板机。
• 私有子网：里面的机器不能直接连互联网，要出去必须经由 NAT 网关。数据库、应用服务器通常都放这里。

这个区分是整套安全设计的地基： 因为"不能直接连外网"是单向的——外网也就进不来。 这一条比任何防火墙规则都简单可靠，因为它不是"配了一堆规则说谁不能进"，而是这条路本身就不通。

第六行也值得单独说： 它对应的是"公司网络和云上网络怎么连"。如果只是偶尔访问，用 VPN 就够（延迟 20~60 ms）；如果业务上断了会立刻出事，就要用专线（延迟 2~10 ms）——这个选择在第二章 2-3 里算过。

三、划一次网段：10.0.0.0/16 怎么切

VPC 的第一件事是选网段。 这件事必须想清楚，因为网段一旦被大量使用，改起来非常麻烦（所有机器都要重新配）。

假设选 10.0.0.0/16——这个写法里的 /16 表示前面 16 位是固定的，剩下的 16 位可以自由分配，所以一共有 2 的 16 次方 = 65,536 个地址。

切成 4 个 /18（每块 2 的 14 次方 = 16,384 个地址）：

四个子网的起点怎么算出来的，值得看一眼： 每块 16,384 个地址，所以第二块的起点是 0 + 64（因为 16,384 ÷ 256 = 64，而第三段数字是按 /16 的第三段来算的），也就是 10.0.64.0；第三块 10.0.128.0；第四块 10.0.192.0。这个"64 一格"的规律，来自 /18 把第三段的前两位拿走了。

划网段有三个实践经验：

• 按用途划，不按机器划——"对外的、应用的、数据的"这三类分开放，因为它们的访问规则不同。
• 留一块空的——子网 D 就是留白。VPC 里加子网比改子网容易得多，所以一开始别划满。
• 地址别抠——私有地址段本来就是给你随便用的（10.x.x.x 这类地址在互联网上不可路由），所以没必要算得太紧。留足余量比省地址重要。

四、动手 Demo：VPC 的结构与网段划分

# 10.0.0.0/16 切成 4 个 /18
total, each = 2 ** 16, 2 ** 14
print("/16 共有 {:,} 个地址".format(total))
print("切成 4 个 /18，每块 {:,} 个".format(each))
print("4 × {:,} = {:,}，正好填满".format(each, each * 4))

实跑输出：

==================================================================================================
D14 虚拟办公室的实现：VPC 到底是什么
==================================================================================================
  【一】先把名字掰正
     VPC 的全称是 Virtual Private Cloud（虚拟私有云）。
     它不是【虚拟的办公室】，而是你在云上圈出来的一块私有网络。
     【虚拟办公室】这个说法来自用途：把公司内网那套规矩
     （自己的网段、自己的防火墙、只对内开放的服务器）整个搬到云上，
     于是人在哪儿办公，都像是坐在办公室里连内网。

  【二】VPC 里有什么：和公司内网一一对应

  公司内网                  VPC 里对应                作用
  ----------------------------------------------------------------------------------
  网段规划（192.168.x.x）   CIDR（如 10.0.0.0/16）    先划好地址空间
  按部门划 VLAN             子网（公有/私有）         决定谁能直连外网
  路由器                    路由表                    决定流量往哪走
  防火墙                    安全组与网络 ACL          决定谁能进、谁不能
  上网专线                  互联网网关／NAT 网关      出去的路
  总部与分公司专线          VPN／专线连接             回家里的路

  【三】划一次网段：10.0.0.0/16 怎么切
     /16 一共有 65,536 个地址；切成 4 个 /18，每块 16,384 个。

  子网                  网段                地址数      用途
  --------------------------------------------------------------------------
  子网 A（公有）        10.0.0.0/18         16,384      对外服务、跳板机
  子网 B（私有）        10.0.64.0/18        16,384      应用服务器
  子网 C（私有）        10.0.128.0/18       16,384      数据库
  子网 D（预留）        10.0.192.0/18       16,384      以后扩展

  【四】为什么这件【虚拟】的事很重要
     ① 私有子网里的机器不能直连外网，只能经 NAT 出去——外网进不来。
     ② 安全组默认拒绝，必须先开门才通。
     ③ 于是公司内网那套规矩被原样搬到了云上，人在哪儿都一样。

  【五】2026 现状
     VPC 已经是所有主流云的默认形态，不再是可选功能。
     现在真正要花心思的是【多个 VPC 之间怎么连】——
     对等连接、中转网关，这类东西的复杂度比单个 VPC 高一个档。

读这个输出：第二段那六行是这一节的主体——它把"云上的网络"翻译成了"公司内网里你熟悉的东西"。这个对照的价值在于：如果你理解公司内网（划网段、分 VLAN、配防火墙），那 VPC 就没有新概念，只是换了一套叫法、换了一套界面。

第四段那三条是设计原则，其中第 ① 条最值得记住：私有子网的安全不是靠"规则挡住的"，是靠"路不通"。 这两种做法的可靠性差一个量级——规则可能被改错，路不通不会。

五、⚠️ 2026 现状

• VPC 已经不是可选功能，而是默认形态。主流云的做法是：每个账号一建好就自带一个默认的 VPC，所以你实际上一直在用——只是可能没意识到。
• 复杂度已经从"单个 VPC"转到了"多个 VPC 之间怎么连"。因为一个组织往往有多个账号、多个环境（开发／测试／生产）、多个区域，于是"对等连接、中转网关"这类东西成了新的重点。它们的复杂度比单个 VPC 高一个档——单个 VPC 是"规划一个网段和几个子网"，多 VPC 互联是"规划一张拓扑"。
• "网络设计"在 2026 年成了一项需要提前做的功课。因为云上网络一旦承载了业务，改网段的代价很大（要动所有机器和规则）。所以现在的做法是：项目一开始就把地址规划做在前面，而不是等机器开起来再补。

六、本章到此

第三章从"云计算先把 IT 行业自己改了"起头，一路走到"把公司内网整套搬到云上"。

回头看，这十四节其实在回答四个层次的问题：

• 行业层面：卖方变了（3-1），于是活的性质也跟着换了（3-9、3-10）。这是从【谁在做】到【要学什么】的一条线。
• 工作层面：从想法到能跑的时间被压掉了（3-2），资产的麻烦被拿走了（3-7），人干活的方式变了（3-8）。这一层讲的是"日常怎么不一样了"。
• 账目层面：损益表没变但资产负债表变了（3-6），长期支出要人盯着（3-12），同样的用量有不同的买法（3-11）。这一层是这一章最实用的一层——它把技术好处翻译成了可以比较的数字。
• 技术层面：老技术被换了实现（3-13），新技术因为云而变得可用（3-13），最后全都装进一块网络里（3-14）。

一句话收束这一章：第一章讲的是"云是什么"，第二章讲的是"用云时判断力该花在哪"，这一章讲的是"云把什么改变了"——而它改变的东西，最终都会落到两处：一处是账，一处是人。 账表现在 3-6、3-11、3-12 三节里，人表现在 3-1、3-4、3-7、3-8、3-9、3-10 六节里。这两处合起来，才是"从业务模式到成本"这个副标题的完整意思。

30 秒实验

打开任意一家云服务商的控制台（有免费账号的话，没有就看文档截图），做两件事：

1. 找到网络相关的页面（一般叫"VPC"或"虚拟私有云"），看默认建好的那个 VPC 用的是什么网段。
2. 点进子网列表，看它默认划了几个子网、哪些是公有的。

做完这个，你会对"VPC 是默认形态"这件事有具体感受——它一直就在那儿，只是你在按"起一台机器"的时候没注意过它。而本节想说的是：这个默认值是可以改的，而且应该按你公司的需要去改。

常见误区

1. 错误：VPC 是一个"虚拟的电脑"或"虚拟的办公室"。——纠正：VPC 是一块网络，不是一台机器。它里面可以放很多台机器（实例）、很多种资源。"虚拟办公室"只是它的效果——把内网的访问规整搬到云上，于是人在哪儿都像在公司里。 把 VPC 理解成机器，会导致后面所有配置都理不清（因为机器和网络是两件独立的东西）。

2. 错误：把服务器放在私有子网里，它就安全了。——纠正：私有子网只解决"外网进不来"这一件事。它不解决账号被偷、权限给多了、程序有漏洞这些问题。而且私有子网里的机器如果要访问外网，通常要经过 NAT 网关——NAT 网关本身也是要配、要花钱、也要留意的地方（3-2 里提过它是新账号最容易踩的坑之一）。安全是多层的，"不通"只是第一层。

3. 错误：网段随便选一个就行，反正以后能改。——纠正：能改，但代价很大。网段一旦被大量使用，改它意味着所有机器重新编号、所有规则重新配、所有依赖它的连接重新建——在运行中的系统上做这件事，代价高到多数团队会选择"新建一套"。所以正确的做法是：项目一开始就把地址规划做在前面，而且留足余量（本节第三步的三条经验说的就是这个）。

4. 错误：只用一个 VPC 就够了，多 VPC 是自己找麻烦。——纠正：单账号、单环境确实一个就够——但现实中一个组织通常有多个环境（开发、测试、生产）和多个账号，它们之间需要隔离，而 VPC 是隔离的天然边界。所以"要不要多个 VPC"不是喜好的问题，是有几个需要互相隔开的环境的问题。 只是要注意：多 VPC 之后，互连的复杂度会明显上升（这就 2026 现状里说的那件事）。

• ☐ 下一章（4-1 支撑云服务的技术① 数据中心：数据中心、抗震结构、门禁管理）

相关笔记

• 最新技术的运用 —— 上一篇：那些技术最后放在哪里
• 支撑云服务的技术① 数据中心 —— 下一章起点：云服务到底跑在什么样的地方
• 企业和组织的发展动向 —— 下一章小结：技术换了，角色也要换
• 基本的系统架构 —— 客户端服务器架构在云上的形态
• 利用云服务的注意事项（看得见的地方） —— 区域与可用区，是 VPC 之外的另一层位置概念
• 实际业务中发生的变化 —— "虚拟桌面"与"虚拟办公室"是两件事
• ☁️ 云计算 · 索引 —— 全课路线图