合理划分子网是提升VPC安全性的核心手段，需按业务角色、访问需求和信任边界分层隔离：Web层仅开放80/443并接入ALB，应用层只允Web子网入向，数据库子网默认拒绝、仅放行指定IP+端口；区分公有子网（直连IGW）与私有子网（经NAT出网）；按环境、业务线、运维职能划分独立子网；子网掩码不小于/26，避免CIDR重叠，为扩展和互通预留空间。
合理划分子网是提升VPC安全性的核心手段之一，关键不在于数量多，而在于按业务角色、访问需求和信任边界做逻辑隔离。
按业务层级划分子网
把不同职责的组件部署在独立子网中，天然形成网络层隔离。例如：
- Web层子网：仅开放80/443端口，关联公网NAT或ALB，禁止直接SSH访问
- 应用层子网：禁止直接暴露公网，只允许来自Web子网的特定端口入向流量
- 数据库子网：默认拒绝所有入向流量，仅放行应用子网指定IP+端口的连接
这种分层结构让攻击者即使突破前端，也难以横向打穿到数据层。
区分公有与私有子网
明确标识哪些子网需要出公网、哪些必须完全内网化：
- 公有子网：配置路由表指向Internet网关（IGW），用于负载均衡器、跳板机等需公网可达的资源
- 私有子网：路由表不指向IGW，出公网依赖NAT网关，所有云主机无公网IP，避免被直接扫描利用
敏感服务如Redis、Elasticsearch、内部API网关应始终部署在私有子网中。
按环境或团队隔离子网
同一VPC内也可通过子网实现软隔离，降低误操作和越权风险：
- 为开发、测试、预发、生产环境各分配独立子网，配合安全组+网络ACL双重控制
- 不同业务线（如电商、CRM、BI）使用不同子网，便于后续通过路由策略或防火墙做流量审计与限流
- 运维管理子网单独划分，只允许跳板机和堡垒机接入，禁止业务流量混入
预留扩展与避免网段重叠
子网划分要兼顾当前安全需求和未来互通场景：
- 每个子网掩码建议不小于/26（64个可用IP），为弹性伸缩、临时调试、监控探针等留出余量
- 若计划对接本地IDC或其它VPC，提前确认对端网段（如192.168.10.0/24），确保本VPC内所有子网均避开该范围
- 不同子网间禁止CIDR重叠，否则路由冲突会导致通信异常
安全不是靠隐藏，而是靠显式定义“谁可以访问谁”。子网是第一道策略锚点，后续再叠加安全组、网络ACL、路由控制，才能构建纵深防御。
