如何阻止Terraform将预留虚拟IP分配给AWS其他资源？

1. 在子网级别配置IP排除范围 #

AWS允许在子网中指定需排除的IP地址范围，这些IP不会被自动分配给EC2、RDS、EFS等资源。在Terraform中，可通过aws_subnet资源的ipv4_cidr_block_exclusions参数实现：

resource "aws_subnet" "private_subnet" {
  vpc_id            = aws_vpc.main.id
  cidr_block        = "10.0.1.0/24"
  availability_zone = "us-east-1a"

  # 排除预留的虚拟IP范围，示例为10.0.1.100-10.0.1.105
  ipv4_cidr_block_exclusions = [
    "10.0.1.100/30", # 覆盖10.0.1.100-10.0.1.103
    "10.0.1.104/31"  # 覆盖10.0.1.104-10.0.1.105
  ]
}

配置后，子网的IP池会自动跳过这些范围，Terraform创建的自动分配IP的资源（如RDS、应用服务器）不会获取到预留IP。

2. 为PCS集群虚拟IP创建专用网络接口 #

针对需要固定使用的VIP，直接创建弹性网络接口（ENI）并指定私有IP，确保该IP被标记为已占用，不会分配给其他资源：

# 为PCS集群创建专用ENI，绑定预留VIP
resource "aws_network_interface" "pcs_vip_eni" {
  subnet_id       = aws_subnet.private_subnet.id
  private_ips     = ["10.0.1.100"] # 预留的VIP地址
  security_groups = [aws_security_group.pcs_sg.id]
}

后续可将该ENI附加到PCS集群节点上，实现高可用性切换。

3. 用Terraform变量统一管理预留IP范围 #

将预留VIP范围定义为变量，方便统一维护和重复引用，避免配置分散：

variable "reserved_vip_ranges" {
  type        = list(string)
  description = "PCS集群预留的虚拟IP范围"
  default     = ["10.0.1.100/30", "10.0.1.104/31"]
}

resource "aws_subnet" "private_subnet" {
  vpc_id            = aws_vpc.main.id
  cidr_block        = "10.0.1.0/24"
  availability_zone = "us-east-1a"

  ipv4_cidr_block_exclusions = var.reserved_vip_ranges
}

验证配置有效性 #

部署完成后，可通过AWS CLI检查子网的IP排除配置是否生效：

aws ec2 describe-subnets --subnet-ids <你的子网ID> --query 'Subnets[0].Ipv4CidrBlockExclusions'

内容的提问来源于stack exchange，提问作者Dhanushka Ekanayake