为何AWS VPC中/24掩码子网范围及指定子网配置无效？

一、为何与VPC同掩码（/24）的子网在AWS VPC中无效？ #

AWS VPC对子网CIDR有两个硬性约束：

• 子网CIDR必须是VPC CIDR的严格子集，也就是子网的掩码长度必须大于VPC的掩码长度，地址范围必须小于VPC整体范围
• 每个子网需要预留5个IP给AWS系统使用（网络地址、VPC路由器地址、DNS服务器地址、预留备用地址、广播地址）

如果子网使用和VPC完全相同的/24 CIDR，相当于子网覆盖整个VPC范围，既违反了子网必须是更小地址段的划分逻辑，也无法为AWS预留必要的系统IP，因此这类配置会被AWS直接拒绝。

二、你配置的/30子网为何无效？ #

你配置的子网CIDR是10.0.0.0/30，这个地址段总共只有4个IP（10.0.0.0~10.0.0.3），但AWS会为每个子网强制保留全部4个IP：

• 10.0.0.0：子网网络地址
• 10.0.0.1：VPC路由器专属地址
• 10.0.0.2：AWS DNS服务器地址（固定为VPC CIDR的第二个IP）
• 10.0.0.3：子网广播地址

这意味着该子网没有任何可用IP可以分配给EC2实例、数据库等业务资源，AWS不允许创建这种无法部署资源的空子网，因此配置无效。

修复建议 #

• 若需覆盖大部分VPC地址的子网，可使用10.0.0.0/25（掩码长度25，范围10.0.0.0~10.0.0.127），既满足子网是VPC子集的要求，又能提供122个可用IP
• 对于仅需少量IP的场景，最小可用的子网掩码是/28（共16个IP，其中11个可用），完全能满足小型资源部署需求

内容的提问来源于stack exchange，提问作者Boris