如何在AWS VPC中识别公有与私有子网？路由表的作用是什么？

当子网命名不规范时，最可靠的判断方式是看路由表关联的路由规则，辅助结合子网的IP分配设置，具体方法如下：

核心判断方法：检查路由表 #

• 公有子网的关联路由表中，必然存在一条默认路由（目标为0.0.0.0/0或IPv6的::/0）指向Internet Gateway（IGW）。这条规则意味着子网内的资源可以直接和互联网双向通信。
• 私有子网的关联路由表中，没有指向IGW的默认路由。如果私有子网需要访问互联网，路由表会指向NAT网关/VPN连接/Direct Connect；如果完全不需要外部访问，甚至可能没有默认路由。

辅助判断：子网的公有IP自动分配设置 #

• 公有子网通常开启了「自动分配公有IPv4地址」选项，创建EC2实例时会自动分配公有IP；私有子网一般关闭这个选项。
• 注意：这个不是绝对标准——有些场景下私有子网也可能开启该选项，但只要路由表没有指向IGW的默认路由，实例依然无法被互联网直接访问，本质还是私有子网。

用CLI快速查询（可选） #

如果你习惯用命令行，可以通过AWS CLI快速验证：

1. 查询子网的基本信息，查看MapPublicIpOnLaunch字段和关联的路由表ID：

   aws ec2 describe-subnets --subnet-ids <子网ID>
   

2. 根据路由表ID查询路由规则，确认是否有指向IGW的默认路由：

   aws ec2 describe-route-tables --route-table-ids <路由表ID>
   

路由表是AWS VPC中控制子网流量走向的核心组件，每个子网必须关联至少一个路由表（默认关联VPC的主路由表），它的作用直接定义了子网的「公有/私有」属性：

• 对于公有子网：路由表的默认路由指向IGW，打通了子网与互联网的双向通信——子网内的资源可以主动访问互联网，同时互联网也能访问这些资源（前提是安全组、网络ACL放行对应流量）。
• 对于私有子网：路由表通过配置指向NAT网关的默认路由，让子网内的资源可以主动发起互联网请求（比如下载包、调用外部API），但互联网无法主动访问子网内的资源；如果配置指向VPN/Direct Connect的路由，则实现了与企业内部网络的通信。
• 路由规则遵循「最长前缀匹配」原则，具体的网段路由会优先于默认路由，确保流量按预期路径转发。

内容的提问来源于stack exchange，提问作者Rahul Malpe