网络规划设计

在使用火山引擎部署云产品之前，您需提前规划好网络信息，以便后续业务快速、准确的部署上云。

什么是私有网络

一个私有网络至少由私有网络网段、子网和路由表三部分组成。

• 私有网络网段
  您在创建私有网络时，需要指定私有网络使用的网段。

• 子网
  子网为云上资源提供私网IP地址，因此云上资源（例如云服务器、负载均衡等）创建时必须选择子网。您可以为每个私有网络划分一个或多个子网，子网网段必须在私有网络网段内。
  同一私有网络中各子网默认私网互通，不同私有网络间默认私网隔离。

• 路由表
  创建私有网络时，系统会自动生成一个默认路由表，以保证同一私有网络中各子网私网互通。当默认路由表中的路由规则无法满足您的业务需求时，可创建自定义路由表。

规划地域和可用区

地域（Region）是指物理数据中心所在的不同地理地域，不同地域之间私网完全隔离。可用区（Availability Zone）是指同一地域中电力、网络隔离的物理地域，同一私有网络内，可用区之间内网默认互通。

在实际操作中，云资源和私有网络应当部署在同一地域，并根据实际情况部署在同一可用区或不同可用区内。

• 同一可用区：如果您的业务有低延时的需求，且业务对容灾能力要求不高，可把实例部署在同一地域同一可用区。
• 不同可用区：如果您的业务需具备较高的容灾能力，可把实例部署在同一地域不同可用区。
  

规划私有网络数量

创建私有网络之前，需要根据实际业务需求规划相应的私有网络、子网的数量。同一地域下可创建多个私有网络，每个私有网络中可创建多个子网，不同私有网络之间网络隔离，不可互通。

• 私有网络数量
  • 单个私有网络：当各业务间没有网络隔离需求，且无需进行多地域部署，此时仅使用一个私有网络即可满足业务需求。
  • 多个私有网络：当各业务之间需进行网络隔离时，如生产环境和测试环境之间就要进行网络隔离，或者需要在多个地域部署业务时，需要根据业务使用多个私有网络。
• 子网数量
  子网是私有网络内独立的IP地址块，私有网络内云资源实际上均部署在子网内。每个私有网络均可创建多个子网，同一私有网络内的多个子网，具有私网互通的特性。子网具有可用区属性，同一个私有网络内的不同子网，可创建在不同的可用区下。
  仅有一个私有网络的场景，也推荐您至少创建2个子网，并且这2个子网分别创建在不同的可用区下，以便实现跨可用区容灾。可用区之间网络、电力相互隔离，当一个可用区停电，可将业务切换至另一个可用区，确保业务正常运行。

规划网段

• 规划私有网络网段
  私有网络支持的网段如下表，如果私有网络不需要与本地数据中心网络通信，可以选择下表任何一个网段或其子网。

  网段	最大可用私有网络IP数量（不包括系统预留地址）
  10.0.0.0/8~24	16,777,213
  172.16.0.0/12~24	1,048,573
  192.168.0.0/16~24	65,533

  如果私有网络需要与本地数据中心网络或其他私有网络通信，建议使用上表中网段的子网，但掩码不建议超过16位，并且须确保私有网络的网段与待通信本地数据中心网络网段或其他私有网络网段无重叠。
  规划私有网络网段时，需考虑所选网段的可用IP数量，是否可以满足业务需求。

• 规划子网网段

  • 子网网段必须在所选私有网络网段范围之内，同一个私有网络内建议根据业务模块划分子网网段。
  • 子网网段的大小要在/16～/29位网络掩码之间，可提供8～65536个IP地址。
  • 每个子网网段有3个系统保留IP，分别是第一个、第二个和最后一个。如子网网段为192.168.2.0/24为例，系统保留地址为192.168.2.0、192.168.2.1、192.168.2.255。
  • 规划子网网段时需考虑所选网段的IP数量，是否可以满足后续IP需求。

• 网段规划原则

  • 尽量确保不同私有网络的网段互不相同，可以使用规定私有网络网段的子网增加私有网络的可用网段数，如10.0.1.0/24、10.0.2.0/24、10.0.3.0/24。
  • 若无法确保私有网络的网段互不相同，尽量确保不同私有网络的子网网段互不相同。
  • 若无法确保私有网络的网段互不相同且不同私有网络的子网网段互不相同，尽量优先确保需要连接通信的子网网段不相同。

规划路由表和安全组

• 规划路由表

  • 若无需对子网流量进行管控，由于同一私有网络的私网互通，仅使用系统生成的默认路由表即可。
  • 若需要对子网的流量进行管控，可以创建自定义路由表，配置相关路由策略，实现灵活的网络管理。

• 规划安全组

  • 创建私有网络时，系统会为当前私有网络创建一个默认安全组，默认安全组的规则是在出方向上的数据报文全部放行，入方向访问受限。
  • 安全组内的云服务器实例无需添加规则即可互相访问，您也可以根据需要创建自定义的安全组。