概述

私有网络 VPC 是百度智能云中逻辑隔离的虚拟网络。本文介绍 VPC 的组成部分、使用入口、资源配额、网段规划、网络连通、Internet 访问、VPN 连接、Keepalived 高可用 VIP 服务以及安全组检查等常见问题。

VPC有哪些组成部分?

百度智能云 VPC 由多个不同的服务组成：

1. 子网：您可以自定义私有网络网段、子网网段。

   私有网络(VPC)是百度智能云中逻辑隔离的虚拟网络，从所选的范围内定义 VPC 的 IP 地址空间。子网是 VPC 的 IP 地址范围内的一个区段，其中可放入各组隔离的资源。

2. 安全组

   安全组是一种有状态的包过滤虚拟防火墙，它用于控制单台或多台云服务器的出入流量，可以精确协议和端口维度，定义 IP＋端口的入站和出站访问策略，从而提高云服务器、负载均衡、云数据库等实例的安全性。

3. ACL

   访问控制列表 ACL（Access Control List）是 VPC 内的防火墙组件，用于控制子网级别的安全策略，灵活设置一个或多个子网的流量，满足用户不同网络部署的安全需求。

4. 路由表

   路由表包含一系列路由策略，用于定义私有网络内每个子网的网络流量走向。

5. NAT网关

   Internet 连接：灵活、高性能的 Internet 连接方式包含以下2种：

   • NAT 网关是一项高度可用的网络地址转换 (NAT) 服务，可便于私有子网中的资源访问 Internet。
   • 弹性IP（EIP）是可以独立申请的公网 IP 地址，用于公网访问，支持与实例（如：BCC、DCC、BBC、NAT 网关等）的动态绑定和解绑，主要用于屏蔽实例故障。

6. VPN网关

   部署混合云连接您的数据中心和 VPC。VPN 连接是一种通过公网加密通道连接您的 IDC 和私有网络的方式。

7. 对等连接

   对等连接提供了 VPC 级别的网络互联服务，帮助用户实现在不同虚拟网络之间的流量互通。同用户/不同用户之间都可以实现同区域或跨区域虚拟网络互联。

如何开始使用VPC？

您可以选择在百度智能云控制台或者通过 API 使用 VPC。

• 管理控制台，请参考操作指南。
• API：参考 VPC api。

每位用户可以创建多少个私有网络、子网、路由表、NAT 网关、对等连接、VPN 网关呢？

参见VPC 资源配额，如果您有更多的需要，可在配额管理申请。

VPC 和子网中可以使用哪些 IP 地址范围？

私有网络支持三个网段的内网 IP：172.b.0.0/16（b 属于 16~31）、192.168.0.0/16、10.0.0.0/16。VPC CIDR 可以使用以上三个网段，或者是网段中的一部分。也支持使用公网地址段作为私有网络地址段，建议您谨慎使用公网地址段作为私有网络地址段。

网络块包括的 IP 数 = 2^(32-掩码)，因而 10.0.0.0/16 网络块最多包含 65536 个 IP 地址。

是否可以修改云服务器的内网 IP，如何操作？

可以修改，操作步骤如下：

1. 进入云服务器控制台，点击左导航栏的云服务器 BCC，进入 BCC 列表页。
2. 点击云服务器 ID，进入 BCC 详情页。
3. 点击内网 IP 信息侧的“变更内网 IP”按键。
4. 输入新的 IP，点击确定。需要重启该服务器或进入 BCC 操作系统中重启网卡后，新的 IP 才能更改生效。

百度智能云是否有 VPC 与经典网络之分？

没有，百度智能云基于用户业务和产品安全性的考虑，只提供 VPC 服务。不提供普通和经典网络。

VPC 是否可以与公网/其它 VPC（跨区域跨账号）/用户数据中心通信？

连通需求	百度智能云服务
访问公网	弹性 IP、 NAT 网关（高性能）
其它 VPC	对等连接（支持跨区域和跨账号）
用户数据中心	VPN 连接、专线接入

有一个 VPC ，只想让里面部分资源通过网关出公网，该怎么配置？

方法一：为 VPC 中需要访问公网的资源实例绑定 EIP，该实例即可通过 EIP 访问公网。

方法二：使用 NAT 网关访问公网。将需要访问公网的云服务器放于某个子网内，并在路由表上为该子网配置路由策略，让目的地址为公网的数据包通过 NAT 网关访问。具体操作步骤如下：

1. 创建子网，并将需要访问公网的云服务器放于该子网。在控制台中购买云服务器，在购买网络配置中选择该子网。
2. 购买并配置 NAT 网关，参考操作步骤。
3. 在路由表上为该子网配置路由策略，让目标地址为公网的数据包通过 NAT 网关访问。

在一个 VPC 下，能否在不同可用区内创建云服务器，该如何操作？

可以，但是有两个前提条件：

1. 只能在同一个 VPC 所在区域下的不同可用区下创建。比如，您的 VPC 所在区域是华南-广州，那么您可以创建广州可用区 A 和可用区 B 的云服务器。但是您不可以在该 VPC 中同时创建广州可用区和北京可用区的云服务器。
2. 如果在某个可用区创建云服务器，需要先创建该可用区的子网。

如何将 VPC 与传统数据中心打通?

通过 VPN 或者专线 ET服务，将 VPC 与用户 IDC 网络互通，构建安全、定制的混合云网络，实现原有业务轻松、安全的迁移到云端。

哪些资源可以创建在 VPC 中?

目前可在 VPC 中使用云服务器 BCC、专属服务器 DCC、物理服务器 BBC、弹性公网 EIP、云磁盘 CDS、专线 ET、百度 MapReduce（BMR）、简单缓存服务 SCS、关系型数据库 RDS、负载均衡 BLB 等产品，其他云产品正在逐步支持，请关注官网信息。

VPC 之间能否内网互通？

默认情况下，不同 VPC 之间完全隔离，不同 VPC 内网之间不互通。如需互通，用户可以开通对等连接服务，实现 VPC 之间的高速互联。此外，还可通过 VPN 网关实现内网互通或使用 EIP 实现外网互通。

同一个 VPC 下内网能否互通？

可以互通，同一个 VPC 下各子网默认互通。

没有公有 IP 地址的实例（云服务器、数据库）如何访问 Internet？

可以通过 NAT 网关访问 Internet。通过创建 NAT 网关和配置子网所关联的路由表，子网内的实例即可访问 Internet，请查看详细的操作步骤。

一个 VPC 可以通过 VPN 与多个 IDC 打通么？

可以，目前私网网络可以建立多个 VPN 网关，每个 VPN 网关上建立一个 VPN 通道，这样可以打通多个本地 IDC。

通过VPN连接的私有网络和IDC之间的网络质量如何保证？

私有网络与 IDC 之间走的是公网，依赖公网网络的质量，可能会出现时延、丢包、抖动，如果您需要更加稳定的通信质量，建议您使用专线接入服务。

VPN 后台会全天监控网络质量，包括 keepalive 和网络时延，如果出现网络异常情况会请运维及时处理。您也可以在控制台实时监控 VPN 网关和通道的流量状态，如果发现异常及时与我们联系。

如何在 VPC 中使用 Keepalived 软件搭建高可用虚拟 IP(VIP)服务？

通过如下步骤在 VPC 内搭建 VIP 服务：

1. 在 Keepalived 中设置单播模式，与 peer 建立心跳;
2. VIP 选择本 VPC 网段外的 IP 地址，否则配置路由时无法通过合法性校验;
3. 在本 VPC 路由表中配置实例类型路由，将到VIP的下一跳指向主实例；
4. 在 Keepalived 的 notify 脚本中配置切换动作，在故障时调用路由表API接口删除到 VIP 下一跳为主实例的实例路由，添加到 VIP 下一跳为备实例的路由，实现 VIP 漂移。

如何对安全组配置状况进行定期的全面检查？

您可开通“云顾问 Cloud Advisor”服务，定期获得云上资源在安全、可用性、性能、成本方面的检查报告。报告中包含若干安全组相关检查项目，如：安全组-不受限制的访问、安全组-特定端口不受限制等。了解或开通云顾问服务，请前往 云顾问主页。