AWS VPC 网络实战：从零搭建安全隔离的云端私有网络（子网/路由/NAT/安全组完整教程 2026版）
Meta Description: 2026最新AWS VPC实战教程：从零创建VPC、公有/私有子网、路由表、NAT Gateway与安全组，掌握Internet Gateway、VPC Endpoint、对等连接配置方法，含控制台+CLI双实操、公网方案价格对比表和常见问题FAQ，一次搞懂AWS…
- 前言
- VPC 是什么：一张表看懂 AWS 网络全家桶
- 费用真相：VPC 哪些免费、哪些悄悄收费
- 实操一：控制台从零创建 VPC 与子网（15 分钟）
- 实操二：三种公网访问方案与价格对比
- 实操三：安全组 vs 网络 ACL，两道防线怎么配
- 实操四：CLI 一把梭——用 aws cli 十分钟重建整套网络
- 五个新手最容易踩的 VPC 坑
Meta Description: 2026最新AWS VPC实战教程：从零创建VPC、公有/私有子网、路由表、NAT Gateway与安全组，掌握Internet Gateway、VPC Endpoint、对等连接配置方法，含控制台+CLI双实操、公网方案价格对比表和常见问题FAQ，一次搞懂AWS网络架构避坑指南。
关键词：AWS VPC、AWS子网、NAT Gateway、安全组、网络ACL、VPC对等连接、Internet Gateway、AWS网络架构、VPC Endpoint、AWS免费套餐
前言
先给结论：VPC、子网、路由表、安全组、网络ACL 全部永久免费，真正花钱的是"出网方式"——同可用区互通免费、跨可用区约 $0.01/GB、出公网约 $0.09/GB，而最坑钱的是 NAT Gateway（约 $0.045/小时 + $0.045/GB 处理费，一台每月轻松 $40+）。 VPC（Virtual Private Cloud，虚拟私有云）是 AWS 网络的"地基"：你开的每一台 EC2、每一个 RDS 数据库、每一条 Lambda，最终都跑在某个 VPC 里。子网怎么划、路由怎么走、谁能进谁能出，直接决定你的架构安全性和每月账单。本文用 4 套实操（控制台 + CLI）、3 张价格/对比表和 5 个高频坑，带你从零搭出一套生产可用的 AWS 网络。还没账号的新手，建议先读本站《2026 最新 AWS 免费套餐注册教程》完成注册再动手。
一、VPC 是什么：一张表看懂 AWS 网络全家桶
VPC 可以理解为 AWS 给你划出的一块"虚拟私有园区"：网络空间（CIDR）、出入口（网关）、内部道路（路由表）、门禁（安全组/ACL）全部由你控制，和 AWS 其他租户完全隔离。核心对象一共 8 个：
| 概念 | 是什么 | 典型场景 | 类比 |
|---|---|---|---|
| VPC | 私有网络空间，用 CIDR 划地址段（如 10.0.0.0/16） | 一个项目/一个环境一个 VPC | 园区 |
| 子网（Subnet） | VPC 内的地址段切片，绑定到具体可用区 | 一个可用区至少一个子网 | 楼栋 |
| 路由表（Route Table） | 定义子网内流量往哪走 | 公有子网指向 IGW，私有子网指向 NAT | 路牌 |
| Internet Gateway（IGW） | VPC 连接公网的出入口 | 让实例获得公网访问能力 | 园区大门 |
| NAT Gateway | 私有子网实例"借道"访问外网，但不暴露入站 | 后台服务器出站更新软件包 | 门卫代收件 |
| 安全组（SG） | 实例级有状态防火墙 | 只放行 80/443 到 Web 服务器 | 每户门禁 |
| 网络 ACL（NACL） | 子网级无状态防火墙 | 整层封禁某 IP 段 | 楼栋闸机 |
| VPC Endpoint | 私有访问 S3/DynamoDB 等托管服务，不走公网 | 内网直连 S3、API Gateway | 园区内部快递通道 |
一句话记忆：VPC 划地，子网分块，路由指路，IGW 出门，NAT 代购，SG 管户，ACL 管楼，Endpoint 走内部通道。
二、费用真相：VPC 哪些免费、哪些悄悄收费
新手最常犯的错，是把"VPC 免费"理解成"网络全部免费"。实际计费分三层：
- 永久免费：VPC、子网、路由表、安全组、网络 ACL、Internet Gateway、VPC 对等连接（同区域）；
- 按量收费：NAT Gateway（小时费 + 流量费）、VPC Endpoint（小时费 + 流量费）、弹性 IP（闲置时收费）、Site-to-Site VPN、Transit Gateway；
- 流量费：出公网约 $0.09/GB（美东 1 区前 10TB），跨可用区约 $0.01/GB，同一可用区内互通免费，入站免费。
| 网络组件 | 计费方式 | 参考月成本（美东 1 区） | 免费吗 |
|---|---|---|---|
| VPC / 子网 / 路由表 | 无 | $0 | ✅ 永久免费 |
| 安全组 / 网络 ACL / IGW | 无 | $0 | ✅ 永久免费 |
| 弹性 IP（EIP） | 闲置按小时 | 约 $3.6/个（未绑定实例时） | ⚠️ 绑定运行中实例才免费 |
| NAT Gateway | $/小时 + $/GB | 约 $33 起 + $0.045/GB | ❌ 收费 |
| VPC Endpoint（接口型） | $/小时 + $/GB | 约 $7.2 起 + 流量费 | ❌ 收费 |
| 出公网流量（Egress） | $/GB | 约 $0.09/GB（前 10TB） | ❌ 收费 |
避坑口诀：NAT Gateway 是网络账单的"隐形杀手"——一台 EC2 才 $10/月，给它配的 NAT 可能比实例还贵。 流量小的实验环境，用"跳板机 + 代理"或 VPC Endpoint 更省钱（详见第四节方案对比）。
三、实操一：控制台从零创建 VPC 与子网（15 分钟）
登录 AWS 控制台，打开 VPC 服务（区域选离你最近的，如 ap-southeast-1 新加坡），按以下步骤操作：
第 1 步：创建 VPC。 点击"创建 VPC"，名称填 prod-vpc，IPv4 CIDR 填 10.0.0.0/16（约 6.5 万个 IP，中小项目足够）。点击"创建 VPC"后，AWS 会自动生成默认路由表、默认网络 ACL 和默认安全组。
第 2 步：创建子网。 在左侧菜单点"子网 → 创建子网"，选择刚建的 VPC，创建两个子网：
- 公有子网：名称
prod-public-1a，可用区选 ap-southeast-1a，CIDR 填10.0.1.0/24； - 私有子网：名称
prod-private-1a，同一可用区，CIDR 填10.0.2.0/24。
第 3 步：让公有子网"通电"。 创建 Internet Gateway，命名 prod-igw，创建后"附加到 VPC"；然后编辑公有子网关联的路由表，添加一条路由：目标 0.0.0.0/0，目标类型选 Internet Gateway，选中刚建的 IGW。此时公有子网内的实例已经可以拥有公网 IP 并出网。
第 4 步：启用自动分配公网 IP。 选中公有子网，点"操作 → 编辑子网设置"，勾选"启用自动分配公有 IPv4 地址"。这样以后在公有子网里启动的 EC2 会自动获得公网 IP，不用手动绑定。
第 5 步：验证。 在公有子网启动一台免费套餐 t2.micro 测试机，SSH 登录后执行 curl ifconfig.me，能返回公网 IP 即代表网络通路正常。测试完记得终止实例，避免产生费用。
四、实操二：三种公网访问方案与价格对比
私有子网里的实例（比如数据库、后台 Worker）需要访问外网更新软件包、调第三方 API，但又不希望被公网直接访问。三种主流方案对比如下：
| 方案 | 原理 | 月成本参考 | 适合场景 |
|---|---|---|---|
| 方案 A：公有子网 + EIP | 实例直接挂在公网，用安全组收紧入站 | 约 $0（EIP 绑定实例免费） | 必须被公网访问的 Web/API |
| 方案 B：私有子网 + NAT Gateway | 出站经 NAT 转发，入站全封闭 | 约 $33 起 + $0.045/GB | 需要频繁出站更新的后台服务器 |
| 方案 C：VPC Endpoint | 通过 AWS 内部网络直连 S3/DynamoDB 等托管服务 | 网关型免费，接口型约 $7.2 起 + 流量费 | 只访问 AWS 托管服务的场景 |
选型建议（决策口诀）：要被外面访问 → 方案 A；要出公网但不想被访问 → 方案 B；只连 S3/DynamoDB 等 AWS 服务 → 方案 C，流量小千万别上 NAT。 举例：一台每天只出站 100MB 的爬虫服务器，NAT 月成本约 $34，而如果它只需要读写 S3，换成 VPC Endpoint 网关型（S3 网关型 Endpoint 完全免费）后，月成本直接归零。这是 AWS 账单里最容易被忽略的省钱点。
五、实操三：安全组 vs 网络 ACL，两道防线怎么配
安全组（SG）和网络 ACL（NACL）是 AWS 网络的两道门禁，很多人分不清。记住三条区别：SG 是实例级、有状态、默认全拒、只写允许规则；NACL 是子网级、无状态、需要成对写允许和返回规则、有优先级编号。 生产环境建议"SG 为主、NACL 兜底"。
| 对比维度 | 安全组（SG） | 网络 ACL（NACL） |
|---|---|---|
| 作用层级 | 实例级别 | 子网级别 |
| 状态性 | 有状态（返回流量自动放行） | 无状态（必须显式放行返回流量） |
| 默认规则 | 拒绝所有入站/出站 | 默认放行全部（自定义时全部拒绝） |
| 规则评估 | 全部规则合并评估，无优先级 | 按编号从小到大，先匹配先生效 |
| 收费 | 免费 | 免费 |
Web 服务器的安全组入站规则示例（控制台：EC2 → 安全组 → 入站规则）：
- 类型 SSH、来源
10.0.0.0/16（只允许内网跳板机登录）； - 类型 HTTP、来源
0.0.0.0/0（公网访问 80 端口）； - 类型 HTTPS、来源
0.0.0.0/0（公网访问 443 端口）。
出站规则保持默认放行即可（有状态特性会自动回包）。注意：修改安全组立即生效、无需重启实例，这是排障时最常用的手段——服务不通先检查安全组，再查 NACL，最后查路由表。
六、实操四：CLI 一把梭——用 aws cli 十分钟重建整套网络
控制台点鼠标适合学习，批量建环境一定要用命令行。以下命令用 AWS CLI 重建第三节的整套网络（先安装并配置好 aws configure）：
// 1. 创建 VPC，并记录返回的 VpcId
aws ec2 create-vpc --cidr-block 10.0.0.0/16 --tag-specifications 'ResourceType=vpc,Tags=[{Key=Name,Value=prod-vpc}]'
// 2. 创建 Internet Gateway 并挂到 VPC
aws ec2 create-internet-gateway
aws ec2 attach-internet-gateway --internet-gateway-id igw-xxxxxxxx --vpc-id vpc-xxxxxxxx
// 3. 创建公有/私有子网（记住各自的 SubnetId）
aws ec2 create-subnet --vpc-id vpc-xxxxxxxx --cidr-block 10.0.1.0/24 --availability-zone ap-southeast-1a
aws ec2 create-subnet --vpc-id vpc-xxxxxxxx --cidr-block 10.0.2.0/24 --availability-zone ap-southeast-1a
// 4. 建路由表，把 0.0.0.0/0 指到 IGW，再关联公有子网
aws ec2 create-route-table --vpc-id vpc-xxxxxxxx
aws ec2 create-route --route-table-id rtb-xxxxxxxx --destination-cidr-block 0.0.0.0/0 --gateway-id igw-xxxxxxxx
aws ec2 associate-route-table --route-table-id rtb-xxxxxxxx --subnet-id subnet-xxxxxxxx
// 5. 给私有子网建 NAT Gateway（会创建弹性 IP，记得先分配）
aws ec2 allocate-address
aws ec2 create-nat-gateway --subnet-id subnet-xxxxxxxx --allocation-id eipalloc-xxxxxxxx
完成后用 aws ec2 describe-vpcs 检查状态，用 aws ec2 describe-route-tables 核对路由。切记：NAT Gateway 是按小时计费的，实验完立刻 aws ec2 delete-nat-gateway，否则每月白交 $30+。 想自动化整套环境，还可以把上面命令封装成 Terraform 或 CloudFormation 模板，重复执行不会产生重复资源。
七、五个新手最容易踩的 VPC 坑
坑 1：NAT Gateway 忘记删，账单悄悄涨。 NAT 按小时计费，哪怕没用也在扣钱。最佳实践：实验型 NAT 打上 Name=test-do-not-keep 标签，配合 Cost Explorer 每周扫一次。
坑 2：跨可用区流量费。 数据库和 Web 服务器分在两个可用区没问题（这是高可用标配），但同一应用内部频繁同步数据时，跨可用区每 GB 约 $0.01，流量大了也是一笔钱。设计时把"高频互通的组件"尽量放进同一可用区。
坑 3：安全组规则写错导致全站宕机。 最常见的是只写了入站、没注意出站被改过；或把来源写成了 0.0.0.0/0 的 SSH，暴露 22 端口被暴力破解。生产环境 SSH 来源务必限定内网网段或你的固定 IP。
坑 4：CIDR 规划不合理，后期无法扩展。 一开始就建 /16 而不是 /24 没错，但子网分配要留余量：每个可用区留一半地址空间给未来扩容，避免"想加机器发现 IP 不够"。
坑 5：忘了 VPC 默认限制。 每个区域默认 VPC 数量上限 5 个、每个 VPC 默认 200 个子网，大项目可以提工单申请提高配额，别等到建不进去才慌。
八、常见问题 FAQ
Q: VPC 收费吗？ A: VPC、子网、路由表、安全组、网络 ACL、Internet Gateway、同区域 VPC 对等连接全部免费。收费的只有 NAT Gateway、VPN、Transit Gateway、VPC Endpoint、闲置弹性 IP 和数据传输流量。
Q: 免费套餐包含 VPC 吗？ A: VPC 属于永久免费服务，不占用 12 个月免费套餐额度。免费套餐里的 750 小时 EC2 实例照常需要放在某个 VPC 里运行，建议用默认 VPC 或按本文第三节自建。
Q: 私有子网的实例怎么上网？ A: 三种方式：① 建 NAT Gateway（最常用，收费）；② 用一台公有子网的跳板机做代理（省钱但要多维护一台机器）；③ 只访问 AWS 托管服务时用 VPC Endpoint（S3、DynamoDB 的网关型 Endpoint 免费）。
Q: 安全组和网络 ACL 都要配吗？ A: 建议都配，但职责不同：安全组管"具体实例放行什么"，网络 ACL 管"整个子网拒绝什么"。小项目只配安全组就够，生产环境建议 NACL 封禁高危端口、SG 精细放行。
Q: 不同 VPC 之间怎么互通？ A: 同区域用 VPC 对等连接（免费、配置简单）；跨区域用 VPC Peering 或 Transit Gateway；跨账号用 Transit Gateway 或 PrivateLink。对等连接不支持传递，A-B-C 三个 VPC 两两互通必须建三条对等连接。
Q: 出公网流量怎么省钱？ A: ① 能用 VPC Endpoint 就别走公网；② 流量大的业务选流量单价低的区域或走 CloudFront 缓存；③ 跨可用区高频同步改同区部署；④ 给 S3 上传下载用网关型 Endpoint，完全免费。
总结
AWS VPC 一句话口诀：VPC 划地免费，子网绑定可用区，路由决定方向，IGW 管公网、NAT 管出站、Endpoint 管内联，SG 按实例放行、NACL 按子网兜底；NAT Gateway 用完即删，跨区流量能省则省。 网络是云上一切服务的地基，按本文第三节 + 第六节各实操一遍，控制台和 CLI 两条路你都能独立走通。配套阅读：网络搭好之后，选实例看《AWS EC2 选购教程：实例类型/预留实例/Spot 实例省钱攻略》，管权限看《AWS IAM 权限管理实战》，想做无服务器架构参考《AWS Lambda 无服务器实战》。
⚠️ 文中价格为 2026 年参考价，实际费用随区域、实例类型和官方调价变动，请以 AWS 官网定价页为准。
🚀 需要 AWS 国际版账号？通过 3.chengzicloud.cloud 获取最新注册教程与专属优惠，助你轻松上云。
本文由 3.chengzicloud.cloud 提供，点击访问首页了解更多