目录

VPC（虚拟私有云/网络）

VPC（Virtual Private Cloud，虚拟私有云）是一个容易让人误解的称谓，是云？是网？让人迷惑。其实，从服务的角度来看是云；而从技术的角度来看是一种网络模式。

VPC 最早由 AWS 在 2009 年提出，不过 VPC 的一些组成元素（网络、存储、计算）在其提出之前就已经存在。VPC 只是将这些元素以私有云的视角重新包装了一下，单一用户的云主机只能使用 VPC 内部的元素。所以 VPC 的本质是公有云服务商以打包的形式提供服务。

用户可以在公有云上创建一个或者多个 VPC，每个部门一个 VPC，对于需要连通的部门创建 VPC 连接。同时，用户也可以通过 VPN 将自己内部的数据中心与公有云上的 VPC 连接，构成混合云。不论哪种用例，VPC 都以更加直观形象让用户来设计如何在公有云上存放自己的数据。

• AWS VPC
  

• 阿里云 VPC
  

• OpenStack VPC
  

从服务的角度来看 VPC 是一种服务

云计算可分为公有云、私有云、和混合云，但 VPC 这三者都不是。

VPC 是一种运行在公有云上，将一部分公有云资源为某个用户隔离出来，给这个用户私有使用的资源的集合。它由公有云管理，但是保证每个用户之间的资源是隔离，用户在使用的时候不受到其他用户的影响，用户可以要求享受管理面、数据面、故障面的三重隔离，感觉就像是在使用自己的私有云（孤岛）一样。

VPC 有两种硬件租用模式，共享（Shared）和专属（Dedicated）。前者指 VPC 中的虚拟机运行在共享的硬件资源上；后者是指 VPC 中的虚拟机运行在专属的硬件资源上，不同 VPC 中的虚拟机在物理上是隔离的，同时 VPC 还帮助实现了网络上的隔离。专属模式相当于用户直接向公有云服务商租用物理主机，适合对数据安全比较敏感的用户。

专属 VPC 与私有云的多租户隔离有本质的区别，多租户隔离是为了 “共享” 底层基础架构的物理资源，只能做到管理面和数据面的隔离，做不到故障面的隔离（因为物力资源是共享的）。

从技术的角度来看 VPC 是一种网络模式

在 VPC 内，有多个 AZ（Available Zone，可用域）。用户可以自由定义 Subnet 划分、IP Address 和路由策略，可提供网络 ACL 及安全组的访问控制。以 AWS VPC 为例，一个 VPC 会提供一个 Internet GW，用于 NAT、LB、VxLAN Routing。还会提供一个 VPC GW，通过 IPSec VPN 接入 VPC 和企业远程上云（Cloud Onboarding）的业务。

现代的 VPC 主流都基于 VxLAN、IP in IP 或 VLAN in VLAN（QinQ）等类似的 Overlay 技术来实现。以 VxLAN 为例，能够支持 1600 万个 VPC 实例，才足以支撑云计算海量的客户增长。

Overlay 网络的核心思想是利用隧道封装协议在底层网络上构建虚拟网络，底层网络负责提供转发通道，虚拟网络作为业务网络对外呈现。虚拟网络和物理网络分层解耦，虚拟网络按需部署业务，物理网络一次性配置完成后不再变化。

简而言之，VPC 是用户专属的一个二层网络，是一个构建在 L3 之上的 L2 Overlay 网络。VPC 的数据封装与 VxLAN 之类的 Overlay 网络技术很类似，原始的二层帧，被 VPC 标签封装，之后再封装到另一个 IP 数据包内。

VPC 虽然指的是专有二层网络，但是跟网络配套的资源有很多，这些网络资源都是以 VPC 作为单位划分。定义在一个 VPC 内的网络资源，只能被这个 VPC 内的虚机使用。这些网络资源包括：Security Group、Subnet、Network ACL、Routing Table、Router。

Amazon VPC

Amazon VPC 是 AWS Cloud 的一个逻辑隔离概念，可以跨域 Region 中的多个 AZs 构建一个 VPC。

用户可以在 VPC 中定义自己的虚拟网络资源，包括：

• Subnet
• Router
• Routing Table
• ACL
• Security Group
• 等

同时，VPC 支持多种外部接入方式，包括：

• Internet Gateway
• NAT Gateway
• Encrypted VPN
• 等

Amazon VPC 的 Overlay 技术

Amazon VPC 拥有自己专属的 Overlay 封装技术 —— Mapping Service。

当虚机之间要通信的时候，请求先发到 Mapping Service，再由它找到目的虚机对应的信息（e.g. 目的虚机所在的主机 IP 地址），Mapping Service 用对应的信息，封装成 Overlay 网络包，再进行传输。

这里的 Mapping Service，与 SDN Controller 的作用可以说是一样的。SDN Controller 掌握了所有的网络信息，当需要进行 L2、L3 通信时，SDN Controller 会根据网络数据包下发 OpenFlow 流表，使得虚机之间直接通信。

Mapping Service 还是一个分布式的 SDN 控制器，因为每个主机上都有一个 Mapping Service 的缓存。通过这种分布式，可以实现高速运算处理。

今天的文章AWS — VPC 虚拟专用云分享到此就结束了，感谢您的阅读。