子网划分通过把云上VPC大网段拆成多个独立小网段，实现地址精细规划和资源隔离，避免IP冲突与越权访问。
云上地址规划为什么离不开子网划分
云上资源不像机房那样有物理机柜天然隔开，所有实例都跑在同一套虚拟网络里，如果不划分子网，几百台云服务器挤在一个大网段，IP地址容易冲突，广播流量互相干扰，安全策略也没法按区域落地，子网划分就像给云资源分房间：Web层一个房间，应用层一个房间，数据库层一个房间，每个房间有独立门牌号段,进出规则单独管理。
行业共识认为，生产环境的数据库子网不应直接暴露公网，而是通过应用子网中转访问,这背后的基础就是子网划分。
云服务器子网划分怎么规划IP地址
规划IP地址不是随便挑一个网段就开始分，要先算清楚三件事：业务要几个隔离区、每个区要多少台云服务器、未来一年可能扩容多少，用CIDR表示法，比如192.168.0.0/16可以拆成多个/24子网，每个/24有254个可用主机地址,去掉网络地址和广播地址。
先确定VPC网段与子网数量
VPC网段一旦创建，修改起来比较麻烦，多数云厂商建议使用私有地址段：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16，假设业务分三层：前端、后端、数据库，前端需要公网访问，后端只被前端调用，数据库只被后端访问，那么至少需要三个子网,每个子网放一个可用区。
- 前端子网：10.0.1.0/24
- 后端子网：10.0.2.0/24
- 数据库子网：10.0.3.0/24
这样每个子网256个地址，去掉保留地址实际可用251个，云厂商通常还会预留几个IP给网关、DNS等服务,所以规划时要留出余量。
用CIDR计算可用主机数
CIDR后面的数字代表网络前缀长度，24表示前24位是网络位，后8位是主机位，2的8次方等于256，减去网络地址和广播地址，可用254，实际云平台上，部分地址会被系统占用，例如简米云VPC交换机中，系统会预留第一个和最后几个地址，所以不要只看理论值,要按厂商说明预留。
预留IP与业务扩容
很多团队犯的错误是只按当前机器数分配地址，结果扩容时发现子网地址不够，比如一个/26子网只有64个地址，去掉保留只剩50多个，业务稍微涨一点就要新建子网，迁移麻烦，建议每个子网至少/24起步，如果预计有大量容器或微服务，直接用/23甚至/22，地址浪费一点没关系，云上私网地址几乎不花钱,但地址不足的迁移成本很高。
子网划分如何实现云上资源隔离
地址规划只是表面，隔离才是核心价值，云上资源隔离靠两层：网络层隔离和访问控制隔离，子网划分让网络层先分开,再配合安全组和网络ACL做细粒度控制。
安全组与网络ACL的关系
安全组是实例级别的防火墙，网络ACL是子网级别的防火墙，两者配合才能做到纵深防御，比如数据库子网可以设置网络ACL只允许来自后端子网的3306端口流量，同时在数据库实例的安全组里再限制来源IP段，这样即使后端子网有一台机器被入侵，攻击者也不能直接访问数据库,除非突破实例级安全组。
三层隔离：公网、私网、数据库
典型云上架构会分成三个子网：
- 公网子网：挂载负载均衡、NAT网关、堡垒机,允许入站公网流量。
- 私网子网：部署应用服务器，不直接暴露公网,通过NAT网关出站。
- 数据库子网：完全私有，既不能入站公网，也不能主动出站,只能被私网子网访问。
这种分层让攻击面逐层收缩，即使公网子网被扫描,攻击者也很难直接跳到数据库子网。
子网掩码计算器在线使用与手动计算对比
很多刚接触云服务器的用户会问：子网掩码怎么算？其实不用死记硬背，在线工具能快速搞定,但理解原理能避免填错网段。
在线工具操作路径
搜索引擎输入“子网掩码计算器在线使用”，会看到大量免费工具，以常见工具为例,操作路径如下：
- 输入IP地址或网段，例如192.168.1.0
- 选择掩码位数，例如24
- 工具自动显示网络地址、广播地址、可用主机范围、可用主机数量
这些工具支持CIDR转子网掩码，24对应255.255.255.0，/26对应255.255.255.192，云厂商控制台创建交换机时，也会自动提示可用IP数量,不用自己手算。
手动计算二进制方法
手动计算也不复杂，把IP地址和子网掩码转成二进制，做与运算得到网络地址，例如IP 192.168.1.130，掩码255.255.255.0，二进制与运算后网络地址是192.168.1.0，可用主机范围从192.168.1.1到192.168.1.254，如果掩码是255.255.255.128（/25），可用范围分两段：192.168.1.1-192.168.1.126和192.168.1.129-192.168.1.254。
在线工具快，手动计算理解深，实际工作中，建议先用在线工具验证,再用控制台确认。
简米云VPC子网划分最佳实践
不同云平台操作细节略有差异，但思路一致，以简米云为例,控制台操作路径如下：
- 登录简米云控制台，进入“专有网络VPC”
- 创建VPC，填写IPv4网段（如10.0.0.0/16）
- 在该VPC下创建交换机，选择可用区，填写子网IPv4网段（如10.0.1.0/24）
- 创建ECS时，选择对应交换机，系统自动分配内网IP
- 在安全组中设置入方向和出方向规则
酷番云和华为云流程类似，只是菜单名称可能不同，核心顺序都是先VPC后子网，再创建资源，手动划分时，避免子网网段重叠，例如VPC是10.0.0.0/16，子网可以是10.0.1.0/24，但不能是10.1.0.0/24,因为超出了VPC范围。
常见错误与排查
- 子网掩码设置错误导致地址范围不符合预期，用
ip addr命令查看实例实际获取的内网IP和掩码。 - 两个子网网段重叠，控制台通常会报错，但如果通过API强制创建,可能导致路由混乱。
- 数据库子网配置了默认路由到公网，导致数据库意外暴露，检查路由表,确保数据库子网没有绑定NAT网关或公网网关。
子网划分对云服务器价格有影响吗
单纯划分子网本身不产生额外费用，私网地址免费使用，VPC、交换机也免费，但子网划分会影响云资源架构,间接影响账单。
- 如果划分公网子网并绑定NAT网关,NAT网关按小时和流量收费。
- 如果为了隔离购买多个负载均衡实例,每个实例有费用。
- 如果子网划分不合理导致需要额外的云防火墙或安全产品,成本会上升。
所以子网划分本身不花钱，但规划不好可能推高整体云资源价格，反过来，合理划分子网可以减少公网暴露，降低被攻击后的流量费用和人工处理成本，据行业公开资料,安全事件导致的业务中断成本往往远高于网络规划投入。
子网划分是云上网络规划的基本功，地址规划清晰，资源隔离到位，后续扩容和安全策略才能顺理成章，无论使用哪家云厂商，先划分子网再部署业务,能少走很多弯路。
Q&A：云上资源隔离和物理隔离的区别
云上资源隔离和物理隔离的区别是什么？
物理隔离使用独立的物理服务器、交换机和机柜，适合合规要求极高的场景，云上资源隔离通过VPC、子网、安全组等虚拟化手段实现逻辑隔离，两者安全级别不同，物理隔离没有共享硬件，但成本高、弹性差，云上隔离灵活、按需扩展，但底层仍共享物理资源，多数企业混合使用：核心数据库用物理隔离或专属宿主机,普通业务用云上子网隔离。
子网划分能防止云服务器被攻击吗？
不能完全防止，子网划分是基础隔离手段，可以减少攻击面，但不能替代防火墙、入侵检测、补丁管理，例如把数据库放在私网子网，攻击者无法从公网直接连接数据库端口，但如果应用存在SQL注入漏洞，攻击者仍可通过应用间接攻击数据库，子网划分让攻击路径变长,但不能消除风险。
子网划分错误会导致云服务器无法访问吗？
会，常见错误包括：子网网段超出VPC范围、两个子网重叠、安全组规则未放行、路由表缺少默认路由，例如把ECS放在私网子网但没有关联NAT网关，该实例无法访问公网，把数据库放在公网子网但安全组未放行3306端口，外部无法连接，这类问题通过控制台检查路由表和安全组规则通常能定位,最后确认云服务器实际获取的IP是否在预期子网内。