amazon-web-services - 如何确定公有子网和私有(private)子网以及 VPC 的 CIDR block ？

Question

我想在 AWS 中创建一个具有私有(private)子网和公共(public)子网的 VPC。我正在使用 Terraform。
这是我到目前为止所拥有的:

resource "aws_vpc" "main" {
  cidr_block = "10.0.0.0/16" # <---

  enable_dns_support   = true
  enable_dns_hostnames = true

  tags = {
    Name = "Main"
  }
}

resource "aws_subnet" "public" {
  vpc_id     = aws_vpc.main.id
  cidr_block = "10.0.0.0/20" # <---

  tags = {
    Name = "Public"
  }
}

resource "aws_subnet" "private" {
  vpc_id     = aws_vpc.main.id
  cidr_block = "10.0.16.0/20" # <---

  tags = {
    Name = "Private"
  }
}

我遇到的问题是我不知道如何选择合适的 CIDR block (3 个决定)。
如何确定要使用哪些 CIDR block ？

一个有效的组合可能是:

VPC:10.16.0.0/16

公众号:10.16.0.0/24

私有(private):10.16.128.0/24

Answer 1

首先，您所做的没有任何问题，每个/20 子网都有/16 VPC 中可用 IP 的一半(每个 4096 减去 5 个 AWS 保留 IP)。
就您如何决定而言，这是一个已经存在数十年的经典网络设计问题。在 Internet 上搜索“IP 地址范围设计最佳实践”会找到几篇可能有帮助的文章。
专门针对 AWS 云，然后是一些指针:

/16 和/20 是相当大的子网，除非您真的希望消耗那么多 IP，否则我很想将它们缩小；如有必要，您可以稍后将第二个 CIDR 添加到 VPC:link .

当涉及多个 VPC 环境时，如果您想对等 VPC 以便它们可以相互路由流量，那么它们不能有重叠的 CIDR；所以这是不使 VPC CIDR 大于所需大小的另一个原因，这样您就不会因为拥有大量未使用 CIDR 的 VPC 而用完 IP。

如果您有一个混合云环境，其中本地资源和 AWS 资源属于同一网络的一部分，则无重叠 IP 地址点也适用。

我的一个小技巧是使用 10.0.0.0/8 用于生产 VPC，172.16.0.0/12 用于测试，192.168.0.0/16 用于开发。这有助于我记住我正在处理的环境。