vpc、安全组和网络acl

提纲
1、概述
2、vpc
3、安全组
4、网络acl

1、概述

最近购买了阿里云的ecs等资源，为了有效使用这些公有云的资源，研究了一下vpc、安全组和网络acl的概念、作用等。
因为目前所有的公有云服务商都有vpc、安全组和网络acl的概念，所以必须将这几个概念的含义搞清楚。

2、vpc

vpc是virtual private cloud的简写，翻译为虚拟机专用网、私有网络或者专有网络。

首先从服务的角度来看，VPC指的是一种云(Cloud)，这与它的字面意思相符。对于基础架构服务(IaaS)，云就是指资源池。你或许听过公有云(Public Cloud)、私有云(Private Cloud)、混合云(Hybrid Cloud)。不过，VPC不属于这三种云中任一种。这是一种运行在公有云上，将一部分公有云资源为某个用户隔离出来，给这个用户私有使用的资源的集合。VPC是这么一种云，它由公有云管理，运行在公共资源上，但是保证每个用户之间的资源是隔离，用户在使用的时候不受其他用户的影响，感觉像是在使用自己的私有云一样。

从这种意义上看，VPC不是网络，我们可以对比VPC和它一个字面上相近的概念：VPN(Virtual Private Network)。VPN在公共的网络资源上虚拟隔离出一个个用户网络，例如IPsec VPN可以是在互联网上构建连接用户私有网络的隧道，MPLS VPN更是直接在运营商的PE（PE：供应商边缘路由器 CE：用户边缘路由器 AR：接入路由器）设备上划分隔离的VRF（virtual Routing forwarding虚拟路由转发）给不同的用户。从提供服务的角度来，说如果VPC指的只是网络的话，那它跟VPN的概念是重复的。所以，从公有云提供所提供的服务来说，VPC应该理解成，向用户提供的隔离资源的集合。

VPC最早是由AWS（亚马逊）在2009年提出，不过VPC的一些组成元素在其提出之前就已经存在。VPC只是将这些元素以私有云的视角重新包装了一下。在VPC之后，云主机只能使用VPC内部的对应的元素。从这个角度看，VPC更像是公有云服务商以打包的形式提供服务。

用户可以在公有云上创建一个或者多个VPC，每个部门一个VPC。对于需要连通的部门创建VPC连接。

同时，用户也可以通过VPN将自己内部的数据中心与公有云上的VPC连接，构成混合云。不论哪种用例，VPC都以更加直观形象让用户来设计如何在公有云上存放自己的数据。

3、安全组

VPC 提供了安全组和网络 ACL来控制流量的流动。二者具有相似的功能，于是很多人都会有一个疑问，究竟应该使用安全组还是应该使用网络 ACL？

安全组充当虚拟防火墙，控制允许到达和离开与其关联的资源的流量。例如，在将安全组与 EC2 实例关联后，它将控制该实例的入站和出站流量。
-摘自 AWS 官方文档

用过 Windows 的小伙伴可能都知道防火墙，它允许你控制哪些流量可以流入计算机，以及哪些流量可以流出。安全组就是这样一个防火墙，它可以被关联到 VPC 内的实例（如 EC2）。关联后，这台 EC2 就有了类似 Windows 中那样的防火墙。所以可以粗暴地认为安全组就是实例的防火墙。

对于每个安全组，你都可以添加若干入站规则和出站规则。

4、网络acl

网络访问控制列表（ACL）是 VPC 的一个可选安全层，可用作防火墙来控制进出一个或多个子网的流量。你可以设置网络 ACL，使其规则与你的安全组相似，以便为你的 VPC 添加额外安全层。
-摘自 AWS 官方文档

网络 ACL 和安全组极为相似，都可作为防火墙控制流量的进出，且工作在子网级别。因此可以粗暴地认为网络 ACL 是子网的防火墙。下文会先介绍网络 ACL 特有的功能，随后对比网络 ACL 和安全组之间的不同之处。

5、vpn、vpc、vps三者辨析

vpn = virtual private network 虚拟专有网络
vpc = virtual private cloud 虚拟专有云
vps = virtual private server 虚拟专有服务器，在各大公有云服务商，比如华为云、阿里云、腾讯云、百度云、金山云、青云等，的眼里，vps = ecs。

vps和ecs的区别：
主要区别是虚拟的架构不一样。
云服务器ECS是一个计算机集群多台一起虚拟一个环境，架设了一个云系统，云系统可以按需分配CPU内存硬盘等资源。
VPS是使用一台服务器，虚拟一个环境，并架设虚拟系统。
主要区别是VPS的宿主服务器如果有硬件或者软件故障，会导致这个宿主机内的VPS主机全部宕机。ECS不会因为单台宿主机故障导致整体或者某台云主机宕机。

参考资料：
1、vpc的非常肤浅和简洁的介绍，https://v.zhaosw.com/b/01swU9BB.html
2、更为详细的vpc的简介，解释的更加清楚，https://blog.csdn.net/qq_42508901/article/details/104113974
3、网络acl的介绍，https://www.huaweicloud.com/zhishi/1584666448098.html
4、网络acl和安全组的介绍，包括各自的含义、区别和联系，https://zhuanlan.zhihu.com/p/498302929
5、vpc和经典网络的区别，https://blog.csdn.net/weixin_39932344/article/details/111815551?utm_medium=distribute.pc_relevant.none-task-blog-2_defaultbaidujs_baidulandingword~default-7&spm=1001.2101.3001.4242.4&utm_relevant_index=10
6、vps和ecs等的区别，https://www.zhihu.com/question/442971096
7、ecs和vps的区别，https://blog.csdn.net/youeyeb/article/details/104656818