在 AWS 上创建 VPC 时推荐的 CIDR 是多少？

Question

我一直在创建 AWS VPC，我想知道创建 VPC 时是否有推荐的 CIDR 值。选择 CIDR 时必须考虑哪些因素，CIDR 值是否会影响网络性能？

Answer 1

我建议考虑以下几点：

如果您在公司 LAN 和 VPC 之间创建 IPSEC 连接，请使用与公司 LAN 上的 CIDR 不同的 CIDR。这将防止路由重叠并创建身份区分以供参考。

对于非常大的网络，在不同区域至少使用不同的 16 位掩码，例如

eu-west-1 10.1.0.0/16
us-east-1 10.2.0.0/16
us-west-1 10.3.0.0/16

对于较小的网络，在不同区域使用 24 位掩码，例如

eu-west-1 10.0.1.0/24
us-east-1 10.0.2.0/24
us-west-1 10.0.3.0/24

考虑区分私有子网和公共子网，例如

private 10.0.1.0/24 (3rd byte < 129)
public 10.0.129.0/24 (3rd byte > 128)

不要为子网过度分配地址空间，例如

eu-west-1 10.0.1.0/26
eu-west-1 10.0.1.64/26
eu-west-1 10.0.1.128/26
eu-west-1 10.0.1.192/26

(62 hosts per subnet)

也不要分配不足。如果您使用大量弹性负载均衡器，请记住它们也会消耗您子网上的可用 IP 地址。如果您使用 ElasticBeanstalk，则尤其如此。

Answer 2

我上次创建新 VPC 时考虑过的一些事情：

1. 确保来自不同地区的 IP 范围不重叠。例如，你不应该有172.31.0.0/16in us-west eu-ireland。这将使这两个区域之间的 VPN 成为需要双 NAT 来解决的问题。不，谢谢。
2. 确保 IP 范围足够大，可以容纳您认为需要的所有实例，x.x.x.x/24以容纳 254 个不同的地址。可能有数百个 CIDR 计算器可以帮助您解决这个问题。
3. 我在单个 VPC 中创建了许多不同的子网，而不是创建多个 VPC。子网可以相互通信 - 我可以使用私有子网和公共子网来保护某些实例不受开放互联网的影响。使用 NAT 实例，以便私有子网可以与公共子网通信。使用安全组将实例组彼此隔离。