Virtual Private Cloud (VPC)，中文通常翻譯為「虛擬私有雲」。它是一種在公有雲環境中邏輯隔離的私有網路。想像一下，公有雲就像一個巨大的公寓大樓，而 VPC 就是你在這棟大樓中租用的一個獨立、安全且可自訂的「私人公寓」。
Virtual Private Cloud 的核心概念與功能
VPC 的主要目標是讓你在共用的公有雲基礎設施上，能夠完全掌控你的網路環境，就像你在自己的資料中心一樣。
- 邏輯隔離 (Logical Isolation)：
- 儘管 VPC 運行在公有雲提供商共享的實體硬體上，但透過虛擬化技術（如 VLANs、子網路和私有 IP 位址範圍），你的 VPC 與其他客戶的 VPC 是完全隔離的。這提供了高度的安全性。
- 自訂網路配置 (Customizable Network Configuration)：
- 你可以完全定義你的 VPC 網路拓撲，包括：
- IP 地址範圍 (CIDR Block)：為你的 VPC 選擇一個私有的 IP 地址範圍（例如 10.0.0.0/16）。
- 子網路 (Subnets)：將 VPC 進一步劃分為更小的邏輯區塊，每個子網路都有自己的 IP 地址範圍。你可以設定公共子網路 (Public Subnets)，用於面向網際網路的資源（如網頁伺服器），以及私有子網路 (Private Subnets)，用於後端資料庫或應用程式伺服器，不直接暴露在網際網路上。
- 路由表 (Route Tables)：定義網路流量在 VPC 內部以及進出 VPC 的路徑。
- 網際網路閘道 (Internet Gateway, IGW)：允許公共子網路中的資源連接到網際網路。
- NAT 閘道/實例 (NAT Gateway/Instance)：允許私有子網路中的資源發起對網際網路的連接（例如下載更新），但外部網際網路無法直接發起連接到這些私有資源。
- VPC 對等連接 (VPC Peering Connection)：在兩個不同的 VPC 之間建立私有連接，即使它們屬於不同的帳戶或區域。
- VPN 連線 (VPN Connection)：透過 IPsec VPN 建立你的本地資料中心與 VPC 之間的加密連線。
- Direct Connect / ExpressRoute / Cloud Interconnect：建立你的本地資料中心與公有雲提供商網路之間的專用實體連接，提供更高的頻寬和更低的延遲。
- VPC 端點 (VPC Endpoints)：允許你的 VPC 私有地連接到特定的 AWS 服務（如 S3、DynamoDB），流量不經過網際網路，進一步提高安全性和效能。
- 安全性與存取控制 (Security and Access Control)：
- 安全群組 (Security Groups)：作為虛擬防火牆，在實例層級控制進出實例的流量。你可以定義允許哪些 IP 地址、哪些通訊協定和哪些埠可以訪問或離開你的實例。它是有狀態的 (stateful)，即去程允許，回程自動允許。
- 網路存取控制清單 (Network ACLs)：在子網路層級控制進出子網路的流量。它是無狀態的 (stateless)，即去程和回程都需要明確允許。NACL 提供更粗粒度的控制，類似於傳統防火牆的規則集。
- 流量日誌 (Flow Logs)：記錄 VPC 內所有網路流量的詳細資訊，包括來源 IP、目的 IP、埠、傳輸的位元組數等。這對於網路監控、安全分析和故障排除非常有用。
- 彈性與可擴展性 (Elasticity and Scalability)：
- 利用公有雲基礎設施的彈性，你可以根據需求輕鬆地增加或移除 VPC 中的計算實例、儲存和其他資源。
Virtual Private Cloud 的優勢
- 增強的安全性：
- 邏輯隔離確保你的資源與其他客戶的資源分離。
- 透過安全群組和網路 ACL 提供多層次的網路安全控制。
- 可以控制流量進出，限制對敏感資源的訪問。
- 靈活的網路控制：
- 你可以定義自己的 IP 地址空間、子網路、路由和網路閘道，以適應你的應用程式架構和安全策略。
- 可以輕鬆地建立公共和私有子網路，隔離不同敏感度的應用程式層。
- 混合雲整合：
- 透過 VPN 或專線連接，可以安全、無縫地將你的本地資料中心擴展到雲端 VPC。
- 合規性：
- 透過精細的網路控制和隔離，VPC 幫助企業滿足各種行業法規和合規性要求（如 HIPAA、PCI DSS、GDPR）。
- 成本效益：
- 相較於建立和維護自己的專用私有雲基礎設施，VPC 提供了公有雲的成本效益（按需付費、無需前期投入）。
- 可用性與容錯能力：
- VPC 通常可以跨多個可用區 (Availability Zones) 部署資源，提高應用程式的可用性和容錯能力。
Virtual Private Cloud 的劣勢/考量
- 網路複雜性：
- 相較於完全託管的服務，VPC 需要你具備一定的網路知識來設計和管理子網路、路由表、安全組等。
- 複雜的架構可能需要更多的管理和故障排除。
- IP 地址規劃：
- 需要仔細規劃 IP 地址範圍，以避免與本地網路或其他 VPC 重疊，尤其是在混合雲或多 VPC 環境中。
- 資料傳輸費用：
- 雖然 VPC 本身通常是免費建立的，但跨可用區、跨區域或進出網際網路的資料傳輸可能會產生費用。
- NAT 閘道和 VPN 連線等元件也會產生小時費和資料處理費。
Virtual Private Cloud 的應用場景
- Web 應用程式託管：
- 將面向網際網路的 Web 伺服器部署在公共子網路中，將應用程式伺服器和資料庫部署在私有子網路中，實現多層次的安全架構。
- 企業應用程式：
- 將敏感的企業應用程式和資料庫部署在私有 VPC 中，並透過 VPN 或專線連接到本地網路，實現混合雲部署。
- 開發/測試環境：
- 為不同的開發團隊或專案建立獨立的 VPC，確保環境之間的隔離，防止相互影響。
- 災難恢復 (Disaster Recovery)：
- 在不同的 AWS 區域中建立相似的 VPC 環境，作為本地資料中心的備援站點。
- 安全合規性工作負載：
- 對於有嚴格安全和合規性要求的行業（如金融、醫療），VPC 提供了必要的隔離和控制機制。
Virtual Private Cloud 在主要雲端服務商的名稱
- Amazon Web Services (AWS)：Amazon Virtual Private Cloud (Amazon VPC)
- Microsoft Azure：Azure Virtual Network (VNet)
- Google Cloud Platform (GCP)：Google Cloud VPC (其 VPC 預設是全球性的，相較於 AWS 和 Azure 的區域性 VPC 有所不同)
- Alibaba Cloud (阿里雲)：Virtual Private Cloud (VPC)
- Tencent Cloud (騰訊雲)：Virtual Private Cloud (VPC)
Virtual Private Cloud 的計費方式 (以 AWS 為例)
創建 VPC 本身是免費的。你定義 VPC、子網路和路由表都不收費。費用主要來自於你在 VPC 中使用的其他網路元件和數據傳輸。主要費用來源包括：
- 公共 IPv4 地址：如果你的 EC2 實例或其他資源分配了公共 IPv4 地址（包括彈性 IP 地址 EIP，如果它沒有關聯到運行中的實例），會收取費用。
- NAT 閘道 (NAT Gateway)：按每小時使用費和通過 NAT 閘道處理的數據量計費。
- VPN 連線：按每小時連接費和數據傳輸費計費。
- Direct Connect (專線)：有埠費、數據出站費和數據入站費。
- VPC 對等連接 (VPC Peering)：跨區域的對等連接會收取數據傳輸費。
- VPC 端點 (VPC Endpoints)：按每小時的界面端點費和通過端點處理的數據量計費。
- 資料傳輸 (Data Transfer)：
- 出站數據傳輸 (Data Egress)：從 VPC 傳輸到網際網路的數據會收取費用。這通常是雲端服務中較大的一筆費用。
- 跨可用區數據傳輸：在同一區域內，但跨不同可用區的數據傳輸也會產生費用。
- 入站數據傳輸 (Data Ingress)：通常是免費的。
簡而言之：VPC 的費用不是針對 VPC 本身，而是針對你在 VPC 中配置和使用的網路服務元件以及數據流量。因此，在設計 VPC 時，務必考慮數據流向和網路元件的使用，以最佳化成本。
總體來說，Virtual Private Cloud 是現代雲端架構的基石，它為企業提供了一個在公有雲上構建安全、隔離且高度可控的網路環境的能力，讓你可以充分利用雲端的可擴展性和彈性，同時滿足安全性與合規性的嚴格要求。
