在雲端運算環境下，網路架構是企業上雲端的核心基礎，而AWS 的 虛擬私有雲（VPC） 則提供了靈活、可控的網路環境。在VPC 內，Subnet（子網路） 是組織和隔離雲端資源的關鍵單元。身為AWS 官方認證代理商，我們將從概念、分類、設計原則到應用實踐，全方位解讀AWS Subnet 的價值與應用情境。
什麼是AWS Subnet？
Subnet（子網路） 是VPC 內的一塊 IP 位址範圍，用於在虛擬網路中部署和隔離資源。每個Subnet 都屬於特定的 可用區（AZ），資源在Subnet 內運作時可以繼承其網路和安全性配置。
簡單理解：
- VPC 是企業的虛擬網路園區
- Subnet 是園區內的社區
- 每個小區有自己的IP 位址段、路由表和安全性策略
Subnet 的核心作用包括：
- 流量隔離：不同類型的資源部署在不同Subnet，提升安全性
- 高可用性：透過多個Subnet 分佈在不同AZ，實現容錯
- IP 管理：清晰劃分IP 位址段，方便擴充與規劃
- 安全控制：結合安全群組和網路ACL，實現內外網路存取精細化管理
Subnet 類型與應用
根據是否直接存取互聯網，AWS Subnet 分為以下幾類：
1. 公有子網路（Public Subnet）
- 特點：可直接上網，需關聯 Internet Gateway 並配置路由表
- 適用場景：Web 伺服器、NAT 網關、應用網關等對外提供服務的資源
- 範例：部署一個對外開放的企業官網或API 網關
2. 私有子網路（Private Subnet）
- 特點：無法直接上網，但可透過 NAT 閘道 或其他代理商訪問外網
- 適用場景：資料庫（RDS）、應用程式伺服器（EC2）、後台服務
- 範例：企業核心資料庫放在私有子網路內，確保資料安全
3. 受限子網路/ VPN-only Subnet
- 特點：僅透過 VPN 或 AWS Direct Connect 與本地網路通信
- 適用場景：高度敏感的業務資料或金融、醫療等受監管應用
- 範例：企業內部財務系統或醫療資訊系統
Subnet 設計原則
在建構AWS 雲端網路時，合理的Subnet 設計至關重要，主要考慮以下幾點：
1. 可用區分佈
為了提高系統的可用性，應在不同AZ 內建立多個Subnet，將關鍵資源分散部署，實現容錯與災備能力。
2. IP 位址規劃
Subnet 必須分配合理的 CIDR 區塊，確保未來擴展。常見做法是：
- VPC CIDR：10.0.0.0/16
- 公有子網路：10.0.1.0/24
- 私有子網路：10.0.2.0/24
- 每個AZ 至少有一對公有/私人子網
3. 安全策略與隔離
- 安全群組（Security Group）：實例級存取控制
- 網路ACL（Network ACL）：子網路層級存取控制
- 公有子網路通常允許HTTP/HTTPS 訪問，私有子網路限制對外流量
- 對敏感資源可設定更嚴格的存取規則
4. 路由表設計
- 公有子網路需配置預設路由指向 Internet Gateway
- 私有子網路需配置預設路由指向 NAT 閘道
- 確保內網通訊和對外通訊滿足業務需求
AWS Subnet 的應用程式實踐
1. 高可用Web 服務架構
企業可以在兩個AZ 中部署 公有子網路+ 私有子網路：
- 公有子網路部署負載平衡器（ALB）和Web 伺服器
- 私人子網路部署應用伺服器和資料庫
- 透過NAT 閘道實現私有子網路存取網際網路更新或拉取數據
這種佈局既保證了服務對外可用，也保護了核心業務資料。
2. 資料庫安全隔離
- 將RDS 或DynamoDB 部署在私有子網路內
- 僅允許應用程式伺服器存取資料庫
- 結合網路ACL 和安全群組，阻斷非授權訪問
3. 混合雲或專線接入
- 部署VPN-only Subnet 或Direct Connect 連線本地資料中心
- 對敏感業務資料進行專線訪問
- 保證資料傳輸的安全性與穩定性
Subnet 與AWS 服務的集成
AWS Subnet 與多種雲端服務緊密結合：
- EC2：實例必須在Subnet 內啟動
- RDS：資料庫執行個體在私有子網路內更安全
- Elastic Load Balancer (ALB/NLB)：通常部署在公有子網
- NAT Gateway / VPN / Direct Connect：需要Subnet 支援路由和彈性IP
透過合理的Subnet 配置，可以實現服務的 高可用性、安全性和可擴充性。
总结
AWS Subnet 是企業上雲網路設計的基礎單元。透過合理劃分公有、私有及受限子網，並結合安全群組、路由表和NAT 網關等網路資源，企業可以：
- 建構安全可靠的雲端架構
- 實現高可用、多AZ 容錯
- 精細化控制內外網訪問
- 滿足業務安全與合規要求
身為AWS 官方認證代理商，在雲端上可以幫助企業客戶進行Subnet 設計、部署、最佳化及安全策略實施，確保雲端網路架構高效、穩定、安全，協助企業業務快速上雲落地。
