配置云私网，先确定网段和通信边界，再创建子网、关联路由表，最后验证流量方向。云平台私网子网规划与路由配置的核心不是把地址切得越细越好，而是确保地址不冲突、路由可解释，并为扩容留出空间。
先规划地址，再创建子网
先盘点现有网络：包括办公网、数据中心、其他云环境以及计划建立的云间连接。私网地址虽可重复使用，但一旦需要互联，网段重叠就可能导致路由冲突。常见私有地址范围来自 RFC 1918，包括 10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16；实际选用时应避开组织已在使用的地址。
例如，可把 10.20.0.0/16 作为一个 VPC 的规划范围，再按功能和可用区切分子网：10.20.1.0/24 用于一类服务，10.20.2.0/24 用于另一类服务。这里的 /24 只是便于说明的示例，不代表必须使用固定大小。业务地址需求较少时可用较小网段；需要大量弹性扩容的服务则应预留空间。云厂商通常会在每个子网中保留部分地址，具体数量和用途应以对应产品文档为准。
子网划分要对应真实边界
划分子网时，优先考虑通信需求、管理权限和可用区，而不是单纯按机器名称拆分。需要跨可用区部署的服务，可在不同可用区创建对应子网，并为后续扩展保留未分配地址。不同角色的资源如果需要不同出站路径或访问控制，也可以分开规划。
子网本身负责划定地址范围，不能代替访问控制。哪些端口能进出，通常还要结合安全组或网络访问控制规则；路由表则决定流量下一跳。把这几项职责分开，排查时更容易判断问题来自地址、策略还是路由。
按顺序配置路由
- 创建私有网络：为 VPC 选择不与现有网络重叠的 CIDR，并记录网段、用途和扩展预留。
- 创建子网：为每个子网填写所属网段和可用区。检查子网地址是否完全落在 VPC 网段内，且彼此没有重叠。
- 建立路由表：先保留平台自动生成的本地路由。它通常用于 VPC 内部网段通信，不应在不了解影响时删除或覆盖。
- 添加必要路由：根据目标网络添加目的网段和下一跳，例如指向虚拟专用网络网关的企业内网路由，或指向云间连接的对等连接路由。下一跳必须已创建并处于可用状态。
- 关联并验证：将路由表关联到目标子网，核对实际生效的关联关系；再从两端检查地址、路由和安全策略，测试所需端口，而不只依赖连通性测试工具。
默认路由与专用路由怎么选
路由表采用最长前缀匹配：多条路由都能匹配目标地址时，通常优先选择网段更具体的一条。因此，指向某个企业网段的专用路由，通常比覆盖更大范围的默认路由更精确。配置前应检查目的网段是否重复，以及下一跳是否符合预期。
如果子网只需访问 VPC 内部资源，保留本地路由并增加少量明确的专用路由，结构较简单、误导流量的风险较低。如果需要将某类流量统一送往集中网络设备或网关，则应按平台支持方式配置相应下一跳，并逐项评估故障影响。不要因为看到 0.0.0.0/0 就直接照搬：它表示所有未被更具体路由匹配的 IPv4 目的地址，具体出口和可达范围取决于云平台中的网关及其他配置。
排错时按数据路径检查
出现无法访问时，按源地址到目标地址逐项核对：两端子网是否重叠、路由表是否已关联、目标网段是否有匹配路由、下一跳是否可用，以及安全组和网络访问控制是否放行所需协议与端口。若通过 VPC 对等连接通信，还需确认两端分别配置到对方网段的路由；仅创建连接通常不足以保证业务流量可达。
云平台私网子网规划与路由配置完成后，应把网段、用途、可用区、路由目的地和下一跳整理成变更记录。新增资源前先检查地址余量和路由冲突，能减少扩容时临时改网段或影响既有连接的风险。
常见问题
一个子网能否跨多个可用区？
取决于云平台的产品设计；不少平台的子网会绑定单一可用区。创建前查看平台限制，并按实际部署方式规划对应子网。
子网网段能否随时修改？
通常不能假设可直接修改且不影响资源。若需扩容，先确认平台支持的变更方式；必要时规划新子网并迁移资源。
内部地址互通但服务仍不可用，先查什么？
先确认目标端口和协议是否被安全组及网络访问控制允许，再检查服务是否监听目标地址。网络层可达不等于应用服务一定可用。