AWS 默认的 VPC 开箱即用，但每一处默认都不适合生产。所有 IP 互通、密钥对随便下、公网 IP 随手开 —— 不改这些，等于没做安全组。
本页是 云服务器代维 在环境搭建阶段的执行清单。
网络设计
| 项目 | 建议配置 | 说明 |
|---|---|---|
| 区域与可用区 | 按用户分布选择，至少 2 个可用区 | 用户在国内就选中国区或香港、新加坡；主要面向海外则就近选 |
| VPC | 按业务划分，不同业务独立 VPC | 不要所有服务都塞在一个默认 VPC 里 |
| 子网 | 公有子网与私有子网分离 | 只有负载均衡、网关、NAT 放公有子网；应用与数据库放私有子网 |
| 路由表 | 子网各自关联，流量路径明确 | 默认路由全指向 IGW 是最常见的隐患 |
| NAT 网关 | 私有子网出网用，按量计费 | 会按流量收费，高流量场景要算成本；闲置时注意弹性 IP 费用 |
安全组配置原则
默认拒绝入站
安全组规则默认是拒绝所有，按需放行。不要图省事先开 0.0.0.0/0 的 22 端口 —— 这基本是最常见的入侵入口。
SSH 只从固定 IP
如果你的办公 IP 固定，安全组就只放行这些 IP；不固定则用 Session Manager 或堡垒机，不直接暴露 22。
数据库不开放公网
RDS 安全组只允许应用服务器所在的安全组访问，不放行 0.0.0.0/0 的 3306。
用标签管理
所有资源打 Environment / Service / Owner 标签，之后排查问题和自动化运维都会轻松很多。
密钥不落盘
用 EC2 Instance Profile 或 Secrets Manager 下发凭证，不写在镜像或脚本里。凭证一旦进了 AMI 就是全网泄露。
交付清单
- VPC、子网、路由表按设计落地
- 安全组按最小权限配置，端口收敛完成
- 密钥对与登录方式配置妥当（推荐 Session Manager）
- 标签体系建立
- CloudWatch 基础监控与告警（CPU、内存、磁盘、网络）
- 预算告警与成本看板
- CloudTrail 审计日志开启
- 备份策略与恢复验证
- 时间同步（NTP）与基础安全基线
常见问题
一次做全套还是按需来？
可以只做当前需要的部分，但有两条建议不要省：一是安全组收敛，二是监控告警。这两项出过问题的比例最高。
能不能帮我们做架构设计？
可以，包含在 AWS 技术支持 里。设计时会同时给出成本估算 —— AWS 的架构决策对账单的影响往往比性能影响更大。