G够VPS

内网 IP 科普：VPS 的内网有什么用

VPS 除了公网 IP，往往还带一个 10.x.x.x 的内网 IP。小够讲清内网和公网的区别、私有地址段、内网通信为什么快且免费，以及四个典型用法。

我是小够。今天讲 VPS 上那个经常被忽略的 10.x.x.x：内网 IP。

内网和公网的区别

  • 公网 IP：全世界都能访问到，是你的 VPS 在互联网上的门牌号，稀缺、要钱。
  • 内网 IP：只在机房内部（或你自己的几台机器之间）有效，外面访问不到，不要钱。

很多 VPS 开通后，网卡上同时配着这两个 IP。公网用来对外服务，内网用来机器之间"说悄悄话"。

私有地址段

内网 IP 不是随便编的，有三个保留段，全世界通用：

  • 10.0.0.0/8：10.0.0.0 到 10.255.255.255，最大，最常用
  • 172.16.0.0/12：172.16.0.0 到 172.31.255.255
  • 192.168.0.0/16：192.168.0.0 到 192.168.255.255，你家路由器就用这个

在公网上，这些地址是"不存在"的，路由器会直接丢弃。所以内网天生隔离，不用担心外网扫到。

内网的三个好处

  1. 快：不经过公网路由，同机房内网延迟通常不到 1ms，比公网快两个数量级。
  2. 免费：内网流量不计入你的流量包，随便传。备份、同步走内网，一分钱不花。
  3. 安全：外网访问不到，天然隔离了一层。数据库放内网，黑客连门都摸不着。

四个典型用法

1. 数据库放内网

Web 服务器和数据库各一台 VPS，数据库只监听内网 IP。外面连不进来，黑客扫都扫不到，安全性和速度双赢。这是生产环境的基本操作，也是内网最经典的用法。

2. 多台机器组集群

跑分布式任务、文件同步、负载均衡，机器之间走内网，又快又不花流量钱。内网 1ms 的延迟，公网想都不敢想。

3. 管理口隔离

把 SSH、面板后台绑定到内网，再用一台跳板机进内网管理。公网只暴露 80/443，攻击面小一大截。想黑你？先找到跳板机再说。

4. 内网穿透组网

多台不同机房的 VPS，可以用 WireGuard 这类工具组个虚拟内网（合法用途：远程办公、统一管理）。这样即使商家不提供内网，你也能自己搭一个。

安全组配合

内网不是银弹，要和安全组（防火墙）配合：内网端口也别全开，按需放行。比如数据库的 3306，只允许 Web 服务器的内网 IP 访问，其他一律拒绝。内网 + 最小权限，才是完整的安全。

注意事项

  • 内网通常只在同一机房/同一账号下互通，跨机房、跨商家就别想了，下单前看商家文档确认。有些商家叫它"私有网络"或"VPC"，名字不同，东西一样。
  • 内网 IP 是商家分配的，别自己乱改，改错了机器失联只能走商家控制台救。
  • 不是所有 VPS 都带内网，超便宜的小鸡可能没有。需要的话下单前确认，免得买完发现没有。
  • 内网 DNS：有些商家提供内网 DNS 解析，机器之间用主机名互访，比记 IP 方便。

私有地址段详解

内网 IP 不是随便编的，有三个保留段，全世界通用：

  • 10.0.0.0/8：10.0.0.0 到 10.255.255.255，1600 多万个地址，最常用
  • 172.16.0.0/12：172.16.0.0 到 172.31.255.255，100 多万个
  • 192.168.0.0/16：192.168.0.0 到 192.168.255.255，6 万多个，你家路由器就用这个

在公网上，这些地址是"不存在"的，路由器会直接丢弃。所以内网天生隔离，不用担心外网扫到。记住这三个段，看 IP 一眼就知道是内网还是公网。

VPC：云上的虚拟内网

大厂云（Vultr、DigitalOcean、Linode 这些）把内网做成了产品，叫 VPC（虚拟私有云）：你在里面自定义网段、划分子网、配路由表，几台机器组成一个完全隔离的虚拟局域网。

VPC 的好处是灵活：网段自己定，机器加减自如，安全组按组管理。小商家一般只给一个现成的内网 IP，功能简单，但核心的"快、免费、隔离"三点都有。

安全组配合：内网不是银弹

内网 + 安全组（防火墙）才是完整的安全：

  • 数据库的 3306，只允许 Web 服务器的内网 IP 访问，其他一律拒绝
  • SSH 的 22，只允许跳板机的内网 IP
  • 按最小权限开端口，别图省事开全网段

内网隔离了外网，安全组隔离了内网里的"坏邻居"。两层都做好，才算合格。

没有内网？自己组一个

如果商家不提供内网，可以用 WireGuard 这类工具自己组虚拟内网（合法用途：远程办公、统一管理多台机器）。原理是加密隧道，几台机器像在同一个局域网里一样通信。

这是进阶玩法，配置不算难，网上教程很多。记住用途边界：远程管理、内网服务互访，别碰别的。

内网实战：Web + 数据库分离

最经典的架构：两台 VPS，一台跑 Web，一台跑数据库。

  1. 两台机器都在同一内网（比如 10.0.0.5 和 10.0.0.6）
  2. 数据库只监听内网 IP：bind-address = 10.0.0.6
  3. Web 服务器连 10.0.0.6:3306
  4. 安全组：3306 只允许 10.0.0.5 访问

效果：数据库在公网上完全不可见，黑客连门都摸不着；内网延迟 <1ms，查询飞快；流量不计费，随便传。这是生产环境的基本操作，学会这一套，内网就算入门了。

内网 + 跳板机：安全的管理方式

三台机器的场景：

  • 跳板机：有公网 IP，SSH 只允许你的 IP
  • 应用服务器：公网只开 80/443，SSH 只监听内网
  • 数据库：只有内网 IP

管理时先 SSH 到跳板机，再从跳板机进内网。公网攻击面小到只有 80/443，想黑你？先过跳板机这关。这是中大型部署的标准姿势，小业务也可以借鉴思路。

内网实战：Web + 数据库分离

两台 VPS，一台 Web，一台数据库：

  1. 同一内网：10.0.0.5 和 10.0.0.6
  2. 数据库只监听内网：bind-address = 10.0.0.6
  3. Web 连 10.0.0.6:3306
  4. 安全组：3306 只允许 10.0.0.5

效果：数据库公网不可见，内网延迟 <1ms，流量不计费。生产环境基本操作。

跳板机：安全的管理方式

  • 跳板机：有公网 IP，SSH 只允许你的 IP
  • 应用机：公网只开 80/443，SSH 只监听内网
  • 数据库：只有内网 IP

先 SSH 到跳板机，再进内网。公网攻击面只剩 80/443，中大型部署的标准姿势。

VPC：云上的虚拟内网

大厂云把内网做成产品，叫 VPC：自定义网段、划分子网、配路由表，几台机器组成完全隔离的虚拟局域网。网段自己定，机器加减自如，安全组按组管理。

小商家一般只给现成的内网 IP，功能简单，但"快、免费、隔离"三点都有。够用就行。

内网 DNS：别记 IP 了

有些商家提供内网 DNS，机器之间用主机名互访，不用记 10.x.x.x。Web 连 db.internal 比连 10.0.0.6 优雅，换机器也不用改配置。

安全组：内网的第二道锁

内网隔离了外网，安全组隔离内网里的"坏邻居"：

  • 数据库 3306：只允许 Web 服务器的内网 IP
  • SSH 22：只允许跳板机
  • 按最小权限开，别图省事开全网段

两层都做好，才算合格。内网不是银弹，银弹是"内网+最小权限"。

一句话总结

公网是门面，内网是后院。一台以上的 VPS 就该用上内网：数据库走内网、管理走内网、同步走内网，能省流量、能提速、还更安全。别让那个 10.x.x.x 一直闲着，它可能是你买的最值的"免费配置"。