从家庭路由器到云服务器：一张图看懂公网IP、私网IP和子网掩码的日常应用

每次打开手机连上家里的Wi-Fi，你可能都注意到设备获取的IP地址总是以192.168开头。而当你在云服务商那里租用服务器时，又会被要求配置安全组规则。这些看似不相关的网络现象，其实都围绕着IP地址这个核心概念在运转。本文将用最生活化的方式，带你理解这些技术如何影响我们的数字生活。

1. 为什么我家Wi-Fi总是192.168开头？

当你用手机连接家庭路由器时，设备获取的通常是类似192.168.1.15这样的地址。这并非巧合，而是遵循了互联网工程任务组(IETF)制定的私有地址分配规则。私有IP地址就像小区内部的门牌号，只在本地网络有效，不能直接在互联网上使用。

常见的私有地址段包括 ：

• 192.168.0.0 - 192.168.255.255（最常见于家用路由器）
• 172.16.0.0 - 172.31.255.255（常见于企业网络）
• 10.0.0.0 - 10.255.255.255（大型机构常用）

想象一下公寓楼的场景：每户在楼内有独立房号（私有IP），但对外共享一个街道地址（公网IP）。当你要收快递时，快递员先找到大楼（路由器），再由物业（NAT）将包裹转交到具体房号。这就是家庭网络的工作原理。

提示：现代路由器通常默认使用192.168.1.1作为网关地址，这也是为什么你访问这个IP能进入路由器管理界面。

2. 公网IP：互联网世界的真实地址

与私有IP相对的是公网IP，它们就像互联网上的"身份证号"，全球唯一且可直接访问。当你浏览网站时，其实就是在通过公网IP与服务器通信。

公网IP的特点 ：

• 由ISP（互联网服务提供商）分配
• 需要付费租用（家庭宽带通常动态分配，企业/云服务多采用固定IP）
• 面临IPv4地址枯竭问题（这也是IPv6推广的原因）

有趣的是，大多数家庭宽带用户其实并不直接拥有公网IP。你的路由器从ISP获取一个公网IP，然后通过NAT技术让所有家庭设备共享这个地址上网。这就像整栋公寓共用一个对外电话号码，由前台负责转接内部分机。

3. 子网掩码：网络中的邮政编码系统

子网掩码（如255.255.255.0）决定了哪些设备属于同一个"本地网络"。它像邮政编码一样，帮助设备判断：收件人是否在同一区域（可直接送达），还是需要经过邮局（路由器）转发。

子网掩码的常见表示法 ：

• 传统表示法：255.255.255.0
• CIDR表示法：/24（表示前24位是网络部分）

举个例子，假设你的电脑IP是192.168.1.100，子网掩码255.255.255.0：

• 前三个数字(192.168.1)代表网络号
• 最后一个数字(100)代表主机号
• 同属192.168.1.x的设备可以直接通信
• 访问192.168.2.x则需要经过路由器

4. 云服务器安全组：数字世界的门禁系统

当你在AWS、阿里云等平台创建云服务器时，必须配置安全组规则。这本质上就是子网级别的访问控制列表(ACL)，决定了哪些流量可以进出你的虚拟服务器。

典型的安全组规则配置 ：

协议类型	端口范围	源IP	动作	描述
TCP	22	0.0.0.0/0	允许	SSH远程管理
TCP	80	0.0.0.0/0	允许	HTTP网页访问
TCP	443	0.0.0.0/0	允许	HTTPS安全网页访问
ALL	ALL	0.0.0.0/0	拒绝	默认拒绝所有其他流量

这种配置就像给公寓楼设置门禁：只开放必要的出入口（端口），并记录所有访客（日志）。与家庭路由器不同，云环境通常采用"默认拒绝"的安全策略，需要明确放行所需服务。

5. NAT：让私有IP访问互联网的魔术师

网络地址转换(NAT)技术是连接私有网络与公网的关键。它像一位翻译官，在内部私有IP与外部公网IP之间建立映射关系。

NAT的工作过程 ：

1. 内网设备(192.168.1.100)请求访问公网网站
2. 路由器记录该请求，分配一个临时公网端口(如12345)
3. 对外表现为：路由器公网IP:12345在访问网站
4. 网站响应返回给路由器
5. 路由器根据端口映射表，将响应转发给原始请求设备

这种技术完美解决了IPv4地址不足的问题，让数十个家庭设备共享一个公网IP。不过它也带来了一些限制，比如从外部直接访问内网设备需要特殊配置（端口映射或DMZ）。

6. 实际应用场景对比

让我们通过三个典型场景，看看这些概念如何实际应用：

家庭网络配置 ：

# 典型家用路由器配置示例
WAN口: DHCP获取公网IP (如 203.0.113.45)
LAN口: 192.168.1.1/24
DHCP范围: 192.168.1.100-192.168.1.200
NAT: 已启用
防火墙: 默认阻止入站连接

企业办公室网络 ：

# 企业网络可能的分段方案
办公区: 172.16.1.0/24
服务器区: 172.16.2.0/24
无线访客: 172.16.3.0/24
每个子网通过路由器互联，并设置ACL控制互访权限

云平台VPC设计 ：

# AWS VPC的典型CIDR规划
VPC总体范围: 10.0.0.0/16
公有子网: 10.0.1.0/24 (托管需要公网访问的资源)
私有子网: 10.0.2.0/24 (仅内部访问的数据库等)
每个子网关联不同的路由表和网络ACL

7. 常见问题与实用技巧

在实际使用中，有几个值得注意的细节：

IP地址冲突 ： 当两个设备被分配相同的IP时，会导致网络故障。解决方法包括：

• 重启路由器（强制DHCP重新分配）
• 手动设置静态IP（避开DHCP范围）
• 检查网络中是否有多个DHCP服务器

子网划分技巧 ： 如果需要将网络划分为多个子网，记住这个简单公式：

• 每个子网可用主机数 = 2^(32-掩码位数) - 2
• 例如/24掩码（255.255.255.0）允许254个主机
• 减去2是因为网络地址和广播地址不能分配给设备

云环境网络规划建议 ：

• 为不同环境（生产、测试、开发）使用不同的VPC或子网
• 按照系统架构分层设计子网（如web层、应用层、数据层）
• 预留足够的IP空间供未来扩展