MySQL VPC（Virtual Private Cloud，虚拟私有云）内网架构通过私有网络连接数据库，避免公网暴露，显著提升安全性和性能。核心优势是：内网低延迟、高安全性、成本优化。本文结合行业数据与实践案例，介绍 VPC 架构设计、内网连接配置、安全策略与实践步骤。
一、VPC 内网架构为何重要：数据与优势
传统公网数据库连接存在安全风险和性能问题。VPC 内网架构通过私有网络隔离，可显著提升安全性和性能。
| 指标 | 公网连接 | VPC 内网连接 | 改善程度 |
|---|---|---|---|
| 网络延迟 | 10–50ms | 1–5ms | 降低 80–90% |
| 安全性 | 暴露公网 IP，易受攻击 | 私有网络，不可外网访问 | 显著提升 |
| 带宽成本 | 按公网流量计费 | 内网免费或极低 | 降低 90%+ |
| 连接稳定性 | 受公网波动影响 | 内网稳定，SLA 高 | 显著提升 |
数据来源：阿里云、AWS、腾讯云等云服务商的公开数据（综合整理）。
在 Serverless 架构中，函数计算（FC）通过 VPC 内网连接 MySQL，可显著降低延迟和成本。下表对比了不同数据库连接方案：
| 连接方案 | 延迟 | 安全性 | 成本 | 适用场景 |
|---|---|---|---|---|
| 公网 IP + 白名单 | 10–50ms | 中（需白名单） | 按流量计费 | 开发测试、临时访问 |
| VPC 内网 | 1–5ms | 高（私有网络） | 内网免费 | 生产环境、Serverless |
| VPN/专线 | 5–20ms | 很高 | 固定成本 | 企业内网、混合云 |
二、VPC 架构设计
典型的 VPC 架构包含：VPC 网络、子网、路由表、安全组等组件。以下介绍核心组件。
2.1 VPC 网络
VPC 是逻辑隔离的私有网络，可自定义 IP 地址段（如 10.0.0.0/16）。一个 VPC 可包含多个子网，不同子网可部署不同资源（如 Web 服务器、数据库）。
2.2 子网设计
建议将数据库部署在私有子网（Private Subnet），不分配公网 IP；应用服务器部署在公有子网（Public Subnet），可访问公网。这样数据库完全隔离，提升安全性。
2.3 安全组配置
安全组是虚拟防火墙，控制入站和出站流量。数据库安全组建议：仅允许应用服务器 IP 访问 3306 端口，拒绝所有公网访问。
三、MySQL VPC 连接配置
在 Serverless 场景下，函数计算（FC）通过 VPC 内网连接 MySQL，需正确配置网络和连接池。以下介绍配置要点。
| 配置项 | 说明 | 建议值 | 注意事项 |
|---|---|---|---|
| VPC ID | 函数计算所属 VPC | 与数据库同一 VPC | 确保网络连通 |
| 子网 ID | 函数计算所属子网 | 私有子网 | 避免公网 IP |
| 安全组 | 允许函数访问数据库 | 仅 3306 端口 | 最小权限原则 |
| 连接地址 | 数据库内网地址 | 如 10.0.1.100:3306 | 使用内网域名或 IP |
| 连接池 | 复用数据库连接 | 最大 10–20 连接 | 避免连接泄漏 |
3.1 连接池优化
Serverless 函数执行时间短，需使用连接池复用数据库连接。建议：使用连接池库（如 mysql2 的 Pool），配置最大连接数、超时时间，避免连接泄漏。
3.2 超时配置
函数执行时间有限（通常 3–10 秒），数据库查询需设置合理超时。建议：查询超时 2–3 秒，连接超时 1 秒，避免函数超时。
四、VPC 安全策略
VPC 内网架构的安全性体现在网络隔离、访问控制、数据加密三方面。以下介绍安全实践。
说明：权重基于对 VPC 安全防护效果的分析，非官方披露数据，仅供参考。
4.1 网络隔离
数据库部署在私有子网，不分配公网 IP，完全隔离公网访问。仅允许同一 VPC 内的应用服务器访问，显著降低攻击面。
4.2 访问控制
通过安全组控制访问：仅允许特定 IP 或安全组访问数据库端口（3306）。建议：使用安全组 ID 而非 IP，便于动态管理。
五、VPC 架构实施步骤
按以下步骤实施 MySQL VPC 内网架构：
- 创建 VPC：规划 IP 地址段（如 10.0.0.0/16），创建 VPC 和子网。
- 部署数据库：在私有子网部署 MySQL，配置内网地址，不分配公网 IP。
- 配置安全组：创建数据库安全组，仅允许应用服务器访问 3306 端口。
- 配置应用连接：在函数计算（FC）中配置 VPC，使用数据库内网地址连接。
- 测试连接：从应用服务器测试数据库连接，验证网络连通性。
- 优化性能：配置连接池、查询超时，优化数据库查询性能。
- 监控告警：配置数据库监控、慢查询日志，及时发现性能问题。
六、常见问题与解决方案
VPC 架构实施中常见问题及解决方案：
| 问题 | 原因 | 解决方案 |
|---|---|---|
| 无法连接数据库 | 安全组未配置、VPC 不同 | 检查安全组规则、确认 VPC 一致 |
| 连接超时 | 函数超时设置过短、查询慢 | 增加函数超时、优化查询、使用索引 |
| 连接泄漏 | 未使用连接池、连接未关闭 | 使用连接池、确保连接关闭 |
| 性能下降 | 连接池配置不当、查询未优化 | 调整连接池大小、优化 SQL、添加索引 |
七、VPC 架构自检清单
MySQL VPC 架构上线前，可按下列项自检：
| 检查项 | 优先级 | 是/否 |
|---|---|---|
| 数据库已部署在私有子网，无公网 IP | 必须 | □ |
| 安全组已配置，仅允许应用访问 | 必须 | □ |
| 应用已配置 VPC，使用内网地址连接 | 必须 | □ |
| 已配置连接池，复用数据库连接 | 必须 | □ |
| 已设置查询超时，避免函数超时 | 必须 | □ |
| 已测试连接，网络连通正常 | 必须 | □ |
| 已配置监控和告警 | 建议 | □ |
| 已优化数据库查询和索引 | 建议 | □ |
八、小结
MySQL VPC 内网架构通过私有网络连接数据库，显著提升安全性和性能。核心是网络隔离、访问控制、连接优化三方面，合理配置可降低延迟 80–90%、成本 90%+。
落地时可从创建 VPC、部署数据库、配置安全组、配置应用连接、测试连接、优化性能、监控告警七步入手，结合自检清单逐步完善。若需要构建 Serverless 架构以降低运维成本，可参考本站《Serverless 架构实践指南》；若需要设计安全的 API 接口，可阅读《API 安全设计最佳实践》。