数据库与应用节点分网时，子网隔离和安全组规则各有适用边界

数据库和应用放在不同子网，并不等于两者已经互相隔离：如果路由允许通信，且访问控制规则放行，应用仍可能连接数据库，其他节点也可能获得不必要的访问路径。设计云上数据库与应用节点的网络隔离方法，应把子网当作网络分区，把安全组当作实例通信规则，并同时检查路由和管理入口。

先分清子网与安全组分别解决什么问题

子网划分用于把云上私有网络拆分为不同地址范围，便于按角色管理路由和访问策略。将应用节点与数据库放入不同子网，可降低地址混用和误配置的风险，也便于对数据库子网采用更严格的路由控制。但仅仅使用不同子网，不一定会阻止它们互通。

安全组通常绑定在云主机或网卡上，通过入站、出站规则控制流量。常见云平台的安全组具有有状态特征：允许一个方向的连接后，返回流量通常可自动通过；具体行为应以所用云产品的规则说明为准。相比之下，网络访问控制列表通常作用于子网边界，部分实现是无状态的，需要分别考虑请求和返回流量。

按通信需求组合控制，而非只选一种

例如，一组应用节点需要访问 PostgreSQL 数据库，可将应用与数据库置于不同子网，再只允许应用节点的安全组访问数据库安全组的 TCP 5432 端口。若使用 MySQL，则按实际服务配置放行 TCP 3306。端口只是常见默认值；部署采用自定义端口时，应以实例配置为准。

数据库入站规则优先引用应用节点的安全组，而不是直接允许整个私有网络地址段。如果云平台不支持安全组间引用，可使用应用子网的精确地址范围，并建立地址变更后的复核流程。应用节点的出站也不宜默认全部开放：先列出数据库、必要的内部服务及更新源，再按目的地址和端口设置规则。云上数据库与应用节点的网络隔离方法是否有效，关键在于规则是否体现真实调用关系。

可执行的配置与验证步骤

1. 梳理通信清单：记录应用到数据库的协议、端口、数据库节点范围，以及备份、复制、监控和管理所需的独立连接。

2. 划分子网并检查路由：为应用和数据库分配不同地址段；确认数据库子网没有不必要的外部路由，同时保留业务确实需要的内部路径。

3. 设置安全组：数据库入站仅允许指定应用安全组或精确来源地址访问所需端口；管理访问另设受控来源，不将数据库服务开放给任意地址。

4. 评估子网级规则：如需网络访问控制列表，在上线前核对入站、出站及返回流量规则，避免与安全组叠加后造成连接失败。

5. 逐项验证：从授权应用节点测试数据库连接，再从未授权节点验证无法连接；同时检查日志、健康检查和备份任务，确认必要通信未被误拦截。

6. 持续复核：应用扩容、地址变化或新增数据库副本后，检查规则来源是否仍准确，删除已不需要的临时放行项。

判断边界：什么时候需要加一道控制

小型、结构简单的网络，使用分离子网、明确路由和精细安全组，往往已能建立清楚的访问边界。节点较多、由不同团队维护，或要求在子网层统一拦截时，可增加网络访问控制列表；但它不能替代安全组对具体节点访问关系的限制。若数据库包含不同权限等级的数据，还应结合数据库账号权限和加密传输等措施，避免把网络隔离当成唯一防线。

归根结底，云上数据库与应用节点的网络隔离方法不是“分了网段就安全”，而是让子网、路由、安全组和服务自身权限共同符合最小权限原则。

常见问题

不同子网之间默认不能通信吗？

不一定。是否能通信取决于云平台的默认行为、路由和访问控制规则，不能仅凭子网不同作判断。

只用安全组，不做子网划分可以吗？

简单网络中可以实现节点级限制，但子网划分更利于按层管理地址和路由。网络规模扩大后，通常应结合使用。

网络访问控制列表能替代安全组吗？

通常不建议。它更适合补充子网边界过滤，安全组则便于表达应用节点到数据库节点的具体访问关系。

规则改完后如何确认隔离生效？

分别从授权和未授权节点测试目标端口，并核查连接日志及备份、复制等依赖任务；不要只以控制台显示规则正确作为验证。