用途
aws-vpc 技能用于在 AWS 上设计和实现 VPC 及其网络基础设施，重点是生产环境中的子网隔离、路由与安全。适用时机包括：为生产、预发或开发环境构建新 VPC；搭建跨多个可用区的公有/私有子网架构；为私有子网配置 NAT 网关以实现出网访问；创建安全组与 NACL 做网络分段；建立 VPC 对等连接或 Transit Gateway 实现多 VPC 互联；配置 VPC 端点以私有方式访问 AWS 服务；以及排查资源之间的连接问题。
主要能力
- VPC 与子网规划：给出了一个参考网络架构，例如 VPC 使用 10.0.0.0/16（65,536 个 IP），并按公有子网（10.0.1.0/24 等）、私有子网（10.0.11.0/24 等）、数据子网（10.0.21.0/24 等）在三可用区中划分。
- 互联网与 NAT 网关：创建并挂载 Internet Gateway，为每个可用区分配弹性 IP 并创建 NAT 网关，实现高可用出网。
- 路由表：分别创建公有、私有与数据路由表，并将 0.0.0.0/0 指向 IGW 或对应 NAT 网关。
- 安全组：示例包括面向公网的 ALB 安全组、仅允许来自 ALB 的应用安全组、仅允许来自应用层的数据库安全组，形成分层访问控制。
- VPC 端点：支持 S3、DynamoDB 的网关端点（免费、基于路由表）以及 Secrets Manager 的接口端点（基于 ENI，有按小时费用）。
- VPC Flow Logs：可将日志发送到 CloudWatch 或 S3（更利于长期存储），并设置最大聚合间隔等参数。
- VPC 对等连接：创建、接受对等连接，并在双方 VPC 路由表中分别添加路由。
- Terraform 模块示例：提供 aws_vpc、aws_subnet、aws_internet_gateway、aws_eip、aws_nat_gateway、aws_route_table、aws_vpc_endpoint、aws_flow_log 等资源示例。
- 故障排查表：列出私有子网无法上网、公有子网无法上网、EC2 无法访问 S3、安全组规则不生效、NACL 阻断、对等连接单向、DNS 解析失败、NAT 网关费用高、跨 AZ 数据传输费用等问题及其原因与修复方向。
使用方式
技能以 AWS CLI v2 命令为主，通过 create-vpc、create-subnet、create-internet-gateway、create-nat-gateway、create-route-table、create-security-group、create-vpc-endpoint、create-flow-log 等命令完成配置，并提供对应的 Terraform 资源示例。前置条件包括：安装并配置 AWS CLI v2；具备 IAM 权限（ec2:* 或限定到 VPC 相关操作）；完成 CIDR 范围规划（避免与本地或其他 VPC 重叠）；若做 VPC 对等连接，需要能访问两个 VPC（同账号或跨账号）。
适用场景
适合需要构建 AWS 网络基础设施、实现多层隔离架构、多可用区高可用、私有子网访问外部服务、多 VPC 互联或进行网络连接排障的 DevOps 与安全相关工作。
限制
文档未提供价格信息、计费说明、具体平台限制或性能指标；接口端点有按小时费用、网关端点免费等描述仅出现在资料原文中，未展开更多细节。相关技能包括 aws-ec2、aws-ecs-fargate、aws-rds、terraform-aws、firewall-config。