免费，内网流量不计费
内网完全免费，服务器之间经 VLAN 传输的流量也不计费。
# Use your own interface name, VLAN ID and private address
cat > /etc/netplan/60-private.yaml <<'EOF'
network:
version: 2
ethernets:
eno2: {}
vlans:
vlan100:
id: 100
link: eno2
addresses: [10.10.0.11/24]
EOF
chmod 600 /etc/netplan/60-private.yaml
netplan try # reverts unless you confirm within 120 seconds内网互联亮点
远离公网
数据库、缓存和管理界面无需暴露在公网接口上，只有你自己的服务器才能访问。
服务器间二层互通
同一机房内的服务器共享一个 VLAN，地址规划由你决定，可使用私有 IPv4 地址段，也可使用 IPv6 唯一本地地址。
按机房划分
每个内网仅覆盖一个机房；跨机房互联可通过不限流量的公网建立加密隧道。
工作原理
内网互联，分步详解。
- 1
部署在同一机房
将需要互相通信的服务器订购在同一机房。
- 2
获取 VLAN 信息
你在该机房的服务器会接入一个为你的账户保留的 VLAN，并拥有独立的 VLAN ID。
- 3
配置网络接口
在每台服务器上添加一个带私有地址的 VLAN 接口，例如在 Ubuntu 上使用 Netplan 配置。
- 4
迁移内部流量
将复制、存储和集群服务绑定到私有地址，并在公网接口上关闭这些服务。
深入了解
内网互联：你需要了解的要点。
01
哪些流量该走内网
凡是只与你其他服务器通信的服务，都应该放到 VLAN 上：
- 数据库复制：PostgreSQL 流复制、MySQL 复制、Redis 副本。
- 存储流量：Ceph 公共网络和集群网络、NFS、iSCSI，以及发往 Storage 264 的备份任务。
- 集群控制平面：Proxmox VE 的 Corosync、Kubernetes 的 etcd、ClickHouse Keeper、Kafka Broker 间流量。
- 内部服务：服务间 API、Redis 和 Memcached、指标抓取。
地址规划一次到位。使用一个专用的 RFC 1918 地址段（例如 10.10.0.0/16），按角色划分子网，并与办公网和 VPN 地址段区分开，避免日后出现路由冲突。将内部服务绑定到私有地址，并用防火墙保护公网接口，这样即使配置出错也不会暴露服务。私有 VLAN 能让流量远离互联网，但不能替代服务之间的身份认证和 TLS。
02
跨机房连接服务器
私有 VLAN 止于机房边界。要连接位于不同机房的服务器（例如法兰克福和阿姆斯特丹），请通过公网建立加密隧道：
- WireGuard 适合搭建简单、快速的点对点或星型（hub-and-spoke）隧道。
- IPsec 搭配 strongSwan，适合需要与现有防火墙互通的场景。
- 应用层 TLS 适合原生支持 TLS 的复制协议。
每台服务器的公网流量都不限量，跨机房复制和备份不会产生任何传输费用。真正的限制在于延迟：粗略估算，光在光纤中每经过 100 km 路径，往返时延约增加 1 ms，因此同步复制在同一城域内可行，跨洲则很少可行。跨区域请使用异步复制，并将 Ceph、etcd 等对延迟敏感的集群保留在同一机房内。
常见问题
内网互联，有问必答。
内网真的免费吗？
是的。同一机房内服务器之间的私有 VLAN 免费，内部流量也不计费。公网流量同样不限量，因此无论内网还是公网，都不会产生用量费用。
不同机房的服务器可以私有互联吗？
私有 VLAN 仅在单个机房内有效。跨机房时，可通过公网使用 WireGuard 或 IPsec 等加密隧道；公网流量不限量，因此没有传输费用。
VLAN 上应该使用哪些 IP 地址？
任何适合你的私有地址段均可：RFC 1918 IPv4 地址段（例如 10.10.0.0/16）、IPv6 唯一本地地址，或两者同时使用。请选择与办公网或 VPN 网络不重叠的地址段。
内网接口还需要防火墙吗？
这是推荐的做法。VLAN 只承载你自己服务器之间的流量，但将每个服务限制为仅允许需要它的主机访问，可以在某台服务器被入侵时控制损失。复制和内部 API 也应使用 TLS 和身份认证。