Summary

  • AWS 共享 VPC 允许同一 AWS Organizations 内的参与账户在拥有者共享的子网中部署自己的 EC2、RDS 等应用资源。参与方支付这些资源，以及 AWS 列出的跨可用区、对等连接、互联网网关和 Direct Connect 数据传输费用。
  • VPC 拥有者支付 NAT、PrivateLink、端点等网络费用，也支付共享 VPC 中使用的公网 IPv4 地址费用。停止共享只阻止参与方新建资源；现有资源继续运行，未删除前，拥有者不能删除相关子网或 VPC。

一条网线，两个付款人

共享子网的宣传语很诱人：网络由中心团队统一管理，业务团队仍使用自己的 AWS 账户。管理权整齐地收在一起，费用却按计量对象分散。AWS 的账单说明把 EC2 实例、RDS 数据库、Redshift 集群和 Lambda 函数的费用放在参与账户；共享 VPC 使用的公网 IPv4 地址放在拥有者账户。业务团队可以拥有一台服务器，却不收到与这张共享网络相连的地址账单。

这不是“网络费全由中心付”的简单故事。AWS 明列参与账户承担跨可用区、VPC 对等连接、互联网网关及 Direct Connect 网关相关的数据传输费。另一方面，NAT 网关、虚拟私有网关、Transit Gateway、PrivateLink 和 VPC 端点的适用小时费、处理费及传输费归 VPC 拥有者。同一应用沿着某条路径发出流量，计算费用、部分传输费用与中心网关费用就可能分别出现在两本账上。只看业务账户的成本报表，会把网络设计的价格看薄。

还有一个容易误判的零：AWS 说明，同一可用区内以 AZ ID 识别的资源间传输，不论账户归属，免费。流量一旦换了路径，跨区计量可以出现，即使服务器数量一台也没增加。要解释某张账单，必须找出实际部署路径和账户用量记录，而不是凭架构图上的一条直线猜。

能改网关的人，收到另一部分账单

AWS 把子网、路由表、NAT 网关和端点交给 VPC 拥有者管理。参与账户能管理自己创建的网络接口和安全组，却不能在共享子网中创建、删除，甚至描述 NAT 网关。这种分工让中心团队维护一套网络；它也让业务团队可能增加经过中心网关的需求，却不在自己的直接账单上看到那项网关费用。谁有权改路径，谁付哪一笔，必须同时写进内部规则。

公网 IPv4 把这种错位照得更亮。AWS 当前标准 VPC 价格表列出在用和闲置公网 IPv4 每地址每小时 0.005 美元，按秒计费，最低 60 秒。共享 VPC 账单说明则明确把其中使用的公网 IPv4 费用给拥有者。此处没有任何真实客户的地址数或账单数字；实际归因还需两个账户的用量记录。把每个参与方占用的地址与拥有者收到的费用对上，比争论“谁的 VPC”更有用。

解除共享，不等于清场

拥有者可以停止共享子网。AWS 的操作说明说，参与方此后不能在里面新建资源，但旧资源继续运行，并仍可由参与方修改或删除。只要它们还在，拥有者就不能删除该子网或共享 VPC。中心团队握着网络钥匙，却不能越过另一个账户正在运行的资源直接拆房。

这才是共享 VPC 的经济结构：它把控制权集中，也把某些成本留给控制者；参与方保持自己的应用和若干流量费用。让新账户进入子网之前，先约定地址、网关和退出时的清算方式。否则业务团队觉得服务器价格合理，网络团队觉得网络价格离谱，双方拿出的 AWS 账单还都是真的。

资料来源