Связаться с экспертомПопробовать бесплатно
Создавайте контент и получайте гранты!Готовы написать своё руководство? Участвуйте в контент-программе и получайте гранты на работу с облачными сервисами!
Подробнее о программе
Проект Яндекса
© 2026 ТОО «Облачные Сервисы Казахстан»

Вопросы и ответы про Virtual Private Cloud

Статья создана
Улучшена
Обновлена 3 ноября 2026 г.
Открыть в Markdown

Сети и маршрутизация

IP-адреса и NAT

Безопасность

Диагностика и решение проблем

Сети и маршрутизация

Что такое VPC?

VPC (Yandex Virtual Private Cloud) — это способ связи и организации облачных ресурсов с использованием виртуальных сетей.

Какие сетевые технологии доступны пользователям Yandex Cloud?

VPC позволяет назначать машинам внутренние и внешние IP-адреса, создавать облачные сети и подсети.

Как создать облачную сеть?

При создании каталога через консоль управления сеть будет создана в нем автоматически. Также облачную сеть можно создать вручную с помощью консоли управления.

Как создать подсеть?

В каталоге по умолчанию подсети будут созданы автоматически. Дополнительные подсети можно создать с помощью консоли управления или CLI.

Какие ограничения существуют при создании подсетей?

В подсетях можно использовать только частные IP-адреса из IPv4-диапазонов, определенных в RFC 1918.

Как настроить маршрутизацию между двумя облачными сетями?

Связать облачные сети можно несколькими способами:

  • VPN-туннель через интернет. В каждой сети размещается ВМ с публичным IP-адресом. Между ВМ настраивается туннель, например OpenVPN или IPsec. В таблицах маршрутизации в качестве следующего узла указываются внутренние IP-адреса ВМ в соответствующих сетях. Исходящий трафик между публичными IP-адресами тарифицируется.
  • ВМ с сетевыми интерфейсами в разных сетях. На ВМ настраивается маршрутизация, а в таблицах маршрутизации сетей — маршруты к нужным подсетям через внутренние адреса интерфейсов этой ВМ. За основу можно взять NAT-инстанс, добавив ему интерфейс в другой сети и маршруты к конкретным подсетям. Также доступны виртуальные роутеры Cisco и MikroTik; для их работы могут потребоваться лицензии.
  • VPC Stitching. Механизм Cloud Router связывает сети в каталогах одного или разных облаков в пределах одной организации. Он доступен только при подключенной услуге Cloud Interconnect с объемом трафика не менее 300 ТБ. Подробнее в руководстве Организация сетевой связности между несколькими виртуальными сетями с помощью VPC Stitching.

Как изменить сеть или подсеть для кластера управляемой базы данных?

Сеть задается при создании кластера. В сервисах, поддерживающих восстановление кластера из резервной копии, можно выбрать другую сеть при восстановлении. Порядок действий описан в инструкциях:

Чтобы изменить подсеть в пределах той же сети, можно пересоздать хост в нужной подсети: сначала добавить новый хост, затем удалить старый. Возможность и порядок действий зависят от сервиса и конфигурации кластера. Перед удалением учитывайте ограничения сервиса и убедитесь, что данные доступны на новом хосте. Инструкции по управлению хостами и группами хостов:

Можно ли использовать IPv6-адреса?

Virtual Private Cloud не поддерживает IPv6. Для сценариев, в которых клиенты подключаются по IPv6, можно разместить вне Yandex Cloud сервер, принимающий подключения по IPv4 и IPv6 и передающий запросы к облачным ресурсам по IPv4.

Как организовать отказоустойчивый VPN или NGFW?

В виртуальных сетях Virtual Private Cloud не поддерживаются VRRP и другие протоколы, которым нужен общий виртуальный IP-адрес между ВМ. Подробнее об ограничениях в разделе Устройство сети в Yandex Cloud.

Для отказоустойчивости сетевых ВМ используйте решения с переключением маршрутов:

IP-адреса и NAT

Каким ресурсам можно назначать IP-адреса?

Адреса можно назначить виртуальным машинам и хостам в кластерах баз данных.

Как назначаются IP-адреса облачным ресурсам?

Публичные IP-адреса облачным ресурсам можно назначить автоматически или выбрать из списка зарезервированных статических адресов. Внутренние адреса можно назначать автоматически или вручную при создании виртуальной машины.

Как сделать публичный IP-адрес статическим?

Публичный IP-адрес можно сделать статическим во вкладке Публичные IP-адреса сервиса VPC в консоли управления.

Почему у моей ВМ или базы данных изменился IP-адрес?

Чаще всего проблема в том, что IP-адрес был динамическим.

IP-адрес может быть статическим или динамическим. Динамический IP-адрес назначается ресурсу по умолчанию и может измениться при остановке и последующем запуске ресурса, пересоздании сетевого интерфейса или самого ресурса. Например, ресурс может остановиться из-за задолженности. При перезагрузке ВМ без остановки публичный IP-адрес сохраняется.

Динамические IP-адреса обычно используют для тестовых и временных сред, а также для сервисов, не принимающих входящие подключения.

Если динамический IP-адрес вам не подходит, сделайте его статическим.

Могу ли я защитить публичный IP-адрес от случайного удаления?

Да, публичный IP-адрес можно защитить от случайного удаления.

Можно ли восстановить удаленный публичный IP-адрес?

После удаления публичный IP-адрес возвращается в общий пул и может быть выдан другому пользователю. Поэтому восстановление прежнего адреса не гарантируется.

Если требуется вернуть адрес ВМ или балансировщика, создайте запрос в техническую поддержку. В нем укажите IP-адрес и идентификатор каталога.

Чтобы сохранить адрес при остановке ресурса, зарезервируйте статический публичный IP-адрес или сделайте динамический адрес статическим. Для защиты от случайного удаления включите защиту от удаления.

Можно ли перенести публичный IP-адрес в другую зону доступности?

Перенос зарезервированного публичного IP-адреса между зонами доступности не поддерживается: каждой зоне выделен свой пул адресов.

Если для вашего сценария необходимо сохранить адрес в другой зоне, создайте запрос в техническую поддержку. В нем укажите публичный IP-адрес и опишите сценарий.

Что делать, если сайт неверно определяет страну публичного IP-адреса?

Сторонние сайты могут использовать устаревшие базы геолокации IP-адресов — из-за этого сайт может неверно определять страну адреса или блокировать подключения.

Проверьте адрес по списку диапазонов Yandex Cloud. Регистрационные сведения об адресе доступны через whois или базу RIPE; они могут отличаться от данных геолокации, используемых конкретным сайтом.

Если нужен другой адрес, отвяжите текущий публичный IP-адрес от ВМ и назначьте новый. Это изменит адрес подключения к ВМ. Подходящий адрес можно сделать статическим.

В чем разница между NAT-шлюзом и NAT-инстансом?

NAT-шлюз предоставляет облачным ресурсам доступ в интернет без назначения им публичных IP-адресов и без создания дополнительных ВМ. Задать шлюзу фиксированный публичный IP-адрес нельзя. Использование шлюза и исходящий через него трафик тарифицируются.

NAT-инстанс — обычная виртуальная машина, настроенная для трансляции сетевых адресов. Для нее можно использовать готовый образ из Cloud Marketplace или другой подходящий образ и настроить NAT самостоятельно. Такой вариант позволяет использовать статический публичный IP-адрес и управлять обработкой трафика. Настройку и обслуживание ВМ выполняет пользователь; ресурсы ВМ, публичный IP-адрес и исходящий трафик оплачиваются по правилам тарификации.

NAT-шлюз получает публичные IP-адреса из отдельного диапазона. Назначить ему зарезервированный статический адрес или собственный пул адресов нельзя.

Если внешнему сервису нужен фиксированный адрес источника, например, для списка разрешенных адресов, используйте NAT-инстанс со статическим публичным IP-адресом.

Безопасность

Как заблокировать доступ с определенного IP-адреса?

В группах безопасности действуют разрешающие правила: весь трафик, который не разрешен явно, блокируется. Отдельного запрещающего правила для одного IP-адреса нет. Можно разрешить доступ только с доверенных адресов или подсетей.

Для блокировки отдельных адресов на ВМ можно использовать межсетевой экран, например UFW или iptables.

Для HTTP-запросов к веб-приложению также подойдет Yandex Smart Web Security: базовое правило может блокировать запросы по условию на IP-адрес.

Как отключить защиту от DDoS-атак на публичном IP-адресе?

Адреса с защитой от DDoS-атак выдаются из отдельного пула. Включить или отключить защиту у уже назначенного публичного IP-адреса не получится.

Чтобы использовать ВМ без защиты от DDoS-атак:

  1. Отвяжите текущий публичный IP-адрес.
  2. Назначьте новый публичный IP-адрес, не включая опцию Защита от DDoS-атак.

Внимание

Публичный IP-адрес ВМ изменится. Подключаться к ВМ по прежнему адресу будет невозможно.

Диагностика и решение проблем

Почему у меня медленная скорость соединения в сервисах Yandex Cloud?

Скорость зависит от сетевой нагрузки, ресурсов источника и получателя, маршрута и промежуточных узлов. При высокой сетевой нагрузке рассмотрите программно ускоренную сеть. Для выделенного канала с гарантированной полосой используйте Cloud Interconnect.

Если скорость ниже ожидаемой, создайте запрос в техническую поддержку. Для диагностики приложите данные:

  • Направление соединения, в котором наблюдаются проблемы: внутри облачной сети, из облачной сети в интернет, из интернета в облачную сеть.
  • Тип трафика, для которого наблюдаются проблемы: входящий, исходящий.
  • Параметры цели и источника: идентификаторы виртуальных машин, IP-адреса, FQDN.
  • Результаты выполнения команды mtr <IP-адрес_или_домен_цели>.

Что делать, если блокируется почтовый трафик?

Yandex Cloud блокирует только трафик, который отправляется с публичных IP-адресов на порт 25. Исключение — трафик, отправляемый на почтовые серверы Яндекса.

Чтобы почтовый трафик не блокировался, перенастройте ваш почтовый сервер на использование портов 465 и 587. Для этого воспользуйтесь этими портами в качестве почтового шлюза и делегируйте ваш домен на серверы Яндекса с помощью Почты для домена.

Если вам нужен 25 порт, присвойте виртуальной машине новый IP-адрес:

  1. Запросите новый IP-адрес с открытым портом 25. При запросе сообщите поддержке:

    • идентификатор каталога, в котором нужен IP-адрес;
    • зону доступности;
    • домен для PTR-записи, если требуется.

  2. Открепите от виртуальной машины текущий IP-адрес. Для этого в CLI выполните команду:

    yc compute instance remove-one-to-one-nat \
  --id=<идентификатор_виртуальной_машины> \
  --network-interface-index=0

  3. Прикрепите новый IP-адрес, полученный от поддержки.

Мы оставляем за собой право заблокировать IP-адрес и/или приостановить действие ВМ, если получим жалобы на спам с этого адреса.

Если письма не доходят до получателей, проверьте публичный IP-адрес почтовой ВМ или NAT-инстанса в списках блокировок RBL/DNSBL, например с помощью MXToolbox.

При наличии адреса в списке проверьте почтовый сервер: причиной могут быть жалобы на спам, некорректные PTR-записи для IP-адреса и DMARC-записи домена или компрометация сервера. После устранения причины обратитесь к оператору списка блокировок для исключения адреса.

Если адрес отсутствует в списках или проблема сохраняется, обратитесь в техническую поддержку. Укажите публичный IP-адрес или его идентификатор и приложите результаты проверки в RBL/DNSBL.

Как читать график Connections quota utilization?

График Connections quota utilization показывает использование ограничений на количество сетевых соединений в процентах.

В метриках Compute Cloud используются два показателя:

  • network_connections.quota_utilization — для виртуальной машины.
  • network_connections.interface_quota_utilization — для отдельного сетевого интерфейса ВМ.

Это разные ограничения, поэтому значения метрик могут отличаться даже у ВМ с одним интерфейсом. При оценке загрузки ориентируйтесь на максимальное значение на графике.

При использовании пользовательской группы безопасности лимит составляет 350 000 соединений на сетевой интерфейс. При достижении лимита новые соединения отбрасываются.

Число соединений в мониторинге может превышать число соединений внутри ОС: записи удаляются с задержкой. Подробнее о жизненном цикле соединения и настройке keepalive в разделе Мониторинг сетевых соединений.

График показывает использование лимита соединений, а загрузку vCPU нужно оценивать отдельно. В обычной сети ВМ процессы обработки сетевого трафика и пользовательские процессы используют одни и те же вычислительные ядра, выделенные ВМ. Гипервизор распределяет нагрузку между этими ядрами. Подробнее в разделе Обычная сеть ВМ.

Как получить логи входящего и исходящего трафика?

Для записи потоков трафика во внешние по отношению к Virtual Private Cloud сети используйте Yandex Audit Trails. Событие ExternalFlow относится к событиям уровня сервисов (Data Plane).

Создайте трейл, настройте сбор событий уровня сервисов для Virtual Private Cloud и выберите место хранения логов. Логи помогут анализировать сетевые соединения после включения сбора.

Если нужен дополнительный анализ трафика на ВМ, можно настроить IDS/IPS, например Suricata или Snort. Информация о расходах на трафик доступна в детализации потребления.

Что делать при ошибках TLS-соединений на ВМ с защитой от DDoS-атак?

Если на ВМ с защищенным публичным IP-адресом долго устанавливаются TLS-соединения, возникают ошибки загрузки пакетов или запросы curl зависают, проверьте настройки MTU и MSS.

Для адресов с защитой от DDoS-атак рекомендуется MTU 1450 байт. Порядок настройки для Linux, Windows и узлов Managed Service for Kubernetes приведен в инструкции Настроить MTU при включении защиты от DDoS-атак. Подробнее о параметрах в разделе MTU и MSS.

Если на ВМ используются Docker-контейнеры, MTU нужно настроить также для их сетевых интерфейсов. Для стандартного сетевого моста Docker добавьте параметр "mtu": 1450 в /etc/docker/daemon.json, сохранив остальные параметры, и перезапустите Docker:

sudo systemctl restart docker

Перезапуск может повлиять на работающие контейнеры. Для других сетей Docker проверьте MTU в их настройках.

Если проблема сохраняется, обратитесь в техническую поддержку. Укажите идентификатор ВМ, защищенный публичный IP-адрес, описание ошибки и вывод менеджера пакетов или команды curl -vI https://<домен>.

Почему не удаляется облачная сеть и возникает ошибка Network is not empty?

Ошибка Network is not empty означает, что в сети остались дочерние ресурсы. Перед удалением сети удалите ее ресурсы:

Если удалить сеть не удается, создайте запрос в техническую поддержку. В нем укажите идентификатор сети и текст ошибки.

Почему не удаляется группа безопасности?

Если группа безопасности назначена сетевому интерфейсу ресурса, при удалении возникает ошибка:

Security group enpxxxxxxxxxxxxxxxxx has reference to VM network interface

Отвяжите группу безопасности от всех ресурсов, сетевым интерфейсам которых она назначена, затем удалите группу. Группа может использоваться не только ВМ — полный список ресурсов приведен в разделе Применение групп безопасности.

Если не удается определить, какие ресурсы используют группу, обратитесь в техническую поддержку и укажите идентификатор группы безопасности.

Группу безопасности, созданную в сети по умолчанию, удалить нельзя.

Почему мне не удается настроить доступ к внешней базе данных из Virtual Private Cloud через NAT-шлюз?

Если в настройках внешней базы данных или файрвола разрешены подключения только с текущего IP-адреса NAT-шлюза, доступ может прерваться после изменения этого адреса.

Примечание

Если внешний ресурс ограничивает доступ по IP-адресам, учитывайте, что публичные IP-адреса NAT-шлюза могут меняться и их нельзя зарезервировать. Для доступа с фиксированного IP-адреса используйте NAT-инстанс со статическим публичным IP-адресом. Добавьте этот адрес в список разрешенных на внешнем ресурсе.

Диапазоны публичных IPv4-адресов ресурсов Yandex Cloud используются разными клиентами облака. Добавление всех этих диапазонов в список разрешенных откроет сетевой доступ также с IP-адресов других клиентов.

Другие вопросы

Почему в консоли управления я не вижу моих давних операций?

Срок хранения информации о событиях в консоли управления — 14 дней.

Соответствует ли сервис требованиям Федерального закона Российской Федерации № 152-ФЗ О персональных данных?

Да, вы можете ознакомиться с полным заключением по результатам аудита системы защиты.

Я могу получить логи моей работы в сервисах?

Да, вы можете запросить информацию о работе с вашими ресурсами из логов сервисов Yandex Cloud. Для этого обратитесь в техническую поддержку.

Предыдущая
История изменений
Следующая
Обучающие курсы