子网划分是什么
子网（阿里云叫交换机）是 VPC 内的一段网段，且必须绑定一个可用区——同一个子网不会跨可用区。因此子网划分不只是切网段，更是把「角色分层」和「多可用区高可用」一起设计：每一层在每个可用区各建一个同构子网，故障切换才有位置可落。子网大小创建后不能修改，只能重建。
基本信息
| 原则一 | 同 VPC 内子网网段不重叠；一个子网对应一个可用区 |
|---|---|
| 原则二 | 按层划分：接入层、应用层、数据层、管理层分离 |
| 原则三 | 多 AZ 时每个可用区建同构子网，如 web-a 与 web-b |
| 原则四 | 容器节点子网预留大段，按节点数与 Pod 密度估算 |
| 不可改项 | 子网网段创建后无法修改，容量要按两年后的规模估 |
典型使用场景
- 新 VPC 规划：先定分层与网段总量，再逐层切分子网
- 多可用区部署：同一角色在 AZ-A 与 AZ-B 各有一套子网供实例落位
- 网络分层管控：数据层子网不配公网路由，天然隔离数据库
- 容器集群：节点、Pod、Service 各占独立网段，避免地址冲突
- 混合云接入：VPN 或专线对端子网单独规划，不与业务网段重叠
典型划分表
典型划分表
VPC：10.10.0.0/16 # 总容量约 6.5 万个地址
10.10.0.0/24 web-a（AZ-A，接公网入口）
10.10.1.0/24 web-b（AZ-B） # 与 AZ-A 同构，便于故障切换
10.10.2.0/24 app-a
10.10.3.0/24 app-b
10.10.100.0/24 db（仅内网，无公网路由） # 数据层独立管控
10.10.200.0/22 k8s-nodes（预留 1024 个地址）分层与子网职责
| 层级 | 网段建议 | 路由与安全要点 |
|---|---|---|
| 接入层 | 每 AZ 一个 /24 | 可挂 EIP 或走负载均衡，仅开放 80/443 |
| 应用层 | 每 AZ 一个 /24 | 只允许来自接入层安全组的流量 |
| 数据层 | 独立网段 | 不配公网路由，只允许应用层访问 |
| 管理层 | 独立小网段 | 仅堡垒机或运维网段可达 |
子网网段创建后无法修改。规划时按两年后的实例与容器规模估算，宁可留大一点，也不要反复重建子网给业务挪机器。
混合云场景要避免网段重叠：本地 IDC、其他 VPC、VPN 对端的网段都要提前登记核对，重叠后无法通过路由打通，只能重建其中一侧。