| 原则一 | 同 VPC 子网网段不重叠；一个子网对应一个可用区 |
|---|---|
| 原则二 | 按层划分：公网接入层/应用层/数据层/管理层分离 |
| 原则三 | 多 AZ 时每个 AZ 建同构子网（如 web-a / web-b） |
| 原则四 | 容器节点子网预留大段（按节点数与 Pod 密度估算） |
典型划分表（VPC 10.10.0.0/16）
典型划分表（VPC 10.10.0.0/16）
10.10.0.0/24 web-a（AZ-A，公网入口）
10.10.1.0/24 web-b（AZ-B）
10.10.2.0/24 app-a
10.10.3.0/24 app-b
10.10.100.0/24 db（仅内网，无路由到公网）
10.10.200.0/22 k8s-nodes（预留 1024 地址）子网大小创建后不可改：按两年后的规模估容量，宁大勿小。