子网划分是云网融合架构稳定、可扩展与可管理的核心，需按业务域和安全等级精细化设计，匹配AZ容灾、IP效率及自动化运维要求。
子网划分不是配个掩码就完事，它直接决定云网融合架构能不能稳住、扩得开、管得住。现代架构里，子网既是网络隔离的边界，也是策略控制的锚点，更是资源调度和安全治理的基本单元。
子网划分必须匹配业务域与安全等级
不能按楼号或服务器数量硬切，要先梳理业务流：Web前端、API网关、数据库、缓存、后台管理这些组件天然存在访问关系和信任层级。比如金融系统常把数据库放在10.0.3.0/24子网，只允许来自10.0.2.0/24（应用层）的特定端口访问，其他子网默认拒绝。这种设计让安全组规则更精简，也避免“全通”式配置带来的横向移动风险。
- 每个子网对应一个明确的业务角色或数据敏感度等级
- 跨子网通信必须显式声明，不依赖默认路由
- 高敏子网禁用公网出口，仅通过NAT网关或私有连接出向
云环境下的子网需兼顾AZ容灾与IP效率
单个子网不能只画在一个可用区（AZ）。例如分配10.0.10.0/25，前126个地址给AZ-A，后126个给AZ-B——这样既保证同一子网能跨AZ部署，又避免因AZ故障导致整个子网不可用。同时，/25比/24更节省IP，适合中小规模微服务集群；而核心数据库子网用/26（62个可用地址）就够，留出余量做滚动升级和灾备实例。
- 生产子网建议至少覆盖两个AZ，且CIDR块支持AZ内均衡分配
- 测试或CI/CD子网可用/28（14个地址），快速回收不占资源
- 预留连续大段地址用于未来合并（超网），如保留10.0.100.0/20作为扩展池
容器与虚拟机共存时，子网要分层规划
VM走VPC原生子网，容器走独立桥接网络，两者IP空间必须错开。例如VPC总段为10.0.0.0/16，其中10.0.1.0/24–10.0.10.0/24划给VM，10.0.100.0/22专供Docker自定义网络（如172.20.0.0/24这类RFC1918地址仅作容器内部通信，不参与VPC路由）。这样既能用VPC Flow Logs审计VM流量，又不影响容器DNS服务发现。
- 避免在宿主机上启用docker0默认网桥，统一用
docker network create --subnet创建可管理子网 - K8s集群的Pod CIDR和Service CIDR必须与VPC子网无重叠，且预留足够空间
- 混合环境中，用VPC路由表+自定义网关实现子网间可控互通，而非打通所有子网
自动化运维依赖子网语义化命名与标签
光靠IP段看不出用途。推荐命名规范如：prod-web-ap-southeast-1a-01（生产/Web/亚太东南1a区/第1个子网），再打上env=prod、tier=web、az=ap-southeast-1a等标签。Terraform或Ansible部署时，自动读取标签生成安全组、路由和监控策略，减少人工配置错误。
- 子网ID和名称应纳入CI/CD流水线参数，禁止硬编码
- 定期扫描未打标签或长期无流量的子网，及时归档或释放
- 使用AWS VPC Reachability Analyzer或Azure Network Watcher验证子网连通路径是否符合预期
