📚 课程目录第4章模板版本隔离概念

4、网络基础回顾：VPC、子网、路由表、NAT网关、负载均衡器在IDP中的角色

在构建平台工程内部开发者门户（IDP）时，网络基础设施是支撑多租户隔离与模板版本策略的基石。本章将回顾云原生网络的核心组件——VPC、子网、路由表、NAT网关与负载均衡器，并明确它们在IDP架构中的具体职责。

4.1 VPC：租户隔离的边界

虚拟私有云（VPC）是IDP中实现第一层网络隔离的基本单元。每个租户或每个模板版本可以拥有独立的VPC，确保网络流量在逻辑上完全隔离。

CIDR块规划：为每个VPC分配不重叠的IP地址段（如10.0.0.0/16），避免租户间路由冲突。
安全边界：VPC天然提供网络隔离，租户A无法直接访问租户B的VPC内部资源。
模板版本关联：不同版本的部署模板可映射到不同VPC，实现版本级网络隔离。

IDP实践建议：在自动化创建VPC时，使用标签（Tag）标记租户ID与模板版本号，便于后续网络策略的审计与回收。

4.2 子网：资源分组的粒度

子网是VPC内的二级网络划分，用于将计算、存储、数据库等资源按功能角色或安全层级分组。在IDP中，子网设计直接影响模板的灵活性与可移植性。

子网类型	典型用途	IDP角色
公有子网	负载均衡器、NAT网关、堡垒机	暴露对外服务端点
私有子网	应用服务器、容器组	运行核心业务负载
数据子网	数据库、缓存、消息队列	保护有状态数据层

每个模板版本可以定义自己的子网拓扑，例如：

# 模板版本 v2.1.0 的子网定义示例
subnets:
  - name: public-subnet
    cidr: 10.0.1.0/24
    type: public
  - name: private-subnet
    cidr: 10.0.2.0/24
    type: private
  - name: data-subnet
    cidr: 10.0.3.0/24
    type: data

4.3 路由表：流量路径的控制中枢

路由表决定了子网内流量的下一跳走向。在IDP的多租户场景中，路由表是策略隔离的关键工具。

本地路由：VPC内子网间默认互通，无需额外配置。
NAT网关路由：私有子网通过路由表将出站流量指向NAT网关，实现对外访问。
对等连接/Transit Gateway路由：跨VPC通信时，路由表控制哪些租户或版本可以互相访问。
模板版本路由策略：不同版本的模板可绑定不同的路由表，实现灰度流量或版本隔离。

常见陷阱：路由表条目过多或CIDR重叠会导致路由黑洞。建议为每个模板版本维护独立的路由表，并定期清理未使用的路由条目。

4.4 NAT网关：私有资源的出站通道

NAT网关（Network Address Translation Gateway）允许私有子网中的资源访问互联网，同时阻止外部主动入站连接。在IDP中，NAT网关承担以下职责：

镜像拉取：容器运行时从外部镜像仓库拉取镜像。
依赖下载：应用启动时下载依赖包或配置文件。
日志上报：将应用日志发送到中心化日志平台。
版本兼容性：不同模板版本可能需要不同的NAT网关配置（如带宽、高可用性）。

典型部署模式：每个租户或每个模板版本共享一个NAT网关，或为关键版本部署专用NAT网关以保证带宽隔离。

4.5 负载均衡器：流量分发与版本路由

负载均衡器是IDP对外暴露服务的统一入口。它根据配置的规则将流量分发到后端目标组，是实现模板版本灰度发布和多租户路由的核心组件。

负载均衡器类型	协议支持	IDP典型场景
ALB（应用型）	HTTP/HTTPS	基于路径或主机头的版本路由
NLB（网络型）	TCP/UDP	高性能、低延迟的内部服务调用
GLB（网关型）	HTTP/HTTPS	多集群、多区域的全局流量管理

在IDP中，负载均衡器常与目标组配合使用，实现版本级流量分配：

# 基于路径的版本路由示例
listener_rules:
  - path: /v1/*
    target_group: version-v1-tg
  - path: /v2/*
    target_group: version-v2-tg
  - path: /canary/*
    target_group: version-canary-tg

4.6 组件协作关系图

下图展示了VPC、子网、路由表、NAT网关与负载均衡器在IDP中的协作关系，以及它们如何共同支撑多租户模板版本隔离。

4.7 组件职责对比

下表总结了各网络组件在IDP中的核心职责与隔离粒度：

组件	隔离粒度	IDP核心职责	版本隔离支持
VPC	租户/版本	提供逻辑隔离边界	每个版本独立VPC
子网	功能角色	资源分组与安全分层	版本自定义子网拓扑
路由表	子网/版本	控制流量路径与策略	版本独立路由策略
NAT网关	子网/版本	私有资源出站通道	版本级带宽隔离
负载均衡器	服务/版本	流量分发与版本路由	基于路径/主机头的版本灰度

4.8 多租户版本隔离的网络设计模式

基于上述组件，IDP可以实施以下网络设计模式来实现模板版本隔离：

每版本独立VPC模式：每个模板版本创建独立的VPC，提供最强隔离，但资源开销较大。
共享VPC + 独立子网模式：多个版本共享同一VPC，但使用不同子网和路由表，平衡隔离与成本。
混合模式：核心稳定版本使用共享VPC，实验性或高风险版本使用独立VPC。

  关键决策点：选择哪种模式取决于租户的安全要求、版本迭代频率以及云资源预算。对于金融、医疗等合规性要求高的场景，推荐使用独立VPC模式。

通过合理组合VPC、子网、路由表、NAT网关与负载均衡器，IDP能够构建出既灵活又安全的网络拓扑，为多租户模板版本隔离策略提供坚实的基础设施支撑。