2. 多租户网络基础：多租户架构定义、网络隔离技术对比

2.1 多租户架构定义与核心挑战

多租户（Multi-Tenancy）是一种软件架构模式，其中单个软件实例（或集群）服务于多个独立的用户群体（即“租户”）。在云原生与网络场景下，每个租户通常对应一个客户、一个业务部门或一个项目组，拥有独立的网络策略、资源配额与数据视图。

多租户网络面临的核心瓶颈在于：隔离粒度与转发性能之间的平衡。传统的 VLAN 隔离简单但扩展性差；VxLAN 扩展性强但引入封装开销；网络策略（Network Policy）灵活但依赖控制器与代理。下表从关键维度对比三种主流隔离技术。

2.2 网络隔离技术对比：VLAN vs VxLAN vs 网络策略

2.3 多租户网络隔离架构图

下图展示了一个典型的多租户 Overlay 网络架构，其中两个租户（Tenant A 和 Tenant B）共享同一物理网络，但通过 VxLAN 隧道与网络策略实现完全隔离。

2.4 网络策略的细粒度隔离模型

在 Kubernetes 等容器编排平台中，NetworkPolicy 是定义租户隔离的标准 API 对象。它基于标签选择器（Label Selector）匹配 Pod，并控制入站（Ingress）与出站（Egress）流量。以下是一个典型的多租户隔离策略示例：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: tenant-a-isolation
  namespace: tenant-a-ns
spec:
  podSelector:
    matchLabels:
      tenant: a
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          tenant: a
    ports:
    - protocol: TCP
      port: 80
    - protocol: TCP
      port: 443
  egress:
  - to:
    - namespaceSelector:
        matchLabels:
          tenant: a
    ports:
    - protocol: TCP
      port: 53
    - protocol: UDP
      port: 53
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
        except:
        - 10.0.0.0/8
        - 172.16.0.0/12
        - 192.168.0.0/16

2.5 隔离技术选型决策树

在实际项目中，选择哪种隔离技术取决于集群规模、运维能力和性能要求。以下决策树可辅助判断：