3. 资源配额概念：网络资源配额的定义与租户隔离作用

在多租户网络环境中，资源配额（Resource Quota）是确保租户之间公平使用、防止单个租户耗尽共享网络资源的核心机制。网络资源配额本质上是对每个租户可消耗的特定网络对象数量或带宽上限的硬性限制。本章将详细定义带宽、连接数、路由表条目、VLAN/VXLAN 数量等关键配额项，并阐述其在租户隔离中的实际作用。

3.1 网络资源配额的定义

网络资源配额通常由云管理平台或网络控制器在创建租户网络时分配，并在运行时由底层网络设备（如 vSwitch、TOR 交换机、网关）强制执行。以下是五种最常见的配额类型及其技术含义：

3.2 配额在租户隔离中的作用

资源配额在租户隔离中扮演着“边界守卫”的角色。没有配额，一个租户的异常流量或配置错误会直接导致“邻居噪声”问题，影响其他租户的可用性。具体作用体现在以下四个层面：

1. 防止资源抢占： 限制单个租户的最大带宽和连接数，避免其突发流量挤占共享物理链路或网关 CPU，保障其他租户的基础服务质量。
2. 控制控制面压力： 限制路由表条目和 VXLAN/VLAN 数量，防止租户因误配置或恶意攻击向网络控制器注入大量路由或隧道请求，导致控制面过载。
3. 简化故障域： 当某个租户达到配额上限时，其新建连接或新网络创建请求会被直接拒绝，故障被限制在该租户内部，不会扩散到整个网络。
4. 支持计费与容量规划： 配额为按量计费提供了可量化的依据，同时运维团队可以根据配额使用率进行精准的容量扩容决策。

3.3 配额隔离的架构示意

下图展示了在多租户网络架构中，配额如何作用于不同层次，实现租户间的资源隔离与公平调度。

3.4 配额配置示例（OpenStack Neutron）

以下是一个典型的 Neutron 配额配置片段，展示了如何为不同租户设置差异化的网络资源上限：

# 租户 A 配额配置（普通租户）
openstack quota set \
  --networks 5 \
  --subnets 10 \
  --routers 3 \
  --ports 50 \
  --rbac-policies 10 \
  --security-groups 20 \
  --security-group-rules 100 \
  tenant-a-uuid

# 租户 B 配额配置（VIP 租户，允许更多资源）
openstack quota set \
  --networks 20 \
  --subnets 40 \
  --routers 10 \
  --ports 200 \
  --rbac-policies 50 \
  --security-groups 50 \
  --security-group-rules 500 \
  tenant-b-uuid

# 查看租户当前配额使用量
openstack network quota show tenant-a-uuid

3.5 配额与隔离的边界关系

为了更清晰地理解配额在隔离体系中的位置，下表对比了配额隔离与其他隔离机制的区别：

从表中可以看出，配额是其他隔离机制能够稳定运行的前提。例如，如果没有 VXLAN 数量配额，一个租户可能创建数百万个 VNI，导致 VTEP 设备内存耗尽，进而影响所有租户的 VXLAN 通信。

3.6 配额瓶颈的早期信号

运维人员应关注以下指标，这些通常是配额即将达到瓶颈的早期信号：

• 带宽配额： 接口丢弃计数（discard）持续增长，TCP 重传率上升。
• 连接数配额： 网关或防火墙日志中出现大量“session limit reached”或“out of resources”错误。
• 路由表条目配额： 租户无法添加新路由，或路由表同步失败。
• VLAN/VXLAN 数量配额： 租户创建网络或子网时返回“quota exceeded”错误。