3. 资源配额概念：CPU/内存/存储配额、网络带宽配额、连接数配额、IP地址配额
在多租户网络拓扑中，资源配额（Resource Quota）是保障租户间公平使用、防止单个租户过度抢占共享资源的核心机制。配额不仅涵盖计算与存储资源，更延伸至网络层面的带宽、连接数与IP地址。本章从四个维度系统梳理配额的定义、计量单位与配置要点。
3.1 资源配额的四维模型
多租户环境下的资源配额可归纳为以下四个层级，每个层级对应不同的管控对象与隔离粒度：
| 配额维度 | 管控对象 | 典型计量单位 | 隔离粒度 |
|---|---|---|---|
| 计算与存储 | CPU、内存、持久化存储 | vCPU 核数、GiB、GB | 虚拟机/容器/命名空间 |
| 网络带宽 | 出入方向吞吐量 | Mbps、Gbps | 虚拟网卡/端口/隧道 |
| 连接数 | 并发会话、新建连接速率 | 条、条/秒 | 安全组/防火墙/负载均衡 |
| IP地址 | IPv4/IPv6 地址、子网 | 个、CIDR 块大小 | VPC/子网/租户 |
实践要点：配额配置应遵循“先规划后分配”原则。建议在租户入驻前，根据其业务规模预估各维度峰值，预留 20% 的缓冲余量，避免因配额不足导致频繁调整。
3.2 CPU、内存与存储配额
计算与存储配额是最基础的资源管控手段，直接影响租户应用的性能与稳定性。
- CPU 配额：通常以 vCPU 核数（或毫核 mCPU）为单位。支持预留（Reservation）与限制（Limit）两种模式。预留保证最低算力，限制防止突发占用影响邻居租户。
- 内存配额：以 GiB 为单位。过量分配（Overcommit）需谨慎，建议内存超分比不超过 1.5:1，避免触发 OOM Killer。
- 存储配额：包括持久化卷容量与 IOPS 上限。对于高性能场景（如数据库），应单独设置 IOPS 配额，而非仅限制容量。
# Kubernetes 命名空间资源配额示例（YAML）
apiVersion: v1
kind: ResourceQuota
metadata:
name: tenant-a-quota
namespace: tenant-a
spec:
hard:
requests.cpu: "4"
requests.memory: "16Gi"
limits.cpu: "8"
limits.memory: "32Gi"
persistentvolumeclaims: "10"
requests.storage: "500Gi"
3.3 网络带宽配额
网络带宽配额用于限制租户的出入方向流量速率，防止“吵闹邻居”效应。常见实现方式包括：
- 虚拟网卡限速：在虚拟交换机（vSwitch）或智能网卡（SmartNIC）上设置 QoS 策略，支持入方向与出方向独立限速。
- 隧道/Overlay 带宽限制：在 VXLAN、Geneve 等隧道端点实施整形（Shaping），适用于跨主机流量。
- 应用层带宽控制：通过流量整形网关（如 TC、HTB）按租户或应用标签限速。
带宽配额计算公式：
租户保证带宽 = (物理链路总带宽 × 租户权重) / 所有活跃租户权重之和
租户峰值带宽 = 保证带宽 × 突发因子（通常 1.5~3.0）
租户保证带宽 = (物理链路总带宽 × 租户权重) / 所有活跃租户权重之和
租户峰值带宽 = 保证带宽 × 突发因子（通常 1.5~3.0）
3.4 连接数配额
连接数配额是网络层的重要防护手段，主要管控以下两类指标：
- 并发连接数（Concurrent Connections）：同一时刻租户持有的活跃连接总数。超过配额时，新连接将被丢弃或排队。
- 新建连接速率（Connection Rate）：每秒新建连接数（CPS）。用于防御 SYN Flood 等连接耗尽攻击。
常见误区：仅限制并发连接数而忽略新建连接速率，可能导致慢速连接攻击（Slowloris）持续占用连接表。建议同时设置 CPS 上限，通常为并发连接数的 1/10 ~ 1/5。
3.5 IP地址配额
IP地址配额管理在多租户网络中尤为关键，尤其是 IPv4 地址日益稀缺的背景下。核心管控维度包括：
| 配额项 | 说明 | 典型值 |
|---|---|---|
| VPC 数量 | 每个租户可创建的 VPC 上限 | 5 ~ 20 个 |
| 子网数量 | 每个 VPC 内可创建的子网数 | 10 ~ 50 个 |
| 弹性 IP 数量 | 租户可绑定的公网 IP 数 | 10 ~ 100 个 |
| 内网 IP 容量 | 子网 CIDR 块大小（如 /24 = 256 个地址） | /24 ~ /16 |
3.6 配额配置最佳实践
四维配额联动配置建议：
1. 先确定租户的 计算规格（vCPU + 内存），以此推算所需 网络带宽（通常 1 vCPU 对应 100~500 Mbps）。
2. 根据业务并发模型设定 连接数配额，Web 类应用建议并发连接数 = 带宽(Mbps) × 1.5。
3. IP 地址配额 应预留子网扩容空间，避免后期因地址不足而重建 VPC。
4. 所有配额变更需经过 审批流，并记录变更前后的配额快照，便于回溯。
1. 先确定租户的 计算规格（vCPU + 内存），以此推算所需 网络带宽（通常 1 vCPU 对应 100~500 Mbps）。
2. 根据业务并发模型设定 连接数配额，Web 类应用建议并发连接数 = 带宽(Mbps) × 1.5。
3. IP 地址配额 应预留子网扩容空间，避免后期因地址不足而重建 VPC。
4. 所有配额变更需经过 审批流，并记录变更前后的配额快照，便于回溯。
通过以上四个维度的精细化配额管理，多租户网络拓扑能够在保障性能隔离的同时，最大化资源利用率，为上层数据传输优化奠定坚实基础。