3. 单VPC多子网拓扑：架构原理、适用场景（小规模多租户）、优缺点分析
3.1 架构原理
单VPC多子网拓扑是云网络中最基础的多租户隔离方案。其核心思想是：所有租户共享同一个虚拟私有云（VPC），但通过创建多个子网（Subnet）来实现网络层面的逻辑隔离。每个租户被分配一个或多个独立的子网，子网之间通过VPC内置的路由表（Route Table）和网络ACL（Network ACL）进行访问控制。
核心组件：
- 1个VPC：定义全局IP地址范围（CIDR），例如 10.0.0.0/16。
- N个子网：每个租户独占一个或多个子网，例如 10.0.1.0/24（租户A）、10.0.2.0/24（租户B）。
- 路由表：控制子网之间的流量走向，默认子网间互通，可通过路由策略实现隔离或互通。
- 网络ACL：无状态子网级防火墙，用于精细控制进出子网的流量。
- 安全组：有状态实例级防火墙，附加到租户的云服务器（ECS/CVM）上。
3.2 适用场景：小规模多租户
该拓扑最适合小规模多租户场景，通常指租户数量在 5~20 个以内，且对网络隔离要求不高的环境。典型场景包括：
| 场景类型 | 具体描述 | 典型租户数 |
|---|---|---|
| 内部开发测试环境 | 多个开发团队共享同一VPC，每个团队一个子网，用于开发、测试、预发布。 | 3~10 |
| 小型SaaS平台 | 面向中小客户的SaaS应用，每个客户一个子网，通过路由表控制客户间访问。 | 5~20 |
| 企业内部多部门 | 财务、研发、市场等部门各占一个子网，部门间默认隔离，仅开放特定端口。 | 3~15 |
| 教学实验平台 | 为学员分配独立子网进行云原生实验，子网间默认不通，避免互相干扰。 | 10~30 |
选型建议：当租户数量超过20个，或租户间需要强合规隔离（如金融、医疗）时，建议升级为多VPC拓扑或Transit Gateway架构。
3.3 优缺点分析
3.3.1 优点
- 架构简单，部署快速：只需创建一个VPC和若干子网，无需复杂的网络互联配置，适合快速上线。
- 成本低廉：共享VPC基础设施，无需为每个租户单独创建VPC、NAT网关、VPN等资源，显著节省网络成本。
- 管理集中：所有子网的路由表、网络ACL、安全组策略可在VPC层面统一管理，运维效率高。
- 子网间通信延迟低：同VPC内子网通过底层网络直接通信，无需经过网关或中间设备，延迟极低。
- IP地址利用率高：VPC CIDR统一规划，子网间IP地址可灵活分配，避免碎片化。
3.3.2 缺点
- 隔离性较弱：子网是逻辑隔离而非物理隔离，存在误配置导致租户间网络互通的风险。
- 扩展性受限：单个VPC有子网数量上限（通常为200~300个），且路由表条目有限，不适合超大规模多租户。
- 租户间策略冲突：所有子网共享VPC级策略（如DHCP选项集、VPC流日志），无法为单个租户定制。
- 故障域集中：VPC级故障（如VPC网关故障、路由表损坏）会影响所有租户，缺乏故障隔离。
- 合规审计困难：租户间流量日志混杂在同一个VPC流日志中，难以按租户维度进行独立审计。
3.4 资源配额配置实战要点
在单VPC多子网拓扑中，资源配额配置需要重点关注以下维度：
| 资源类型 | 配额项 | 默认值（以阿里云/AWS为例） | 配置建议 |
|---|---|---|---|
| VPC | 每个地域VPC数量 | 10~20 | 小规模场景够用，无需调整 |
| 子网 | 每个VPC子网数量 | 200~300 | 建议预留50%余量，避免后期扩容受限 |
| 路由表 | 每个VPC路由表数量 | 50~100 | 每个子网至少关联1张路由表，按需创建 |
| 安全组 | 每个地域安全组数量 | 100~200 | 每个租户建议创建独立安全组，便于管理 |
| 网络ACL | 每个VPC网络ACL数量 | 20~50 | 每个子网关联1个网络ACL，避免共用 |
避坑指南：
- 不要将所有子网关联到同一个网络ACL，否则租户间隔离形同虚设。
- 子网CIDR分配时，务必预留足够的扩展空间，避免后期IP地址耗尽。
- 路由表条目数有限，如果租户间需要复杂的互通策略，建议使用多VPC+Transit Gateway方案。