Kubernetes多租户网络部署与eBPF性能优化 - 第1节
1.1 多租户概念与核心特征
多租户（Multi-Tenancy）是一种软件架构模式，指单个软件实例能够同时为多个独立的用户群体（即“租户”）提供服务，同时确保各租户之间的数据、配置和性能完全隔离。租户可以是一个组织、一个部门、一个项目组或一个终端客户。
核心定义：多租户 ≠ 多用户。多用户指同一系统内有多个账号；多租户指同一系统内存在多个相互隔离的“虚拟运行环境”，每个租户拥有独立的资源视图和管理边界。
1.1.1 多租户的三大核心特征
| 特征 | 说明 | 网络层面的体现 |
|---|---|---|
| 隔离性 | 租户间的数据、流量、配置互不可见 | VPC、VRF、VLAN、安全组、ACL |
| 共享性 | 底层物理或虚拟资源被多个租户复用 | 共享带宽、共享物理机、共享网关 |
| 可定制性 | 每个租户可独立配置网络策略、IP 地址段、路由规则 | 自定义 VPC CIDR、独立 NAT 网关、独立 DNS 视图 |
1.1.2 租户与网络资源的映射关系
在多租户网络拓扑中，每个租户通常对应一组独立的网络资源集合：
- 虚拟私有云（VPC）：每个租户拥有一个或多个 VPC，作为网络隔离的基本单元。
- 子网（Subnet）：租户可在 VPC 内划分多个子网，用于分层部署应用。
- 路由表：每个 VPC 或子网关联独立的路由策略。
- 安全策略：安全组、网络 ACL 按租户粒度配置。
- 网关：NAT 网关、VPN 网关、互联网网关按租户分配。
实践要点：在公有云环境中，每个租户的 VPC CIDR 可以重叠（例如两个租户都使用 10.0.0.0/16），因为 Overlay 网络通过 VXLAN 或 GENEVE 封装实现了二层隔离，底层物理网络不感知租户 IP 地址冲突。
1.2 网络隔离需求与实现机制
多租户网络隔离是保障租户安全性和服务质量（QoS）的基础。隔离需求从低到高可分为三个层次：
- 逻辑隔离：通过软件策略实现流量分离，适用于低安全敏感场景。
- 虚拟隔离：通过虚拟网络设备（vRouter、vSwitch）和 Overlay 隧道实现，是主流方案。
- 物理隔离：使用独立物理设备，适用于金融、政务等高合规场景。
1.2.1 主流网络隔离技术对比
| 技术 | 隔离层级 | 扩展性 | 典型场景 | 性能开销 |
|---|---|---|---|---|
| VLAN (802.1Q) | L2 | 4096 个 VLAN ID，扩展受限 | 小型私有云、传统数据中心 | 极低（硬件卸载） |
| VRF (Virtual Routing and Forwarding) | L3 | 数千个 VRF，依赖设备规格 | 运营商 MPLS VPN、企业骨干网 | 低（硬件路由） |
| VXLAN / GENEVE | L2 Overlay | 1600 万+ 网络标识符 | 公有云、大规模 SDN 部署 | 中等（封装/解封装） |
| SDN 微分段 | L2-L4 | 无数量限制，策略驱动 | 零信任网络、容器网络 | 中等（流表匹配） |
1.2.2 隔离需求矩阵
不同租户场景对隔离的诉求差异显著，以下矩阵帮助架构师快速选型：
| 租户类型 | 数据隔离 | 性能隔离 | 管理隔离 | 推荐方案 |
|---|---|---|---|---|
| 开发测试租户 | 低 | 低 | 中 | VLAN + VRF |
| 生产业务租户 | 高 | 中 | 高 | VXLAN + 独立 VPC |
| 金融合规租户 | 极高 | 高 | 极高 | 物理隔离 + 加密隧道 |
| SaaS 多租户 | 高 | 中 | 中 | SDN 微分段 + 共享网关 |
常见误区：不要认为 VLAN 可以满足大规模多租户隔离。4096 个 VLAN ID 在公有云或大型私有云中很快耗尽，且 VLAN 的广播域隔离不彻底。超过 1000 个租户时，必须采用 VXLAN 或 SDN Overlay 方案。
1.3 典型应用场景
1.3.1 公有云多租户网络
公有云是多租户网络最典型的实践场景。云服务商（AWS、Azure、阿里云等）在同一物理基础设施上为成千上万个客户提供隔离的网络环境：
- 租户粒度：每个云账号对应一个租户。
- 隔离方式：VPC + VXLAN Overlay + 分布式防火墙。
- 网络服务：弹性 IP、负载均衡、NAT 网关、VPN 连接等按租户独立分配。
- 性能挑战：租户间“吵闹邻居”问题、带宽争抢、连接数限制。
1.3.2 私有云多租户网络
企业私有云通常面向内部多个部门或子公司提供服务，网络拓扑设计更强调可控性和合规性：
| 维度 | 私有云多租户特点 | 网络设计要点 |
|---|---|---|
| 租户数量 | 数十到数百个 | VRF + VLAN 混合方案即可满足 |
| 安全合规 | 内部审计、等保要求 | 物理隔离关键业务，虚拟隔离普通业务 |
| 网络互通 | 部分租户间需要受控互通 | VPC Peering 或 Transit Gateway |
| 管理视角 | 统一运维，多租户自助 | SDN 控制器 + 租户管理门户 |
1.3.3 SaaS 多租户网络
SaaS 应用（如 Salesforce、Slack、飞书）的多租户网络设计更关注应用层隔离与共享效率：
- 共享 vs 独立：SaaS 通常采用“共享数据库 + 独立 Schema”或“独立数据库实例”两种模式，网络层对应共享 VPC 或独立 VPC。
- 网络拓扑：前端共享负载均衡 → 应用层按租户路由 → 后端数据库按租户隔离。
- 性能隔离：通过 QoS 队列、连接数限制、带宽上限保障每个租户的 SLA。
- 典型架构：Kubernetes Namespace + NetworkPolicy 实现容器级多租户网络隔离。
架构建议：SaaS 多租户网络设计应遵循“前端共享、后端隔离”原则。前端通过共享负载均衡和网关降低入口成本；后端数据库层根据租户 SLA 选择独立实例或共享 Schema。Kubernetes NetworkPolicy 是实现容器级租户隔离的首选工具。
1.4 多租户网络的关键性能指标
在多租户网络拓扑中，性能调优需要关注以下核心指标，这些指标将贯穿本课程后续所有章节：
| 指标 | 定义 | 多租户场景下的挑战 |
|---|---|---|
| 吞吐量 | 单位时间内网络处理的数据量（Gbps） | 租户间带宽争抢，需配置 QoS 限速 |
| 延迟 | 数据包从源到目的的时间（ms） | Overlay 封装增加额外延迟，需优化隧道卸载 |
| 连接数 | 并发 TCP/UDP 连接数量 | 共享网关连接数耗尽影响所有租户 |
| PPS | 每秒数据包处理能力 | 小包场景下 CPU 成为瓶颈，需硬件卸载 |
| 隔离抖动 | 租户间性能干扰的波动幅度 | “吵闹邻居”效应导致延迟剧烈波动 |