2. Azure混合云基础架构规划

混合云基础架构规划不是把本地机房“搬”到云上，而是在订阅边界、地理区域、可用性边界和地址空间四个维度上，为后续的连通、迁移与治理预先划定规则。规划阶段的决策一旦落地，后期修改成本极高——订阅迁移会牵动 RBAC 与策略，地址空间重叠会导致无法对等互联，区域选错会直接影响延迟与合规。本节围绕这四条主线展开，并给出可直接套用的规划方法。

一、订阅与资源组：先定边界，再放资源

订阅是 Azure 中计费、配额、访问控制与策略的最小管理单元。资源组则是订阅内的逻辑容器，用于对生命周期一致、权限一致、一起部署和删除的资源进行分组。规划顺序应当是：先按“管理边界”划分订阅，再在订阅内按“生命周期”划分资源组。

常见的订阅划分维度有三种，实践中往往组合使用：

• 按环境划分：生产、预生产、开发测试各自独立订阅。优点是配额、策略、成本互不干扰，生产订阅可施加更严格的策略。
• 按业务线或工作负载划分：每个核心业务系统一个订阅，便于成本归集与责任到人。
• 按合规或地域划分：受监管数据单独订阅，配合 Azure Policy 强制加密与日志留存。

资源组的划分原则是“同生共死”：一起部署、一起更新、一起删除的资源放在同一资源组。例如一台业务虚拟机、其网卡、OS 磁盘、数据磁盘和网络安全组应同组；而共享的虚拟网络、防火墙、日志分析工作区通常放在独立的“网络基础”或“平台”资源组，避免被业务资源组的删除操作误伤。

二、区域与可用区：延迟、合规与容灾的三角权衡

Azure 区域是包含一个或多个数据中心的物理位置集合，可用区是区域内物理隔离、具备独立供电与冷却的数据中心组。选择区域时需同时考虑四个因素：

1. 网络延迟：从本地数据中心到 Azure 区域的往返延迟应满足业务要求。混合云场景下，通常要求同城或邻近区域，例如本地在上海时优先选择“中国东部”类邻近区域。
2. 服务可用性：并非所有区域都提供全部服务与虚拟机规格，GPU、高级存储或某些 PaaS 服务可能只在部分区域可用。
3. 合规与数据驻留：数据不得出境或需留在特定司法辖区时，区域选择是硬约束。
4. 容灾配对：Azure 为多数区域提供配对区域，配对区域间可启用异地复制与区域冗余服务。

可用区的使用策略取决于业务 SLA：对可用性要求高的生产工作负载，应将至少两台虚拟机分布到同一区域的不同可用区，并置于同一负载均衡后端池；对成本敏感的开发测试环境，可使用可用区冗余的托管磁盘但不强制跨区部署。需要注意，可用区编号在不同订阅间是逻辑映射，订阅 A 的“可用区 1”与订阅 B 的“可用区 1”未必是同一物理数据中心，因此跨订阅部署时应以实际物理位置校验为准。

三、网络拓扑与 IP 地址规划

混合云网络规划的核心是地址空间不重叠。本地已使用 10.10.0.0/16 时，Azure VNet 必须选择与之无交集的地址段，例如 10.20.0.0/16。若两者重叠，VPN 或 ExpressRoute 对等互联将无法建立，或只能依赖 NAT 做地址转换，增加复杂度与排障难度。

VNet 地址空间规划建议遵循以下方法：

• 预留增长空间：按当前需求的两到四倍预留，避免后期扩容时与本地或其他 VNet 冲突。
• 按子网功能切分：网关子网（GatewaySubnet）通常取 /27 或更大，用于 VPN/ExpressRoute 网关；应用子网按可用区或层级切分；数据子网独立，便于施加不同的 NSG 与路由策略。
• 为 PaaS 服务预留：Azure SQL 托管实例、Azure Firewall、应用网关等需要专用子网，规划时一并预留。
• 统一记录在 IPAM 表：无论使用 Excel 还是 Azure 网络管理器，地址分配必须有单一可信来源。

下面是一份可直接参考的地址规划示例表，假设本地为 10.10.0.0/16，Azure 生产 VNet 为 10.20.0.0/16：

规划完成后，应通过一次连通性验证确认设计成立：在本地与 Azure 各部署一台测试虚拟机，建立 VPN 或 ExpressRoute 连接后，从本地 10.10.1.10 执行 ping 10.20.1.4 或 Test-NetConnection 10.20.1.4 -Port 443，观察是否可达；同时在 Azure 侧查看网关的“连接”状态是否为“已连接”，并检查有效路由中是否出现本地地址段。若不通，优先排查地址重叠、NSG 规则、网关子网命名与路由表关联，而不是直接怀疑链路故障。

把订阅边界、资源组生命周期、区域与可用区策略、地址空间四张“图纸”在动手部署前对齐，混合云基础架构才具备可扩展、可治理、可迁移的基础。后续的连通性配置、身份集成与工作负载迁移，都建立在这一节的规划结论之上。