1. Oracle Cloud网络架构总览
在把企业网络迁移到 Oracle Cloud Infrastructure（OCI）之前，必须先建立一张清晰的“地图”：哪些是物理上真实存在的隔离单元，哪些是逻辑上由软件定义的边界。很多初学者会把 OCI 的区域、可用性域、故障域和虚拟云网络（VCN）混为一谈，结果在设计高可用和网络分段时出现误判。本节从物理边界到逻辑边界逐层拆解，帮助你在动手创建资源之前就形成正确的空间感。
一、物理边界：区域、可用性域与故障域
OCI 的物理基础设施按三个层级组织，它们共同决定了企业工作负载的容灾半径。
区域（Region）是地理上独立的数据中心集群所在地，例如 ap-singapore-1、us-ashburn-1。区域之间通过 Oracle 的骨干网互联，但彼此完全独立供电、独立制冷、独立网络接入。区域是最高级别的故障隔离单元：一个区域整体不可用时，只有部署在其他区域的资源才能继续服务。因此，跨区域部署对应的是“地理级容灾”，通常用于满足监管合规或极端灾难恢复要求。
可用性域（Availability Domain，AD）是区域内部相互独立的物理数据中心，拥有独立的电力、冷却和网络。同一区域内多个 AD 之间延迟极低（通常亚毫秒级），但不会同时失效。OCI 在多数商用区域提供 3 个 AD，命名如 AD-1、AD-2、AD-3。把应用实例分散到多个 AD，就获得了“数据中心级高可用”，这是企业生产环境最常见的部署粒度。
故障域（Fault Domain，FD）是 AD 内部的进一步隔离单元，可以理解为同一数据中心内不同的机架组或供电分区。每个 AD 通常包含 3 个 FD。故障域主要影响的是同一 AD 内硬件故障的爆炸半径，例如某组机架断电时，只有落在同一 FD 的实例受影响。对于要求极高的负载，可以在同一 AD 内把实例分布到不同 FD，进一步降低单点硬件故障风险。
二、逻辑边界：VCN 与子网
物理层解决“资源放在哪里”，逻辑层解决“谁能和谁通信”。OCI 的逻辑网络核心是虚拟云网络（Virtual Cloud Network，VCN）。VCN 是一个软件定义的、区域级的私有网络，你为它指定一个或多个 CIDR 地址块（例如 10.0.0.0/16），它就成为企业在云上的逻辑隔离边界。不同 VCN 默认互不相通，除非显式建立对等连接或通过网关打通。
VCN 内部再划分为子网（Subnet），子网是区域级资源，但必须绑定到某个 AD（区域子网）或覆盖整个区域（区域子网）。子网有两种访问类型：
- 公共子网：可关联 Internet Gateway，内部资源可拥有公网 IP，直接面向互联网。
- 私有子网：不关联 Internet Gateway，资源没有公网 IP，出站流量需经 NAT Gateway，入站需经负载均衡或堡垒机。
典型的企业分层设计是：公共子网放负载均衡器和堡垒机，私有子网放应用服务器，另一个私有子网放数据库。这样互联网只能触达最外层，数据库永远不暴露。
三、边界之间的连接：网关与安全列表
VCN 与外部世界的连接由几类网关承担：Internet Gateway 负责公网双向通信；NAT Gateway 让私有子网资源单向访问互联网；Service Gateway 让私有资源访问 OCI 对象存储等服务而不经过公网；Dynamic Routing Gateway（DRG） 则用于连接本地数据中心（通过 FastConnect 或 VPN）以及其他 VCN。
流量进入子网后，还要经过两道过滤：安全列表（Security List）作用于整个子网，是有状态的；网络安全组（NSG）作用于一组指定的 VNIC，粒度更细。两者都是白名单机制，默认拒绝所有入站。实际设计中，常用安全列表做子网级粗粒度控制，用 NSG 做实例级精细控制。
四、一个可落地的三层设计示例
假设某企业要在 ap-singapore-1 部署一套电商系统，要求单 AD 故障不影响服务。可以这样规划：
| 层级 | 资源 | 放置位置 | 访问方式 |
|---|---|---|---|
| 接入层 | 公共负载均衡器 | 公共子网（AD-1/2/3 各一个） | Internet Gateway |
| 应用层 | 应用服务器集群 | 私有子网，跨 3 个 AD 分布 | 经负载均衡器入站，经 NAT Gateway 出站 |
| 数据层 | 数据库主备 | 私有子网，主备分属不同 AD | 仅接受应用层 NSG 的 1521 端口 |
在这个设计中，物理边界提供了 AD 级容灾，逻辑边界通过 VCN 和子网实现了分层隔离，安全列表和 NSG 则把访问控制收敛到最小必要范围。理解这三层关系，是后续所有 OCI 网络与安全配置的基础。