Linux内网IP规划需按业务分层、预留扩展并用子网掩码严格划界；RFC 1918定义的10.0.0.0/8、172.16.0.0/12、192.168.0.0/16是唯一合法私有地址段，分别适用于大、中、小型场景，配合CIDR划分、路由控制、防火墙策略和拓扑设计实现真正隔离。
Linux内网IP地址规划不是随便填个192.168.x.x就行，关键在于按业务逻辑分层、预留扩展空间、并用子网掩码严格划清边界。私有地址段本身不提供安全隔离，真正起作用的是路由控制、防火墙策略和网络拓扑设计。
明确私有地址段的可用范围与适用场景
RFC 1918定义的三段私有IP是唯一合法用于内网的地址空间：
- 10.0.0.0/8：单一大网段，适合中大型企业，可容纳超1600万个主机，建议按部门或区域进一步划分子网（如10.10.0.0/16给研发，10.20.0.0/16给运维）
- 172.16.0.0/12：共16个连续的/16子网（172.16.0.0–172.31.0.0），适合中等规模部署，每个子网支持65534台主机
- 192.168.0.0/16：最常用但容量最小（65534主机），仅推荐用于小型办公、测试环境或边缘设备；避免全用192.168.1.0/24这种“默认网段”，易与家用路由器冲突
用子网掩码和CIDR实现逻辑隔离
地址段只是容器，真正隔离靠的是精确的子网划分和路由策略：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 同一物理网络中，不同子网（如10.10.1.0/24 和 10.10.2.0/24）默认不能二层互通，必须经三层设备（如Linux主机启IP forwarding + iptables/nftables）转发
- 在Linux服务器上启用路由前，先确认内核参数：
sysctl net.ipv4.ip_forward应为1；否则即使配置了静态路由，数据包也会被静默丢弃 - 禁止跨子网的ARP响应可增强隔离：对敏感子网接口，设
arp_ignore=1和arp_announce=2，防止主机响应非本子网的ARP请求
结合iptables/nftables实施访问控制
仅靠网段划分无法防内部横向移动，必须叠加状态化过滤：
- 默认策略设为DROP，只显式放行必要流量。例如限制数据库子网（10.30.0.0/24）仅允许应用服务器（10.20.0.0/24）的5432端口入向连接
- 利用ipset管理大范围IP集合，比写数百条iptables规则更高效。例如创建
ipset create mgmt_hosts hash:net，再用一条规则匹配整个管理网段 - 对Kubernetes或Docker等容器环境，优先使用CNI插件自带的网络策略（NetworkPolicy），避免直接操作宿主机iptables造成规则冲突
配置文件与动态分配的协同管理
静态规划要落地，得靠配置文件+自动化工具保障一致性：
- 在/etc/netplan/*.yaml（Ubuntu）或/etc/sysconfig/network-scripts/ifcfg-*（RHEL/CentOS）中，为每个接口明确指定
addresses和routes，避免DHCP覆盖关键路由 - 若使用DHCP分配内网地址，确保DHCP服务器（如dnsmasq、isc-dhcp-server）的subnet声明与实际物理划分一致，并禁用无意义的option routers推送
- 对虚拟机或容器，通过cloud-init或Ansible统一注入网络配置，杜绝手工修改导致的网段错配
