多业务线应通过独立VPC实现逻辑隔离，而非子网或安全组；每个VPC需主网段不重叠、预留/16地址空间，内部按角色分层子网，VPC间互通须经CEN或对等连接并配合路由与ACL控制。
多业务线需要各自独立的私网环境，核心是用多个 VPC 实现逻辑隔离，而不是靠子网或安全组硬凑。VPC 是地域级、强隔离的网络单元，天然适合划分不同业务线——比如电商前台、订单中台、用户中心、数据平台，各自一个 VPC，互不干扰。
按业务边界划分 VPC 数量
单地域内，如果各业务线之间没有常态化互通需求（如开发测试环境与生产环境完全隔离），优先为每条核心业务线分配独立 VPC。例如：
- 电商前台系统 → VPC-A（192.168.0.0/16）
- 订单与支付中台 → VPC-B（172.16.0.0/16）
- 用户与权限中心 → VPC-C（10.0.0.0/16）
- BI 与离线数仓 → VPC-D（10.10.0.0/16）
关键点：每个 VPC 主网段必须互不重叠，且预留足够地址空间（推荐 /16 起步），避免后期扩容受限。
子网按角色分层，不跨业务混用
每个 VPC 内部再用交换机（子网）做功能分层，不是按业务再切分。例如在 VPC-A 中：
- 可用区 A 的 公有子网：部署 ALB/NAT 网关，承载公网入口和出向代理
- 可用区 A/B 的 应用子网：部署 Web/API 层 ECS，仅允许来自 ALB 的流量
- 可用区 B 的 数据库子网：部署 RDS，禁止任何公网访问，只放行应用子网的指定端口
子网之间默认互通，但通过路由表和安全组进一步收敛访问路径，不依赖“子网即隔离”的错误假设。
公网出口统一管控，私网流量严格隔离
所有 VPC 默认不通公网，也不互通。需明确设计出口策略：
- 需要对外提供服务的 VPC（如前台 VPC-A），绑定 ALB + EIP 或配置 NAT 网关，集中管理公网出入方向
- 纯内部系统（如数仓 VPC-D）不配公网能力，彻底杜绝误暴露
- VPC 间如确需互通（如中台调用用户中心），必须通过云企业网 CEN 或对等连接，并配合自定义路由表+网络 ACL 双重控制，禁止全通
特别注意：不要让任意一个 VPC 承担“共享服务”角色并开放全量路由，容易变成隔离失效的突破口。
命名与权限同步规划
VPC 不只是网络资源，更是权限和成本归属单元：
- 命名带业务前缀（如 vpc-prod-ecommerce），便于控制台识别和资源 tagging
- 每个 VPC 绑定独立 RAM 角色或资源组，限制开发人员只能操作所属 VPC 内资源
- 开启 VPC 流日志，单独分析各业务线南北向与东西向流量，及时发现越权访问苗头
这样设计出来的多业务私网，既满足审计合规要求，也支撑后续按业务线独立扩缩容、灾备演练和成本分账。
