子网划分是金融级网络安全隔离合规的基础，需与VPC架构、业务域及访问策略深度绑定，实现“物理可分、逻辑可控、策略可溯”；须按交易区、风控区等敏感度分层划分子网，地址不重叠、无默认互通，结合VXLAN/VLAN实现二层隔离，并以/24或/25细粒度支撑最小权限控制，命名与标签须符合PCI-DSS等审计要求。
子网划分是满足金融级网络安全隔离合规要求的基础手段，不是简单地切几个IP段，而是要与VPC架构、业务域划分、访问控制策略深度绑定。核心在于让不同安全等级的系统“物理可分、逻辑可控、策略可溯”。
按业务敏感度严格分层划分子网
金融场景必须区分交易区、风控区、用户区、管理区、数据区等关键域，每个域对应独立子网，且地址段不重叠、无路由互通默认路径。例如：
- 交易区使用 10.10.0.0/16，仅允许来自风控区子网（如10.20.0.0/16）的特定端口入向流量
- 用户区（互联网接入侧）部署在公有子网，但所有出向流量必须经NAT网关+应用层防火墙，禁止直连核心数据库子网
- 审计与日志服务器单独划为 10.99.0.0/24 管理子网，只接受各业务子网的加密日志推送，禁止任何反向连接
子网与VLAN/VXLAN联动实现二层隔离
单靠IP子网无法防止ARP欺骗或二层广播风暴，必须叠加网络虚拟化技术：
- 在SDN架构下，为每个业务子网绑定唯一VXLAN Segment ID，确保跨物理机的同子网通信仍处于隔离广播域
- 若使用传统交换机，需将子网与VLAN ID严格映射（如10.10.0.0/16 ↔ VLAN 101），并在汇聚层关闭VLAN间代理ARP
- 禁止配置全局Trunk允许所有VLAN通行，只放行明确需要互通的VLAN对（如VLAN 101↔VLAN 102用于交易-风控调用）
子网粒度需支撑最小权限访问控制
合规审计（如PCI-DSS）要求“仅开放必要端口”，这依赖子网足够细、策略足够准：
- 避免使用过大的子网掩码（如/16覆盖整个部门），推荐按角色或微服务集群切分为/24或/25，便于绑定NetworkPolicy或安全组规则
- 同一子网内禁止混部生产与测试节点；测试环境子网应通过独立VPC+对等连接接入，且路由表中禁用回指主生产VPC的默认路由
- 数据库子网不分配公网IP，也不挂载弹性公网IP；其安全组只允许来自应用子网中指定IP范围+固定端口的连接
子网命名与标签必须符合合规审计要求
监管检查时会查验网络拓扑文档与实际配置的一致性，子网本身需承载可追溯的元信息：
- 子网命名包含业务域、安全等级、地域标识，例如：prod-trading-hk-internal-pci-level1
- 在云平台中为子网打标签（Tag），如compliance/pci-dss: true、data-classification: sensitive，供自动化合规扫描工具识别
- 所有子网路由表禁止存在指向0.0.0.0/0的默认路由（除非是公有子网且已配置WAF+IPS前置）
