虚拟交换机通过逻辑分域（VNI/VLAN）、精确标记（流表+安全组）和策略执行（ACL/QoS/命名空间）三层机制实现租户流量隔离与控制，确保数据不错投、不误解析、不越权访问。

虚拟交换机实现租户间流量隔离与控制，核心不靠“一刀切阻断”，而是通过逻辑分域 + 精确标记 + 策略执行三层机制协同完成。它不是简单地让租户“看不见彼此”，而是确保即使流量路径重叠，数据也不会错投、误解析、越权访问。

基于VNI或VLAN的逻辑网络分域

这是隔离的第一道防线，决定流量归属哪个租户上下文：

• VXLAN场景下，每个租户分配唯一VNI（24位标识），虚拟交换机在解封装时依据VNI将内层帧送入对应桥接域，不同VNI的数据不会混入同一转发平面
• VLAN场景下，租户流量打上唯一VLAN ID，虚拟交换机按802.1Q标签划分广播域，同一物理端口可承载多租户流量但互不学习ARP、不泛洪MAC地址
• 关键点：VNI/VLAN本身不提供安全策略，只做“分拣”——就像快递分拣中心按运单号把包裹分到不同格口，但格口是否上锁、谁有权取件，还需后续控制

流表与安全组联合实施细粒度控制

分域之后，需在每个租户域内定义“能和谁通信、用什么方式通信”：

windows-shell

Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。

下载

• Open vSwitch等支持OpenFlow的虚拟交换机，用流表匹配五元组（源/目的IP、端口、协议），可配置拒绝跨租户IP段互通、仅允许特定端口访问数据库等规则
• 安全组作为网卡级策略引擎，绑定到虚拟机vNIC，控制该VM的入出方向流量；不同租户的VM即使在同一子网，只要安全组规则未放行，连接即被丢弃
• 示例：租户A的Web服务器（10.10.1.10）和租户B的DB（10.10.2.20）虽在同VXLAN隧道内传输，但流表默认不匹配跨租户IP对，安全组也未开放3306端口，连接始终无法建立

网络ACL与QoS保障租户边界行为合规

在交换机层级补充策略，防止租户内部异常流量影响他人：

• 网络ACL绑定到虚拟交换机（如云平台中的vSwitch），可设置无状态规则，例如“拒绝源IP为10.244.0.0/16且目的端口为22的所有流量”，从入口处拦截扫描行为
• QoS限速直接作用于vPort或VNI维度，比如限制某租户VNI=5001的总带宽不超过100Mbps，避免其突发流量挤占其他租户转发资源
• 注意：ACL是交换机层面的全局策略，不依赖虚拟机操作系统；而安全组是实例维度，更灵活但需配合Agent或元数据服务下发

命名空间与veth对强化运行时隔离

在轻量级虚拟化（如容器）环境中，底层仍依赖Linux网络栈保障硬隔离：

• 每个租户容器运行在独立netns中，拥有专属路由表、iptables规则、lo接口，即便共享宿主机内核，网络配置完全不可见
• veth pair一端在容器netns，一端挂在宿主机网桥（如cbr0），网桥仅转发已知MAC且符合VLAN/VNI标记的帧，未授权的报文直接丢弃
• 这种组合使租户连“尝试探测对方IP”都做不到——因为ARP请求发不出去，ICMP根本构造不了