容器集群私网IP段须避开现有网络且预留扩展，遵循不重叠、易管理、可互通原则；需避开VPC、IDC及其它集群已用网段，多集群间Pod网段亦不可重叠。

容器集群的私网IP地址段不能随意选，必须和现有网络环境错开，同时预留扩展空间。核心原则是：不重叠、易管理、可互通。

避开已有网络段

先确认当前VPC、子网、IDC内网、其他容器集群已用的私有网段。常见私有地址范围有三段：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16，但不能直接照搬默认值——比如Flannel常用10.244.0.0/16、Docker默认172.17.0.0/16，这些在企业环境中极易冲突。

• 若VPC网段是192.168.0.0/16，Pod网段就不能选192.168.x.0/24这类子集
• 若IDC已用10.10.0.0/16，就别再用10.0.0.0/8里的任何子段
• 多集群共存时，各集群的Pod网段之间也必须互不重叠

按规模合理划分子网

子网大小决定最大Pod数量，也影响VPC路由表条目数（阿里云限制200条）。建议按节点规模预估：

• 小集群（
• 中大型集群：/20或/19更稳妥，避免后期扩容受限
• 预留至少20%余量，应对突发扩缩容或灰度部署

服务网段和服务隔离设计

Service CIDR是纯虚拟网段，只在集群内部生效，但它仍需与Pod网段、节点子网完全隔离：

• 推荐从172.[16–31].0.0/16中选一段，比如172.20.0.0/16，避开172.25.0.0/22这类已用Pod段
• 多个集群可复用同一Service网段（因为它是虚拟的、不跨集群路由）
• 如需跨集群调用Pod，靠的是Pod网段互通，不是Service网段互通

混合云与跨账号场景补充

如果涉及IDC、多云账号或CEN组网，私网规划要前置对齐：

• 所有参与互通的网络（IDC、各VPC、各容器集群Pod段）必须全局唯一、无重叠
• 建议统一采用10.0.0.0/8大段做整体划分，例如：IDC用10.1.0.0/16，VPC-A用10.2.0.0/16，其下Pod用10.2.10.0/22
• 转发路由器（TR）依赖清晰的CIDR边界做策略路由，混乱的地址段会导致策略失效或黑洞路由