服务器子网划分是权限控制的底层支撑，需以租户+职责为单位语义化切分，结合VLSM、VLAN/VXLAN实现弹性隔离，并与租户生命周期自动联动。
服务器子网划分不是单纯分IP地址段，而是把网络结构变成权限控制的底层支撑。关键在于让每个子网天然携带“谁可用、能访问谁、受什么约束”这三层语义，从而支撑最小权限和多租户隔离落地。
子网即权限边界：按业务角色而非设备类型切分
避免按物理位置（如机房A/B）或设备类型（Web服务器、DB服务器）划分，而要以租户+职责为单位定义子网语义：
- 每个租户分配独立主网段，例如租户A用 10.100.10.0/24，租户B用 10.100.20.0/24，从根上杜绝IP重叠与越权探测
- 同一租户内再按最小权限原则分层：前端服务（10.100.10.0/26）、后端API（10.100.10.64/26）、数据库（10.100.10.128/26），每层只开放必要端口与来源
- 共享服务（如认证中心、日志平台）统一放在管理网段（如 10.100.255.0/28），所有访问必须显式授权，不默认放行
策略锚点化：用子网ID直接驱动访问控制
子网不再是数字容器，而是ACL、防火墙规则、API网关路由策略的直接输入项：
- 防火墙规则写成“允许 10.100.10.0/26 → 10.100.10.128/26:3306”，而不是逐台加IP白名单
- API网关根据请求源IP所属子网自动注入租户上下文（如 X-Tenant-ID: tenant-a），省去应用层解析与校验
- 云平台NSG或SDN策略可绑定子网标签，实现“禁止 10.100.20.0/24 访问 10.100.10.0/24 的任何端口”，零配置跨租户阻断
VLSM + VLAN/VXLAN双层承载，兼顾弹性与隔离强度
纯IP子网划分需配合二层隔离技术，防止ARP欺骗、广播风暴或MAC泛洪破坏逻辑边界：
- 使用VLSM按实际主机数弹性分配掩码（如数据库子网仅需8台，就用 /29；前端集群需60台，则用 /26），避免地址浪费与掩码过大导致策略宽松
- 物理网络层用VLAN隔离不同租户主网段（如租户A走VLAN 100，租户B走VLAN 200），确保交换机层面无二层互通
- 在超大规模或多云场景下，改用VXLAN封装，用VNI（VXLAN Network Identifier）替代VLAN ID，突破4096限制，并支持跨数据中心租户网络漂移
运维闭环：子网生命周期与租户生命周期对齐
子网不是静态配置，应随租户开通、降配、退订自动伸缩：
- 新租户接入时，自动分配未使用的主网段，同步创建对应VLAN/VNI、ACL模板、DNS域名空间（如 tenant-a.internal）
- 租户降级（如从全栈服务转为只读分析）时，自动收缩其子网权限：关闭数据库写端口、限制API调用频次、禁用SSH跳板入口
- 租户注销后，子网段立即回收并加入黑名单，防止地址复用引发策略错配；相关VLAN/VNI标记清除，避免残留二层通路
