云网络规划的关键，不是把地址段切得越细越好，而是让每个子网有清楚的用途，让流量经过可预期的路径。做好云端虚拟网络子网与路由表规划，需要同时考虑地址空间、工作负载边界、下一跳和后续扩容；路由表不能代替防火墙或访问控制规则。
先划子网：按边界分，不按机器数量切
子网是虚拟网络中的地址范围，通常用于区分部署区域、工作负载或安全边界。以一个仅作说明的 10.20.0.0/16 地址段为例，可以预留 10.20.1.0/24 给入口服务、10.20.2.0/24 给应用、10.20.3.0/24 给数据服务。每个 /24 有 256 个地址，但云平台可能会保留其中一部分，实际可用数量需查对应平台文档。
选择掩码时，先估算资源峰值和扩容空间，再确认平台对最小、最大子网范围的限制。较大的地址块管理简单、余量充足，但会占用更多规划空间；较小的地址块便于隔离和分配，却可能很快耗尽。不同云平台对虚拟网络、子网和路由条目的限制并不完全相同，不要把某个平台的限制直接套用到另一个平台。
地址规划要留出互联空间
创建前检查本地机房、VPN、对等连接和其他云网络的 CIDR 是否重叠。地址重复可能导致路由无法按预期区分，互联方案也会变复杂。若未来可能连接多个环境，应预先保留地址块，并用用途和环境命名子网，而不是只按创建先后编号。
再配路由表：明确谁把流量送到哪里
路由表依据目的地址选择下一跳。一般会有虚拟网络内部通信所需的路由；额外路由则可把特定流量送往网关、防火墙设备或其他已配置的网络出口。多数平台允许将路由表关联到一个或多个子网，具体关联方式和路由优先级应以平台规则为准。
例如，应用子网访问数据子网时，先确认平台提供的内部路由是否已覆盖，不要为了“看起来完整”重复添加路由。若应用出站流量必须经过防火墙，可考虑为相关子网配置指向防火墙的默认路由；若只有部分目标需要经过检查，则添加更具体的目的网段路由。路由选择通常受最长前缀匹配影响：目标范围更具体的路由，可能优先于较宽泛的默认路由。
| 需求 | 常见做法 | 需要留意 |
|---|---|---|
| 子网间通信 | 确认虚拟网络内部路由及安全规则 | 路由可达不代表访问已获授权 |
| 统一检查出站流量 | 按平台能力将默认路由指向受控出口 | 检查回程路径与出口可用性 |
| 连接本地网络 | 添加指向 VPN 或专线网关的目标网段路由 | 两端地址不能冲突，双方路由都要匹配 |
按顺序实施，并逐条验证
- 列出通信需求：记录源子网、目标网段、方向、协议和端口，区分内部访问、出站访问及跨网络连接。
- 分配地址：确定虚拟网络总地址块，为各用途子网划定不重叠范围，并为扩容和互联预留空间。
- 检查默认路由：确认哪些子网需要互联网或集中出口，核实下一跳资源已创建且适用于该流量。
- 关联路由表：按子网逐一核对关联关系；在 Azure 中常见名称是用户定义路由（UDR），其他云平台的配置名称和行为可能不同。
- 验证双向路径：从实际工作负载检查目标是否可达，同时检查回程路由、安全组或网络访问控制规则、DNS 和防火墙策略。改动后先在小范围验证，再扩大应用。
容易踩的三个误区
把“有路由”当成“能访问”
路由只决定转发方向，不会自动放行端口，也不保证目标服务正在监听。还要检查安全规则、主机防火墙和服务状态。
所有子网共用一张默认路由表
统一管理更省事，但不同子网的出口要求可能不同。入口、应用、数据等边界若需不同转发策略，应明确关联关系，避免修改一张表后影响不相关的流量。
忽略回程和变更影响
请求能够到达目标，不代表响应一定能沿有效路径返回。新增路由前记录现有路径和依赖关系；变更后复核相邻子网、互联网络及出口设备。云端虚拟网络子网与路由表规划应和安全策略一起评审，而不是只检查路由条目。
常见问题
子网越多越安全吗？
不一定。子网有助于划分部署和路由边界，但安全还依赖访问控制、身份权限及工作负载配置。
每个子网都要单独建路由表吗？
不必。策略相同的子网可按平台规则共用；出口、互联或检查要求不同的子网，则应分别评估。
默认路由应该指向哪里？
取决于流量目标和平台架构，可能指向受控出口或网络网关。先确认下一跳类型、回程路径和安全要求，再配置。
什么时候需要重新规划地址段？
地址空间不足、要连接的新网络发生重叠，或子网用途边界变化时，应评估调整方案。规划初期预留空间，通常比后期迁移更容易管理。
