需创建多个Azure Virtual Networks及Subnets的场景与行业实例咨询

针对本次咨询的两个问题，我结合多年Azure架构落地经验整理如下：

• 环境硬隔离需求：开发、测试、预发、生产环境必须做网络层拆分时，不要把所有环境塞在同一个VNet里。仅靠网络安全组（NSG）做访问控制做不到真正的硬隔离，很容易因为规则配置疏漏出现测试流量打生产、测试脚本误删生产数据的问题，遇到等保、行业合规审计也过不了关。
• 跨区域部署场景：Azure单个VNet不能跨区域部署，只要你的业务节点分布在两个及以上Azure区域，每个区域必须创建独立VNet，后续需要跨区通信、容灾切换时再配置VNet对等即可。
• 权责与计费拆分场景：不同部门、不同项目组使用独立Azure订阅核算成本、分配资源权限时，各自在所属订阅下创建独立VNet，避免网络资源权限交叉、路由配置互相影响、成本算不清的烂账。
• 合规边界拆分场景：同一套架构里同时包含公网暴露的前端服务、存储敏感数据的核心模块（比如用户隐私数据、支付数据、商业机密数据）、第三方合作方接入网段、运维管理网段时，必须拆分独立VNet或子网做边界隔离，满足最小权限访问要求。
• 专属服务部署要求：不少Azure托管服务强制要求占用独立子网部署，比如Azure Firewall、Application Gateway、AKS集群、Azure Bastion、托管实例SQL MI，这些服务会自动占用子网内的预留IP，不能和普通虚拟机、其他业务资源混在同一个子网，必须提前单独划分子网预留地址段。
• 性能与流量隔离需求：大带宽消耗类业务（比如大数据离线计算、全量文件/固件推送）、低延迟要求的核心业务（比如高频交易、工业实时控制）如果和普通低优先级业务混在同一个子网，很容易出现带宽争抢、路由冲突，拆分独立VNet/子网后可以单独配置QoS策略、自定义路由表，保障核心业务的网络稳定性。

• 金融行业：某城商行2021年做核心系统上云时，按照银保监会监管要求拆分了6个独立VNet，分别对应互联网接入区、核心交易区、内部办公区、大数据风控区、合作方接入区、运维管理区，每个VNet内部再按业务模块划分子网——比如核心交易区里单独拆了应用子网、数据库子网、缓存子网，子网之间全部通过Azure Firewall做白名单访问控制。上线后连续3年通过行业网络安全审计，之前测试环境混在生产VNet时出现过的扫描流量误打生产库触发告警的问题，拆分后再没出现过。
• 汽车制造行业：某跨国车企在全球5个Azure区域部署车联网平台，每个区域单独建VNet，区域内部拆分为车端接入子网、TSP服务子网、数据分析子网、OTA升级子网。其中OTA升级子网单独配置了大带宽链路，和车端实时控制业务子网做二层隔离，避免几个G的车机升级包推送时挤占实时控车指令的带宽，改造后OTA升级期间的控车指令平均延迟从320ms降到38ms，没再出现过指令丢包导致的车端控制失效问题。
• 电商行业：某头部电商2022年做双十一大促架构改造时，把原来单VNet混部的架构拆成公网入口VNet、交易链路VNet、商品推荐VNet、后台管理VNet4个独立VNet，每个VNet内再按服务等级拆核心子网、非核心子网，核心子网配置严格的ACL规则，仅允许白名单内的资源访问。2023年大促期间遭遇过一次峰值1.2T的CC攻击，攻击流量全被拦在入口VNet的WAF子网，完全没渗透到后端交易链路，全程交易成功率稳定在99.99%。
• 医疗行业：某三甲医院2023年部署云HIS系统时，按照等保三级要求单独划了独立VNet存放患者电子病历数据，这个VNet和互联网访问区VNet没有直接对等连接，只能通过专属的单向数据同步子网做数据摆渡，满足医疗行业患者敏感数据不得被公网直接访问的合规要求，顺利通过了等保三级测评。

内容的提问来源于stack exchange，提问作者Vidyasagar Kittur