4、业务隔离概念：为什么需要业务隔离、隔离的层次（L1/L2/L3）、隔离的粒度
好，咱们今天聊聊业务隔离。这个概念，说白了就是“别让张三家的数据跑到李四家去”。听起来简单吧？但实际做起来，坑多着呢。
我记得刚入行那会儿，带我的老工程师跟我说过一句话，我一直记到现在：“网络里最怕的不是设备坏，而是数据串。” 为什么？因为数据一旦串了，轻则业务中断，重则机密泄露。你想想看，银行的交易数据和普通上网流量混在一起，那画面太美我不敢看。
4.1 为什么需要业务隔离？
原因其实就三个字：安全、稳定、好管理。
- 安全第一：不同客户、不同业务的数据必须物理或逻辑上分开。我在运营商项目里遇到过，政企客户的专线流量和普通家宽流量混在一起，结果家宽用户一搞P2P下载，直接把政企客户的视频会议卡成PPT。客户投诉电话直接打到我手机上，那叫一个惨。
- 故障隔离：一个业务出问题，不能拖累其他业务。比如某个业务环路广播风暴了，如果没隔离，整个网络都得瘫痪。我曾经处理过一个故障，就是因为没做隔离，一个接入环路的广播包把核心设备CPU干到100%，全网断网半小时。从那以后，我设计网络必做隔离。
- 运维简化：隔离后，每个业务独立管理，出问题定位快。你想想，如果不隔离，查个故障得从海量流量里捞，跟大海捞针似的。
核心观点：业务隔离不是“锦上添花”，而是“雪中送炭”。没有隔离的网络，就像没有隔间的公共厕所——谁都能用，但谁都不舒服。
4.2 隔离的层次：L1、L2、L3
隔离不是一刀切，得看你在哪一层做。我习惯把隔离分成三个层次，每个层次有各自的玩法和适用场景。
4.2.1 L1隔离（物理层隔离）
这是最“硬”的隔离方式。说白了，就是给每个业务拉一根独立的物理线缆，或者用独立的设备。
- 优点：绝对安全，物理上就不通，谁也串不了。
- 缺点：成本高，布线复杂，扩展性差。
- 适用场景：高安全等级的业务，比如军队、政府涉密网络。
我在一个金融客户的项目里见过，他们的核心交易系统就是L1隔离，单独一对光纤，单独一台交换机，谁也不挨着谁。客户说：“哪怕隔壁机房着火了，我这交易也不能断。” 嗯，这很金融。
4.2.2 L2隔离（数据链路层隔离）
这是PTN网络里最常用的隔离方式。通过VLAN、QinQ、或者PW（伪线）来实现。
- VLAN隔离：最基础的方式，一个VLAN就是一个广播域。但VLAN ID只有4096个，大网络不够用。
- QinQ（双层VLAN）：把用户VLAN再封装一层运营商VLAN，扩展了VLAN数量。我在城域网里经常用这个，一个用户一个外层VLAN，内层VLAN留给用户自己玩。
- PW（伪线）：在PTN网络里，PW是L2隔离的“杀手锏”。它模拟出一条点对点的虚拟线路，每个业务一条PW，互不干扰。
我的经验：L2隔离适合做“点到点”或“点到多点”的业务，比如企业专线、基站回传。我建议在PTN网络里优先考虑PW隔离，因为它既灵活又安全。
4.2.3 L3隔离（网络层隔离）
到了三层，隔离就靠IP地址和路由协议了。常见的方式有VRF（虚拟路由转发）和MPLS VPN。
- VRF：在一台路由器上虚拟出多个独立的路由表，每个VRF对应一个业务。不同VRF之间默认不通，除非你配了路由泄露。
- MPLS VPN：这是L3隔离的“终极形态”。通过MPLS标签和BGP协议，在骨干网上构建出多个虚拟专用网络。每个VPN有自己的路由表，互不可见。
说实话，L3隔离的灵活性最高，但复杂度也最高。我见过不少工程师在配MPLS VPN时，把RT（路由目标）和RD（路由区分符）搞混，结果业务全乱套。嗯，这里要注意，RT控制路由的导入导出，RD只是让路由唯一，别搞反了。
| 隔离层次 | 实现方式 | 安全等级 | 成本 | 灵活性 |
|---|---|---|---|---|
| L1（物理层） | 独立线缆/设备 | 最高 | 最高 | 最低 |
| L2（数据链路层） | VLAN/QinQ/PW | 高 | 中 | 中 |
| L3（网络层） | VRF/MPLS VPN | 高 | 低 | 最高 |
4.3 隔离的粒度
隔离粒度，说白了就是“你打算把业务切得多细”。粒度越细，隔离效果越好，但管理成本也越高。我一般把粒度分成三级：
- 粗粒度（按客户/业务类型）：比如把所有政企客户放在一个VPN里，所有家宽用户放在另一个VPN里。这种粒度管理简单，但隔离效果一般。万一某个政企客户被攻击，同VPN里的其他客户也可能受影响。
- 中粒度（按单个客户）：每个客户一个独立的VPN或PW。这是最常见的做法。我在运营商项目里，基本是按客户来分，一个客户一个VRF，清清楚楚。
- 细粒度（按单个业务/子接口）：同一个客户的不同业务也隔离。比如一个银行客户，有交易系统、办公系统、视频监控系统，每个系统单独一个VPN或PW。这种粒度最安全，但配置量也最大。
避坑指南：我曾经在一个项目里，为了追求“绝对隔离”，把每个小业务都单独建了一个VPN。结果呢？配置量爆炸，运维人员根本记不住哪个VPN对应哪个业务。最后出故障时，查个路由表都得翻半天文档。所以，隔离粒度不是越细越好，得在安全和管理之间找个平衡点。
我个人习惯的做法是：先按客户分，再按业务重要程度分。普通业务用中粒度，核心业务用细粒度。这样既保证了安全，又不至于把自己累死。
好了，关于业务隔离的概念就聊到这儿。下一节咱们会讲具体的VPN配置，到时候我会拿实际设备出来演示。你想想看，光说不练假把式，对吧？