在香港机房部署容器集群，先确认地址能否与现有网络共存，再讨论节点数量和网络插件。香港机房部署容器集群的网络地址规划，重点不只是给节点分配地址，还要把节点、容器、服务、管理网络及对外出口分开核对。若集群还要连接办公室、云环境或另一处机房，遗漏一段已有网段，就可能造成路由冲突或访问绕行。
先画清楚已有网络，再划容器地址池
整理机房现有的网段清单，至少覆盖服务器管理口、业务服务器、存储网络、带外管理、虚拟化平台，以及通过专线或隧道接入的远端网络。不要只看设备地址：还应检查交换机 VLAN 配置、路由表、DHCP 地址池和防火墙对象。RFC 1918 定义的私有地址范围包括 10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16，但“属于私有地址”并不代表可以直接使用，企业其他地点可能已经占用。
随后分别记录节点地址池、Pod CIDR（容器地址段）和 Service CIDR（集群服务虚拟地址段）。这些范围应互不重叠，也要避免与机房现网及计划接入的远端网络重叠。以下仅是便于说明的示例，实际采用前必须核对现网：节点使用 10.20.0.0/16，Pod 使用 10.32.0.0/16，Service 使用 10.96.0.0/16。子网大小还要结合节点规模、每节点容器地址分配方式和网络插件能力计算，不能照抄示例。
按增长和通信边界核算地址
给节点与容器留出可管理的空间
节点地址池要覆盖当前服务器，并考虑扩容和维护替换时的余量。Pod 地址则应按集群预计节点数、每节点可分配地址数和插件的地址块分配机制核算。部分网络插件会按节点切分容器地址块；具体可用地址数取决于掩码、保留地址及插件实现。可先按当前容量计算，再预留一段增长空间，例如以约 20% 作为内部规划缓冲参考，并依据扩容周期调整，而非把它当成固定标准。
Service CIDR 容量应对应服务数量及集群生命周期。它通常只在集群内部用于服务发现和转发，不等同于可直接从机房外部访问的地址。部署后修改该范围可能影响集群组件和服务通信，因此应在初始化前定案，并记录到网络设计文档。
让隔离策略与地址规划对应
地址分段只是边界，不会自动阻止访问。通过 CNI（容器网络接口）确认集群是否支持 NetworkPolicy（网络策略），并核实所用实现会实际执行策略。建议默认限制跨命名空间通信，只按应用依赖开放必要端口；同时单独检查节点管理端口、集群控制面、DNS 和外部出口。机房侧还需明确容器访问外部网络时采用地址转换还是路由发布，以及防火墙是否允许回程流量。
上线前按顺序做核对
从网络和平台负责人处收集现网网段、静态路由、DHCP 范围及远端互联网段，整理为可查询清单。
分别拟定节点、Pod 和 Service 地址段，逐项检查重叠；特别检查默认路由、静态路由和专线对端公布的范围。
核对每个地址段的用途、网关、路由发布范围和责任人，并确认地址池是否足以覆盖规划节点及容器容量。
在测试环境部署少量节点，验证节点互通、Pod 跨节点通信、服务发现、指定出口及策略拦截。用允许和拒绝两类连接分别检查 NetworkPolicy 是否生效。
把最终网段、扩容规则、路由变更和回退方法写入变更记录；正式上线前复查防火墙与交换机配置，避免测试规则遗留。
最容易忽略的三类风险
地址重叠：容器地址与办公室或云端地址相同，可能导致访问被本地路由错误接管。多地点环境尤其要核查对端路由，而非只看机房本地配置。
把地址隔离当作访问控制：不同地址段之间仍可能经路由互通。应同时检查 VLAN 边界、主机防火墙、机房防火墙和 NetworkPolicy，确认规则是否真正覆盖目标流量。
忽略地址池耗尽：节点扩容、工作负载波动或插件分配策略都可能增加地址需求。监控节点与 Pod 地址分配情况，并明确扩容前由谁调整路由和地址范围。
因此，香港机房部署容器集群的网络地址规划应在集群初始化前完成，并与路由和隔离策略一起验收。把现网清单、地址容量、访问边界及回退步骤落实到文档，才能降低上线后因冲突、误放通或地址不足引发的排障成本。
常见问题
能否直接沿用现有服务器网段给容器使用？
不建议未经核对就共用。先确认网络插件的工作方式、路由设计和隔离需求；节点与容器地址通常应分别规划。
Pod CIDR 和 Service CIDR 可以设置成同一段吗？
不应重叠。二者用途不同，重叠会使路由和服务转发难以正确区分。
划分 VLAN 后还需要 NetworkPolicy 吗？
视架构而定。VLAN 主要提供网络分段，NetworkPolicy 可控制集群内部工作负载之间的通信，两者保护范围不同。
地址规划完成后还要复测吗？
需要。至少验证跨节点通信、服务访问、外部出口和应被拒绝的连接，并在正式变更后再次确认路由与防火墙状态。