VPC隔离靠独立路由平面而非防火墙规则

不同VPC之间互相不可见、不能通信，靠的不是逐条配置的防火墙/ACL规则，而是每个VPC分配一个 独立的VNI（见[[Overlay网络让拓扑设计脱离物理限制]]中的Overlay标识），处于完全不同的路由平面——两个VPC的数据包即使IP地址段完全相同 （如都用192.168.0.0/16），因为VNI不同，物理网络也不会把它们的报文投递到彼此手里，隔离 是拓扑结构层面天然成立的，不依赖任何一条需要人工维护、可能被误删的规则。这是一种更稳固的 隔离思路：能用结构性设计保证的边界，就不要退化成靠一堆策略规则去人工兜底。