传统三层网络架构的web服务与与现代微分段的网络设计

传统三层网络架构如下图：

但是针对虚拟化、容器化、甚至云环境部署，这种三层网络结构，每层之间有专有的物理防火墙设备隔离已经有一些不适应了。尤其是对于像k8s这种，跑web、applicaiton server、database的三个pod可能处于同一个node上，那如何实现他们之间的隔离？而且像云、k8s、docker swarm等都使用SDN的网络技术，传统的这种利用专有硬件防火墙来实现隔离显然已经不合适了。

下边的文章介绍了这种现实，也有具体的探讨。提出应用micro-segment(微分离)的概念，提出使用基于规则的访问控制策略，比如AWS的security group, Network ACL等等。集中设置规则，然后应用到一个一个虚拟机或container上，因为现代操作系统自带防火墙功能（比如Linux IP tables），所以完全可以将这些规则通过在主机防火墙上来实现。所以传统三层结构没有消失，只是换了一种方式来实现而已。 

https://www.sweharris.org/post/2017-11-05-3tier-network/