OCI Networking 是一份面向 Oracle Cloud Infrastructure 网络设计与运维的实践指南，主要用于设计 OCI VCN 拓扑、排查连接故障、配置 Service Gateway 以消除出口成本，以及在 Security List 与 NSG 之间做出选择。内容以「绝对不要这样做」的禁令形式给出常见错误与正确替代方案，并附带 OCI CLI 命令和成本计算示例。
Service Gateway 文档强调绝不要将 Oracle 服务流量经由 Internet Gateway 路由，因为 Service Gateway 是免费的。示例：每月 20 TB 数据库备份到 Object Storage，经 Internet Gateway 出口费用为 20,000 GB × $0.0085/GB = $170/月；使用 Service Gateway 则同流量为 $0/月，年节省 $2,040。Service Gateway 覆盖 Object Storage（所有层级）、ADB 私有端点、Oracle Services Network。配置方式为在私有子网路由表中添加目标：<oci-services-cidr>（可用 oci network service list --all 查询），目标类型为 Service Gateway OCID。
VCN CIDR 绝不要创建 /24 CIDR 的 VCN，因为其无法调整大小。错误示例 oci network vcn create --cidr-block "10.0.0.0/24" 仅 256 个 IP，很快耗尽且不可变；正确示例为 "10.0.0.0/16"，提供 65,536 个 IP，可容纳 256 个 /24 子网。迁移需要新建 VCN 加资源迁移、DNS、安全规则，意味着数小时停机。
负载均衡子网 绝不要为负载均衡子网使用 /27 或更小，因为最小硬性要求为 /24。错误示例 "10.0.1.0/27" 仅 32 个 IP（OCI 保留 5 个后剩 27 个可用），会导致创建失败并报「Insufficient IP space」；正确示例为 "10.0.1.0/24"。LB 需要两个不同可用性域中的子网以实现高可用，每个至少 /24，即使尚未使用 OCI 也会保留 IP 供未来扩展。
VCN 对等连接 绝不要假设 VCN 对等连接支持传递路由。若 VCN-A ↔ VCN-B ↔ VCN-C 对等，VCN-A 实例无法经 VCN-B 到达 VCN-C。OCI 对等是非传递的。修复方式一：建立显式对等（VCN-A ↔ VCN-C 直连）；方式二：使用 DRG 的 hub-and-spoke（3 个及以上 VCN 时首选）。
安全列表的状态性 绝不要为有状态的安全列表添加冗余出口规则（这是 AWS NACL 的习惯）。OCI 安全列表是有状态的（类似 AWS 安全组，不同于 AWS 网络 ACL）。错误示例：入口允许 TCP 443 来自 0.0.0.0/0，出口允许 TCP 1024-65535 到 0.0.0.0/0（不必要）；正确示例：仅配置入口允许 TCP 443 来自 0.0.0.0/0，响应流量自动放行。
安全列表数量限制 绝不要尝试为一个子网添加第 6 个安全列表，硬限制为 5 个。超过时更新命令会报「Maximum security lists (5) exceeded」。正确做法是使用 NSG 处理应用特定规则。NSG 限制：每个资源 5 个，每个 NSG 120 条规则，每个 VCN 不限 NSG 数量。
安全列表与 NSG 决策矩阵 子网级基线（DNS、NTP、ICMP）用安全列表；所有资源的互联网出口用安全列表；应用层到数据库层隔离用 NSG；仅针对特定实例的规则用 NSG；超过 5 个安全列表限制的复杂应用用 NSG。推荐模式：每个子网 1 个安全列表，允许出口、ICMP、DNS、NTP；按层使用 NSG：Web（来自互联网的 80/443）、App（来自 Web NSG）、DB（来自 App NSG）；将实例分配到对应层的 NSG，子网安全列表自动应用于所有资源。
传递路由：VCN 对等与 DRG 本地对等（同区域，免费）：在每个 VCN 中创建本地对等网关（LPG），连接 LPG，并在两个路由表中添加显式路由；限制是不支持传递，A↔B 和 B↔C 不产生 A↔C。远程对等（跨区域，每个 DRG 连接 $0.01/小时 = $7.30/月）：每个区域一个 DRG，每个 DRG 上配置远程对等连接。使用 DRG 的 hub-and-spoke 支持本地数据中心的传递路由：VCN-A → DRG ← On-Premises，VCN-B → DRG ← On-Premises，这是 OCI 中唯一支持传递路由的模式。3 区域网状连接（A↔B、B↔C、A↔C）：3 个远程 DRG 连接 = $21.90/月。
FastConnect 与 VPN 选择 VPN 站点到站点：隧道 $0.05/小时 = $36.50/月，数据免费（VPN 处理无按 GB 收费），出口 500 GB × $0.0085 = $4.25/月，合计约 $41/月。FastConnect（1 Gbps）：端口 $1,100/月固定，数据传输免费，合计 $1,100/月。决策：低于 500 GB/月或开发测试环境用 VPN；生产环境有延迟 SLA（5-20ms，对比 VPN 的 30-50ms）用 FastConnect；高于 500 GB/月且可预测用 FastConnect 更经济。
子网大小指南 小型应用层 /26（59 个可用 IP，基础负载）；标准应用层 /24（251，推荐默认）；大型应用层 /23（507，高密度）；负载均衡子网 /24 最小（251，硬性要求，需 2 个）。OCI 每个子网保留 5 个 IP（前 3 个加广播加保留），需计入。
VCN 设计反模式 所有层共用一个子网会破坏爆炸半径隔离、违反合规。正确做法是每层一个子网：10.0.1.0/24（Web 层，公共子网）、10.0.2.0/24（App 层，私有子网）、10.0.3.0/24（DB 层，私有子网）；NSG web 允许来自互联网的 80/443，NSG app 仅允许来自 Web NSG 的 8080，NSG db 仅允许来自 App NSG 的 1521。注意事项：VCN 存在时默认路由表无法删除，只能修改；应创建自定义路由表并将子网关联到它们，默认路由表保持未使用。
参考文件 需要以下内容时加载 references/oci-networking-reference.md：DRG、FastConnect 或 VPN 详细配置；复杂路由排查；网络防火墙设置；完整的 VCN 和子网 CLI 参考。