容器云中大量容器之间在相同应用之间要互相联通，在不同应用之间则需要互相隔离，网络应该如何设计？

这个问题应该有多种解决方案，基本上就是把不同的应用容器放置在不同的vlan/vxlan中，通过让不同的vlan/vxlan不能互访而实现隔离。简单的方案可以尝试用docker overlay来解决，首先创建不同的network，然后在启动不同应用的容器时，使用--net参数指定容器所在的对应的vxlan即可。结果会看到同一个network中的容器是互通的，不同的network中的容器是不通的。