本文指导您使用私网连接（PrivateLink）服务将一个专有网络（VPC）内部署的私网SLB服务共享给同账号下的另外一个VPC访问。

背景信息

VPC是您独有的云上私有网络，不同VPC之间完全隔离。您可以通过PrivateLink，实现VPC与阿里云上的服务建立安全稳定的私有连接，简化网络架构，避免通过公网访问服务带来的潜在安全风险。

通过PrivateLink实现私网访问，您需要创建终端节点服务和终端节点。
  • 终端节点服务

    终端节点服务是可以被其他VPC通过创建终端节点建立私网连接的服务。终端节点服务由服务提供方创建和管理。

  • 终端节点

    终端节点可以与终端节点服务相关联，以建立通过VPC私网访问外部服务的网络连接。终端节点由服务使用方创建和管理。

说明 目前，仅部分地域支持私网连接。更多信息，请参见支持私网连接的地域和可用区。

配置场景

本文以下图场景为例。某公司使用阿里云账号A在德国（法兰克福）地域创建了两个VPC，VPC2中的ECS实例创建了应用服务。因业务发展，VPC2中的服务需要被VPC1通过私网访问，避免公网访问服务带来的潜在安全风险。

您可以在VPC2下创建支持PrivateLink的负载均衡实例，将ECS实例添加为负载均衡实例的后端服务器，然后创建终端节点服务，将负载均衡实例添加为服务资源。在VPC1下创建终端节点。创建成功后，VPC1即可私网访问VPC2下的服务。建立私网连接

前提条件

开始前，请确保满足以下条件：
  • 您已经注册了阿里云账号。如还未注册，请先完成账号注册。
  • 您已经在VPC2下创建了ECS实例，并部署了应用服务。具体操作，请参见使用向导创建实例。
  • 您已经在VPC1创建了安全组。详细信息，请参见创建安全组。

配置步骤

建立私网连接配置步骤

步骤一：创建支持PrivateLink功能的负载均衡实例

目前，仅支持PrivateLink功能的负载均衡实例可以作为终端节点服务的服务资源。通过PrivateLink实现在VPC间私网访问服务前，您需要创建支持PrivateLink功能的负载均衡实例。

完成以下操作，在VPC2下创建支持PrivateLink功能的负载均衡实例。

  1. 登录传统型负载均衡CLB控制台。
  2. 在实例管理页面，单击创建传统型负载均衡。
  3. 在购买页面，根据以下信息配置负载均衡实例。
    配置 说明
    付费模式 选择一种付费模式。 本文选择按量付费。
    说明 仅按量付费模式的传统型负载均衡实例支持PrivateLink功能。
    地域和可用区 选择负载均衡实例所属的地域和可用区，确保负载均衡实例的地域和后端添加的云服务器ECS的地域相同。本文地域选择德国（法兰克福） ，可用区选择法兰克福 可用区B。
    可用区类型 显示所选地域的可用区类型。本文选择多可用区。
    备可用区 选择负载均衡实例的备可用区。备可用区默认不承载流量，主可用区不可用时才承载流量。本文选择欧洲中部1 可用区A。
    实例名称 自定义新建实例名称。

    长度限制为1~80个字符，允许包含中文、字母、数字、短划线（-）、正斜线（/）、半角句号（.）和下划线（_）等字符。
    实例规格 选择一个实例规格。不同的实例规格所提供的性能指标不同。本文选择简约型I（slb.s1.small）。
    实例类型 根据业务场景选择配置对外公开或对内私有的负载均衡服务。本文选择私网。
    网络类型 选择负载均衡实例的网络类型。本文选择专有网络。
    专有网络 选择VPC2及VPC2下的交换机。
    IP 版本 选择负载均衡实例的IP版本。本文选择IPv4。
    功能特性 选择标准功能。
    计费方式 选择按使用流量计费。
    数量 选择1。
    资源组 选择默认资源组。
  4. 单击立即购买并完成支付。

步骤二：配置负载均衡实例

创建负载均衡实例后，您需要添加至少一个监听和一组后端服务器才能实现流量转发。

  1. 在实例管理页面，找到步骤一创建的负载均衡实例，在操作列单击监听配置向导。
  2. 在协议&监听页面，根据以下信息配置监听规则。
    • 选择负载均衡协议：本文选择TCP协议。
    • 监听端口：用来接收请求并向后端服务器进行请求转发的负载均衡系统的前端协议和端口。

      本文端口设置为80。

    其它配置保持默认选项。单击下一步。

  3. 在后端服务器页面，选择默认服务器组，单击继续添加，添加后端服务器。
    1. 在我的服务器页面，勾选已经创建的ECS实例，单击下一步。
    2. 配置权重，权重越大转发的请求越多，默认为100，保持默认值即可。
    3. 单击添加。
    4. 在后端服务器页面，配置后端协议端口，ECS实例上开放的用来接收请求的后端端口，在同一个负载均衡实例内可重复。本文端口设置为80。
    5. 单击下一步。
  4. 配置健康检查，本文使用默认值。单击下一步。
  5. 进入配置审核页面，确认无误后单击提交。
  6. 单击知道了，返回实例管理页面。

    当后端ECS实例的健康检查状态为正常时，表示后端ECS实例可以正常处理负载均衡转发的请求了。

    负载均衡实例

步骤三：创建终端节点服务

终端节点服务是可以被其他VPC通过创建终端节点建立私网连接的服务。

  1. 登录终端节点服务控制台。
  2. 在顶部菜单栏处，选择要创建终端节点服务的地域。
    本文选择德国（法兰克福）。
  3. 在终端节点服务页面，单击创建终端节点服务。
  4. 在创建终端节点服务页面，根据以下信息配置终端节点服务，然后单击确定创建。
    • 选择服务资源：选择要承载流量的可用区，然后选择与终端节点服务关联的负载均衡实例。

      负载均衡实例作为服务资源与终端节点服务关联，关联的负载均衡实例将接受来自您服务的用户的网络访问，终端节点服务的可用区与服务资源所在的主可用区一致。仅支持专有网络类型且支持PrivateLink功能的负载均衡实例作为服务资源。

      本文选择法兰克福 可用区B，然后选择步骤一创建的支持PrivateLink功能的负载均衡实例。

    • 自动接受终端节点连接：选择是否自动接受终端节点的连接请求。
      • 是：终端节点服务将自动接受终端节点的连接请求，通过终端节点能够访问服务。
      • 否：终端节点连接将处于已断开状态，等待服务管理员进行处理：
        • 如果服务管理员接受该终端节点对应的终端节点服务连接，通过终端节点将能够访问服务。
        • 如果服务管理员拒绝该终端节点对应的终端节点服务连接，通过终端节点无法访问服务。

      本文选择否。

    • 是否支持同可用区优先：本文选择是。
    • 描述：输入终端节点服务的描述信息。

      描述长度为2~256个字符，但是开头不能为http://和https://。

终端节点服务创建成功后，系统自动将服务所有者的账号ID添加到服务白名单中。

您可以在终端节点服务页面查看服务ID和服务名称。终端节点服务

步骤四：创建交换机

您需要在VPC1下创建交换机，交换机的可用区必须与步骤一创建的负载均衡实例的主可用区一致。创建成功后，系统才能在该交换机下创建终端节点网卡。终端节点网卡是VPC1通过终端节点访问VPC2服务的入口。

  1. 在左侧导航栏，单击交换机。
  2. 在顶部菜单栏处，选择要创建交换机的地域。
    本文选择德国（法兰克福）。
  3. 在交换机页面，单击创建交换机。
  4. 在创建交换机对话框，根据以下信息配置交换机，然后单击确定。
    • 资源组：选择交换机的资源组。本文选择全部。
    • 专有网络：选择交换机所属的专有网络。本文选择VPC1。
    • 名称：输入交换机的名称。

      名称长度为2~128个字符，以大小写字母或中文开头，可包含数字、下划线（_）和短划线（-）。

    • 可用区：选择交换机所属的可用区。本文选择法兰克福 可用区B。
    • IPv4网段：指定交换机的IPv4网段。
    • 描述：输入交换机的描述信息。

      描述长度为2~256个中英文字符，开头不能为http://和https://。

步骤五：创建终端节点

终端节点可以与终端节点服务相关联，以建立通过VPC私网访问外部服务的网络连接。

  1. 登录终端节点控制台。
  2. 在顶部菜单栏处，选择要创建终端节点的地域。
    本文选择德国（法兰克福）。
  3. 在终端节点页面，单击创建终端节点。
  4. 在创建终端节点页面，根据以下信息配置终端节点，然后单击确定创建。
    • 节点名称：输入终端节点的名称。

      名称长度在2~128个字符之间，以英文字母或中文开头，可包含数字、连字符（-）和下划线（_）。

    • 终端节点服务：您可以通过以下两种方式设置终端节点服务：
      • 单击通过服务名称添加，然后输入终端服务名称。
      • 单击选择可用服务，然后选择目标终端节点服务ID。

      本文先单击通过服务名称添加，然后选择步骤三中创建的终端节点服务。详细信息，请参见步骤三：创建终端节点服务。

    • 专有网络：选择需要创建终端节点的VPC。本文选择VPC1。
    • 安全组：选择要与终端节点网卡关联的安全组，安全组可以管控VPC到终端节点网卡的数据通信。
      说明 确保安全组内的规则开放了客户端对终端节点网卡的访问。
    • 可用区与交换机：选择终端节点服务对应的可用区，然后选择该可用区内的交换机，系统会自动在该交换机下创建一个终端节点网卡。

      本文选择法兰克福 可用区B，然后选择步骤四创建的交换机。详细信息，请参见步骤四：创建交换机。

    • 描述：输入终端节点的描述信息。

      描述长度为2~256个字符，但是开头不能是http://和https://。

创建终端节点后，您可以查看访问服务的域名或IP。您可以查看到以下三种访问服务的方式：
  • 终端节点域名
  • 弹性网卡IP
  • 可用区域名
服务访问域名或IP01

步骤六：接受终端节点连接请求

终端节点发送连接请求后，终端节点服务需要接受终端节点的连接请求。接受后，VPC1才能通过终端节点访问服务。
说明 如果您在步骤三创建终端节点服务时设置自动接受连接请求，请忽略此步骤。
  1. 在左侧导航栏，单击终端节点服务。
  2. 在顶部菜单栏处，选择终端节点服务的地域。
    本文选择德国（法兰克福）。
  3. 在终端节点服务页面，找到步骤三创建的终端节点服务，单击其服务ID链接。
  4. 单击终端节点连接页签，找到目标终端节点，单击操作列下的允许。
  5. 在允许连接对话框，单击确定。
接受连接请求后，终端节点连接的状态由已断开变更为已连接。连接状态

步骤七：通过终端节点访问服务

完成以下操作，测试VPC1下的ECS实例是否可以私网访问VPC2的服务。

  1. 打开VPC1 ECS实例的浏览器。
  2. 在浏览器中输入访问服务的域名或IP，测试是否可以访问VPC2的服务。
    本文输入步骤五创建终端节点后生成的访问域名或IP。详细信息，请参见步骤五：创建终端节点。

    经测试，VPC1 ECS实例可以私网访问VPC2的服务。

    创建终端节点-访问服务