CEN跨VPC访问专属网关-人工智能平台 PAI(PAI)-阿里云帮助中心

为了满足您在安全隔离与访问控制方面的需求，PAI-EAS专属网关支持灵活的访问方式，包括公网访问、同地域内跨专有网络VPC（Virtual Private Cloud）访问和跨地域VPC访问。本方案适用于全托管专属网关，以跨地域VPC访问为例，介绍如何使用云企业网CEN（Cloud Enterprise Network）等方式实现跨VPC访问全托管专属网关。

方案概览

客户已通过CEN、VPC对等连接或其他方式实现跨VPC网络互联，本方案不涉及网络打通操作，仅介绍网络打通后的VPC如何连接到专属网关。实现跨VPC访问专属网关大致分为如下四步：

创建专属网关并绑定VPC：执行相应操作后，系统会为专属网关配置内网访问权限。
为专属网关关联其他VPC：将其他地域的VPC添加至专属网关，完成域名解析授权操作。
验证连通性：验证其他地域VPC可以通过域名地址访问专属网关。
创建服务并关联专属网关：部署服务时绑定专属网关，其他地域VPC可以通过专属网关访问EAS服务。

前提条件

在执行操作前，您需要完成以下准备工作：

已分别在两个地域（例如北京和杭州）创建专有网络VPC1和VPC2，并为每个VPC创建了交换机。具体操作，请参见专有网络与交换机。
已通过CEN、VPC对等连接或其他方式实现跨VPC网络互联。具体操作，请参见VPC互连。

步骤一：创建专属网关并绑定VPC

创建专属网关。
1. 登录PAI控制台，选择华北2（北京）地域，然后进入模型在线服务（EAS）页面。
  1. 在顶部导航栏选择地域，例如华北2（北京）。
  2. 在左侧菜单栏，选择模型部署 > 模型在线服务（EAS）。
  3. 在选择工作空间下拉框中选择目标工作空间。
  4. 单击进入 EAS。
2. 切换到推理网关页签，新建全托管专属网关。
为专属网关添加专有网络。
单击专属网关名称，在专属网关详情页面的专有网络页签，配置内网访问。
其中步骤③选择已在华北2（北京）地域创建的VPC（ID）和交换机。
说明
添加专有网络时，如果出现以下报错信息，您需要重新选择一个支持的可用区内的交换机。
```
Vswitch vsw-2zeqwh8hv0gb96zcd**** in zone cn-beijing-g is not supported, supported zones: [cn-beijing-i cn-beijing-l cn-beijing-k]
```
当状态为运行中时，表明专有网络已添加成功。

步骤二：为专属网关关联其他VPC

在专属网关详情页面完成以下操作，关联VPC并完成域名解析授权操作。其中需要选择在华东1（杭州）地域创建的VPC。

在网关访问控制页面的专有网络页签下，单击目标VPC记录右侧的关联VPC。
在关联VPC弹窗左侧的未关联VPC列表中，展开目标地域并勾选需要关联的VPC。
单击>按钮，将已勾选的VPC穿梭至右侧已关联VPC面板。
单击确定。

步骤三：验证连通性

在专属网关详情页面的专有网络页签，复制域名地址（格式如 gw-xxx-1-vpc.cn-beijing.pai-eas.aliyuncs.com）。

在步骤二绑定的VPC内的终端机器上，访问该域名地址。

输出如下结果，表明支持跨VPC访问专属网关。

[root@iZbp10n5xxx...xxxuivuZ ~]# ping gw-tw1muxxx...xxx-vpc.cn-beijing.pai-eas.aliyuncs.com
PING ep-2zeia86xxx...xxx12e.epsrv-2zee3cuxxx...xxxsm.cn-beijing.privatelink.aliyuncs.com (192.168.0.177) 56(84) bytes of data.
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=1 ttl=100 time=33.7 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=2 ttl=100 time=32.7 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=3 ttl=100 time=32.8 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=4 ttl=100 time=32.7 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=5 ttl=100 time=32.8 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=6 ttl=100 time=32.6 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=7 ttl=100 time=32.6 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=8 ttl=100 time=32.6 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=9 ttl=100 time=32.6 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=10 ttl=100 time=32.8 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=11 ttl=100 time=32.6 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=12 ttl=100 time=32.6 ms

步骤四：创建服务并关联专属网关

部署服务时绑定专属网关

在模型在线服务 (EAS)页面的推理服务页签，自定义部署模型服务。您需要在服务功能区域，打开专属网关开关，然后从右侧下拉列表中选择目标网关实例，其他配置说明，请参见自定义部署。

验证网络连通性

查看服务访问地址。
1. 在服务列表中，单击目标服务名称，进入服务详情页面。
2. 查询服务访问地址。单击查看调用信息，在弹出的调用信息对话框中，选择共享网关页签，获取VPC调用地址，用于后续验证网络连通性。

验证其他地域VPC可以通过专属网关访问EAS服务。

在其他地域VPC的终端机器上，访问上述已查询的服务访问地址（需要将访问地址前端的http://和尾端的/删除），输出如下结果，表明其他地域VPC支持通过专属网关访问EAS服务。

[root@iZbp13orbxxx         yZ ~]# ping tesxxx                cn-beijing.pai-eas.aliyuncs.com
PING ep-2zeiaxxx      2e.epsrv-2zee3cuso20c5jp1vcsm.cn-beijing.privatelink.aliyuncs.com (192.168.0.177) 56(84) bytes of data.
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=1 ttl=100 time=28.4 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=2 ttl=100 time=27.9 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=3 ttl=100 time=27.9 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=4 ttl=100 time=27.9 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=5 ttl=100 time=27.9 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=6 ttl=100 time=27.8 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=7 ttl=100 time=27.8 ms
64 bytes from 192.168.0.177 (192.168.0.177): icmp_seq=8 ttl=100 time=27.8 ms
^C
--- ep-2zeia86939xxx       xxx, beijing.privatelink.aliyuncs.com ping statistics ---
8 packets transmitted, 8 received, 0% packet loss, time 7011ms
rtt min/avg/max/mdev = 27.765/27.912/28.405/0.227 ms

CEN跨VPC访问专属网关最佳实践