如何配置GitHub Actions以访问VPN后的Python私有依赖仓库？

能否为GitHub Actions配置VPN解决问题？ #

可以。你可以在GitHub Actions的运行环境中配置VPN客户端，让运行器接入VPN网络，从而访问后方的私有仓库。但要注意两点：一是要确保VPN服务商允许从GitHub托管运行器的IP段接入；二是要通过GitHub Secrets安全存储VPN的认证信息（如用户名、密码、配置文件），避免明文泄露。

是否需要在VPN内设置代理或堡垒机？ #

不是必须选项，但设置代理或堡垒机能提升安全性和灵活性：

• 代理可以集中管控内网访问权限，避免每个运行器直接连VPN带来的风险；
• 堡垒机可以做更细粒度的访问控制，比如只允许特定的GitHub IP段访问私有仓库，同时便于审计访问日志。

推荐方案 #

• 自托管运行器（Self-hosted Runner）
  这是最稳定可靠的方案：把GitHub Actions运行器部署在VPN内网环境中，运行器本身就处于可访问私有仓库的网络里，不需要额外配置VPN。只需将运行器注册到你的GitHub仓库或组织，然后在流水线YAML中指定runs-on: self-hosted即可。这种方式完全避开了云端运行器连接VPN的各种限制，也无需担心网络稳定性问题。

• 托管运行器中配置VPN客户端
  如果必须使用GitHub托管的运行器，可以在流水线步骤中安装并启动VPN客户端。以OpenVPN为例：

  1. 将VPN配置文件（.ovpn）、认证用户名和密码存入GitHub Secrets；
  2. 在流水线中安装客户端：sudo apt-get install -y openvpn（适用于Ubuntu环境）；
  3. 启动VPN连接：sudo openvpn --config <(echo ${{ secrets.VPN_CONFIG }}) --auth-user-pass <(echo -e "${{ secrets.VPN_USER }}\n${{ secrets.VPN_PASS }}") --daemon。
     注意：这种方式可能存在连接超时、IP被VPN服务商拦截等稳定性问题，需提前测试兼容性。

• 堡垒机/内网代理中转
  在VPN内网部署一台HTTP/HTTPS代理服务器，然后在GitHub Actions流水线中设置环境变量HTTP_PROXY和HTTPS_PROXY指向该代理。代理负责转发请求到私有仓库，同时配置堡垒机的访问规则，仅允许GitHub的IP段访问。这种方式比直接连VPN更轻量，也便于排查网络问题。

• 私有包镜像到GitHub Packages
  如果合规允许，将VPN后方的私有Python包镜像到GitHub Packages，让GitHub Actions直接访问GitHub私有仓库，完全规避VPN依赖。需要维护镜像同步机制，比如定时脚本或CI任务自动同步源仓库的更新。

内容的提问来源于stack exchange，提问作者Most Wanted