## 操作场景借助私网出口，Claw 实例可通过私网直连访问云上服务或本地 IDC 服务，无需绕行公网，访问更安全可控。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_c95574752179c2cf19f00c83126493eb.png) ## 数据规划 * **ArkClaw** |资源类型 |资源名称 |网段/IP地址 |备注 | |---|---|---|---| |VPC |控制台无显式名称，本文以 VPC\-arkClaw 代指 |192.168.1.0/24 |ArkClaw 空间开通时指定，开通后不可修改。 | * **私网出口VPC** 可复用已有 VPC，建议单独创建一个 VPC 用于对接私网出口，便于权限隔离与运维。 |资源类型 |资源名称 |网段/IP地址 |备注 | |---|---|---|---| |VPC |VPC\-X |172.16.0.0/24 |私网出口指定的 VPC。子网掩码不大于 /28；每个子网会被 ArkClaw 企业版额外占用 6 个 IP，规划时请预留可用 IP。 | |子网 |Subnet\-A |172.16.0.0/25 || ||Subnet\-B |172.16.0.128/25 || * **企业服务** * 云上VPC服务 |资源类型 |资源名称 |网段/IP地址 |备注 | |---|---|---|---| |VPC |VPC\-Service |172.16.1.0/24 |承载云上企业服务。 | |子网 |Subnet\-Service |172.16.1.0/25 |云服务器所在子网。 | |云服务器 |ECS\-A |172.16.1.11 |部署企业服务。 | ||ECS\-B |172.16.1.22 |部署企业服务。 | ||ECS\-C |172.16.1.33 |部署企业服务。 | * 本地IDC服务 |资源类型 |资源名称 |网段/IP地址 |备注 | |---|---|---|---| |IDC |无名称 |10.0.0.0/8 |\-\- | |服务器 | Server\-A |10.0.1.11 |部署企业服务。 | ||Server\-B |10.0.1.22 |部署企业服务。 | ||Server\-C |10.0.1.33 |部署企业服务。 | * **私网出口VPC与企业服务互联** |场景 |通信方式 |说明 | |---|---|---| |私网出口VPC与云上VPC互通 |中转路由器（推荐） |适用于复杂组网场景。 | ||云企业网 |适用于简单组网场景。 | |私网出口VPC与本地IDC互通 |CEN+专线 |适用于大带宽且简单组网的场景。 | ||TR+专线（推荐） |适用于大带宽且复杂组网的场景。 | ||TR+VPN |适用于需要快速实施的场景。 | ## 准备工作 * 参考上文数据规划，创建VPC、子网、云服务器。操作请参见[创建私有网络](https://www.volcengine.com/docs/6401/69467)、[创建子网](https://www.volcengine.com/docs/6401/67823)、[创建云服务器](https://www.volcengine.com/docs/6396/67743)。 * 参考上文数据规划，搭建本地IDC的服务。 ## 操作步骤 ### 步骤一：创建私网出口关联的VPC 1. 登录[VPC控制台](https://console.volcengine.com/vpc/vpc)。 2. 单击“创建私有网络”按钮。 3. 选择VPC所属的主账号。参考下表，配置基本信息和网络段。 |**参数** |**说明** |**取值样例** | |---|---|---| |地域 |选择私有网络所在的地域。不同地域间私网隔离，建议选择距离业务更近的地域以降低时延。 |华北2（北京） | |名称 |输入私有网络的名称。 |vpc\-X | |IPv4 CIDR |设置私有网络的IPv4网段。私有网络创建成功后，不支持修改。 |172.16.0.0/24 | |IPv6 CIDR |选择是否为私有网络指定IPv6网段。 |不启用 | 4. 参考下表，配置子网的参数。 |**参数** |**说明** |**取值样例** |**取值样例** | |---|---|---|---| |可用区 |选择子网所属的可用区。同一私有网络内可用区之间私网互通；跨可用区部署可实现容灾，同一可用区部署可降低时延。 |可用区A |可用区B | |名称 |输入子网的名称。 |subnet\-A |subnet\-B | |IPv4 CIDR |设置子网的地址段。

* 网段需在 VPC 范围内且不与其它子网重叠。

* 每个子网的前两个 IP 与最后一个 IP 为系统保留地址（分别用作网络地址、网关地址和广播地址）。

* 私网出口将再额外占用 6 个 IP。子网创建成功后网段不可修改。 |172.16.0.0/25 |172.16.0.128/25 | 单击“+添加子网”可以同时创建多个子网。 5. 单击“确定”按钮，完成配置。 ### 步骤二：开通空间请参见 [空间开通快速入门使用说明](https://www.volcengine.com/docs/87732/2374435)，选择一种方式开通空间。 ### 步骤三：配置私网出口 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)。 2. 在左侧导航树中，选择“资源配置 \> 网络配置”。 3. 在网络配置页面，单击“配置信息”页签。 4. 单击“私网出口”右侧的“编辑”按钮。 5. 在私网出口页面，参考下表配置私网信息。 |配置项 |说明 |**取值样例** | |---|---|---| |私网出口开关 |是否开启私网出口。

* 开启私网出口后，ArkClaw与企业服务之间通过私有网络互通，访问更安全可控。

* 关闭私网出口后，无需配置其他参数。 |开启 | |**基本信息** ||| |VPC |选择步骤一创建的VPC。 |VPC\-X | |可用区及子网 |选择私网出口所属的可用区及子网。子网用于为私网出口分配私网IP地址。私网出口将占用每个子网中的6个私网IP地址，以保障访问性能。 |* 可用区A、Subnet\-A、172.16.0.0/25

* 可用区B、Subnet\-B、172.16.0.128/25 | |安全组 | 选择私网出口关联的安全组，最多可同时配置4个安全组。

* 仅安全组中的出向规则对私网出口生效。

* 私网出口分别部署在两个可用区时，两个可用区共用指定的安全组配置。安全组配置的更多介绍请参见[安全组概述](https://www.volcengine.com/docs/6401/68892)。 |Default | |**指定访问目标** ||| |指定访问目标IP段范围 | 输入企业服务所在的地址或地址段。

* 输入的地址或地址段不能属于以下范围：`100.64.0.0/10`、`224.0.0.0/4`、`127.0.0.0/8`、`0.0.0.0/0`、`240.0.0.0/4`、`192.18.0.0/15`、`33.0.0.0/8`、`66.0.0.0/8`、`9.0.0.0/8`、`169.254.0.0/16`。

* 单次最多可输入50个，多个地址/地址段之间使用英文逗号（,）分隔。

说明

若为满足企业内部安全合规要求、ArkClaw科学上网场景等要求，可将目标IP段设为如下网段进行引流。

1.0.0.0/8，2.0.0.0/7，4.0.0.0/6，8.0.0.0/5，16.0.0.0/4，32.0.0.0/3，64.0.0.0/2，128.0.0.0/1

|172.16.1.0/24，10.0.0.0/8 | 6. 单击“确定”按钮，完成操作。 ### 步骤四：私网出口VPC与企业服务互通 * **私网出口VPC与云上VPC互通** * **TR** **（推荐）** * [实现不同VPC之间的私网互通与隔离（同账号同地域）](https://www.volcengine.com/docs/6979/155977) * [实现不同VPC之间的私网互通与隔离（同账号跨地域）](https://www.volcengine.com/docs/6979/1113726) * [实现不同VPC之间的私网互通与隔离（跨账号同地域）](https://www.volcengine.com/docs/6979/1113721) * [实现不同VPC之间的互通与隔离（跨账号跨地域）](https://www.volcengine.com/docs/6979/1392573) * **CEN** * [私有网络互通（同账号同地域）](https://www.volcengine.com/docs/6405/68190) * [私有网络互通（同账号跨地域）](https://www.volcengine.com/docs/6405/105061) * [私有网络互通（跨账号同地域）](https://www.volcengine.com/docs/6405/108642) * [私有网络互通（跨账号跨地域）](https://www.volcengine.com/docs/6405/108612) * **私网出口VPC与本地IDC互联** * **VPN+TR** 操作请参见[中转路由器Ipsec连接](https://www.volcengine.com/docs/6455/1827548)。 * **专线+TR（推荐）** * 同账号同地域：[搭建云上VPC网络与云下IDC的独立互通](https://www.volcengine.com/docs/6979/1127486) * 跨地域互联：[实现不同VPC与IDC之间的独立互通（同账号跨地域）](https://www.volcengine.com/docs/6979/1130946?lang=zh) * 跨账号互联：[实现不同VPC与IDC之间的独立互通（跨账号同地域）](https://www.volcengine.com/docs/6979/2116745?lang=zh) * 跨账号跨地域互联：[实现不同VPC与IDC的独立互通(跨账号跨地域)](https://www.volcengine.com/docs/6979/2116746?lang=zh) * **专线+** **CEN** * [云上多VPC与云下多数据中心互通（同账号同地域）](https://www.volcengine.com/docs/6405/75103) * [云上多VPC与云下多数据中心互通（同账号跨地域）](https://www.volcengine.com/docs/6405/79167) * [云上多VPC与云下多数据中心互通（跨账号同地域）](https://www.volcengine.com/docs/6405/2116747) * [云上多VPC与云下多数据中心互通（跨账号跨地域）](https://www.volcengine.com/docs/6405/2116748) ## 验证：测试连通性 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)。 2. 在左侧导航树中，选择“Claw列表”。 3. 在“实例列表\> 员工Claw”页签，单击目标员工右侧“更多 \> 终端”。 4. 在命令行中执行` ping `命令，验证是否能访问企业服务的服务器 IP 地址。