文档中心

AgentKit

MCP 接入

配置私网域名访问

如果在 AgentKit 中创建 MCP 服务，通过私网域名访问后端服务，即选择固定域名作为后端服务类型、且同时选择私网访问作为访问方式，需要确保该私网域名能在所选私有网络（VPC）内被正确解析，并且解析到的 IP 地址与该 VPC 网络连通。因此，配置生效需同时满足：域名可在所选 VPC 内正确解析、域名解析得到的 IP 地址可从所选 VPC 内访问。

本文按照 3 类常见场景介绍私网域名访问的配置方法，您可根据实际情况参考对应场景完成配置。

快速判断是否需要配置私网域名

场景一：域名是火山引擎云产品提供的私网域名：通常可直接解析，无需额外配置。

场景二：后端服务部署在火山引擎 VPC 内，且使用自定义私网域名，例如api.internal.example.com，需要在 PrivateZone 中添加域名并配置解析记录。

场景三：后端服务部署在第三方云或自建 IDC，域名需由第三方云或 IDC 侧 DNS 系统解析，除网络连通外，还需要配置 DNS 转发，将查询请求转发到目标网络侧的 DNS 服务。

前提条件

开始配置前，请您先确认已具备以下信息与条件，后续操作会依赖这些信息。

已明确 MCP 服务开启私网访问时，要关联的火山侧 VPC 和子网。

已获取后端服务实际监听的端口，例如 443、8080，并放通来自该火山侧 VPC 的访问（安全组、网络 ACL、主机防火墙等）。

场景一：火山引擎云产品域名

如果您使用的是火山引擎云产品直接提供的私网访问域名，此类域名通常已经在火山侧私有 DNS 中可解析。一般情况下，无需额外配置 DNS，请直接创建 MCP 服务，详细操作请参见创建 MCP 服务。

验证方法

如果所选 VPC 内存在可登录的云服务器，您可在创建 MCP 服务前完成一次解析验证：

执行命令nslookup <目标域名>或dig <目标域名>，如果该域名在目标 VPC 内无法解析，该域名并非当前场景下可直接解析的云产品域名，或当前 VPC、网络环境、权限环境与预期不一致，则不建议直接创建 MCP 服务。

常见问题

域名可以正常解析但服务访问失败，请优先检查端口是否已放通，以及安全组、ACL 和服务监听状态是否正常。

更换 VPC 后访问失败，不同 VPC 的网络条件可能不同，请在目标 VPC 内重新完成解析与连通性验证。

场景二：客户自定义域名（在火山引擎 VPC 内自建）

本场景指后端服务部署在火山引擎 VPC 内，但访问域名由您自行规划，例如api.internal.example.com，此时需要在火山引擎 PrivateZone 中创建私有域名空间，并为该域名配置解析记录。

完整域名：例如api.internal.example.com。

Zone：通常指该完整域名的根域部分，例如internal.example.com。

配置方法

步骤 1：在 PrivateZone 中添加域名

登录私网解析 PrivateZone 控制台，在“私网域名管理”页面，选择“私网域名”标签页，单击“添加域名”按钮。

在添加域名页面，参考下表完成配置。此处仅展示必要参数，全量参数介绍请参见添加域名。

类别	配置项	说明
基本信息	域名	主域名，可以是二级域名或更多级数的域名。例如，当计划使用api.internal.example.com时，通常对应的 Zone 为internal.example.com。主域名限制：不能是以 ivolces.com 或 privatelink.volces.com 结尾的域名。这些域名属于保留域名。只能使用英文字母（a-z、A-Z，不区分大小写）、数字（0-9）、中划线（-）、下划线（_）、英文句号（.）、中文汉字。中划线（-）不能在单级域名的开头或结尾使用。多个英文句号（.）不能连续出现。单级域名的长度不超过 63 个字符。FQDN 格式下，域名的总长度不能超过 254 个字符。
基本信息		递归解析	是否为域名启用递归解析功能。详细说明，请参见实现递归解析。关闭：（默认）如果 DNS 查询请求中的域名是主域名的子域名，但该子域名不在主域名的任何解析记录中，私网解析 PrivateZone 会解析失败。开启：如果 DNS 查询请求中的域名是主域名的子域名，但该子域名不在主域名的解析记录中，私网解析 PrivateZone 返回公网递归 DNS 服务器的查询结果。注意如果您需要配置的记录类型是 CNAME 且该记录指向的域名是公网域名，建议您为域名启用递归解析。否则，域名解析可能会失败。
域名生效范围	-	此时暂不配置域名生效范围，为域名创建解析记录后再设置。

配置完成后，单击“确定”按钮，完成后在私网域名管理页面看到添加的域名。

步骤 2：在 Zone 中添加解析记录

在私网解析 PrivateZone 控制台 “私网域名管理”页面，选择私网域名标签页，单击您的域名（如internal.example.com）操作列的“管理”按钮。

在记录管理页面解析记录标签页，单击“添加记录”按钮。

参考下表完成配置，配置完成后单击“提交”按钮，完成操作。此处仅展示必要参数，全量参数介绍请参见添加解析记录。

类别	配置项	说明
基本信息	域名	子域名的域名前缀。本文演示完整域名使用api.internal.example.com，所以此处配置为api。如果您想让访问 www.internal.example.com的用户请求被路由，设置域名前缀为 www。如果您想让访问 internal.example.com 的用户请求被路由，设置域名前缀为 @。如果您想让访问 internal.example.com 的所有子域名的用户请求被路由，设置域名前缀为。域名规则支持英文字母（a-z、A-Z，不区分大小写）、数字（0-9）、中划线（-）、下划线（_）、英文句号（.）、通配符（）、@、中文汉字。 - 不能在单级域名的开头或结尾使用。多个 . 不能连用。 @ 只能表示域名前缀为空，不能与其他字符在域名前缀中共存。 * 只能被用在泛域名中： * 只能代替域名最左侧的单级域名。例如 .example.com 符合规则，但 example..com 和 abc.example.com 都不符合规则。泛域名能匹配与其域名级别相同的域名及其子域名。例如，.example.com 会匹配 example.com 的所有子域名，包括 abc.example.com 或 abc.def.example.com等域名，但不会匹配 example.com。注意具体域名会影响泛域名对多级子域名的匹配。例如，如果私网解析 PrivateZone 中同时存在.example.com 和 abc.example.com 这两个域名：域名以 abc.example.com 结尾（例如def.abc.example.com或 123.abc.example.com）的 DNS 查询请求会匹配失败。域名不以 abc.example.com 结尾但以 example.com结尾（例如123.def.example.com）的 DNS 查询请求会匹配 .example.com。具体域名的匹配优先级高于泛域名。例如，一个 DNS 查询请求的域名是 www.example.com，如果私网解析 PrivateZone 中同时存在*.example.com 和 www.example.com 这两个域名，私网解析 PrivateZone 会先匹配 www.example.com。单级域名的长度不超过 63 个字符。FQDN 格式下，域名的总长度不超过 254 个字符。
基本信息		记录类型	后端服务实际形态选择解析记录类型。更多介绍请参见解析记录类型。如果后端服务对应固定私网 IP，可使用 A 记录或 AAAA 记录。如果后端服务已有其他可用内网域名，可使用 CNAME 记录。
记录值	记录值	记录集中的记录值，每个记录值是一条解析记录。记录值的填写方式取决于实际后端地址： A 记录/AAAA 记录：填写后端服务实际私网 IP。 CNAME 记录：填写目标内网域名。如果无法确认应填写 IP 还是域名，建议先确认后端服务的真实访问地址后再继续。说明如果记录值是域名，域名会以 FQDN 格式展示。
记录值		是否启用	是否启用该记录值，配置为启用，该记录值被包含在 DNS 查询响应中。

返回私网域名管理页面，单击您的域名（如internal.example.com）操作列的“生效范围设置”按钮。

单击“编辑”按钮，添加 VPC 信息。

配置项	说明
账号	用于关联 VPC 的火山引擎账号。
VPC	域名关联的 VPC，此处应选择在创建 MCP 服务时计划选择的 VPC，如果 Zone 未关联到正确的 VPC，则即使解析记录配置正确，目标 VPC 内也可能无法解析该域名。可以关联一个或多个 VPC，域名的 DNS 解析只在关联的 VPC 中生效。请确保 VPC 使用默认私网 DNS 服务器的地址。关于 VPC 默认私网 DNS 服务器的地址的信息参见修改私有网络 DNS。

步骤 3：验证域名解析和业务端口可达性

在与该 Zone 关联的 VPC 内，选择一台可登录的云服务器，执行命令nslookup <目标域名>，例如nslookup *.internal.example.com。

确认命令已返回解析结果。

如果配置的是 A 记录，确认返回 IP 与配置的私网 IP 一致。

如果配置的是 CNAME 记录，继续确认最终解析结果仍为预期访问地址。

在同一台云服务器上测试目标端口 443 或 8080 是否可访问，仅验证解析成功未验证端口可达性，后续 MCP 服务仍可能调用失败。

全部验证通过后可创建 MCP 服务，详细操作请参见创建 MCP 服务。

常见问题

Zone 已创建但域名仍无法解析，请检查该 Zone 是否已关联到正确的 VPC。

解析返回了错误的 IP，请检查记录值及记录类型是否填写正确。

同名域名存在多套解析结果，请排查是否存在历史 Zone、自建 DNS 或其他解析链路冲突。

域名解析正常但服务访问失败，请检查后端服务监听地址、端口、安全组、ACL 及主机防火墙配置。

场景三：第三方云或自建 IDC 的私网域名（跨云/跨网络）

这是最复杂的一种场景，即：MCP 服务运行在火山引擎侧，但域名需要交由第三方云或 IDC 侧的 DNS 系统解析。一般需要完成以下两项配置：

先在火山引擎侧 VPC 与后端服务之间建立稳定的网络连通（例如专线、云企业网等）。

再将火山侧 VPC 发出的 DNS 查询转发到目标网络侧 DNS Server。

场景判断

若满足以下任一情况，通常应按本场景处理：

后端服务部署在腾讯云、阿里云、华为云等第三方云环境。

后端服务部署在自建 IDC、企业机房或其他专有网络环境。

域名需由第三方云或 IDC 自身的 DNS 服务解析，而非由火山引擎 PrivateZone 直接返回最终结果。

网络打通

以“火山 VPC 访问腾讯云 VPC”为例，需要先完成：

火山侧 VPC 和腾讯云侧 VPC 已准备完成，且双方已通过专线、TR、CEN 或其他私网方案实现连通，网络连通配置操作可参考：中转路由器 TR - 搭建云上 VPC 网络与云下 IDC 的独立互通、专线连接-最佳实践。

使火山侧发出的 DNS 查询能够被目标网络侧接收并处理。处理思路为：先确认对方是否提供“入站 DNS Endpoint”“DNS 转发入口”或等价能力，并记录对方提供的 DNS Server 地址和端口。

腾讯云：在后端服务所属腾讯云 VPC 中创建入站 Endpoint，将该入站 Endpoint 绑定到一个已经与火山侧网络互通的腾讯云 VPC，记录该入站 Endpoint 的 IP 地址。记录其使用的 DNS 端口，如无特殊说明，通常使用标准 DNS 端口 53，确认目标网络侧安全策略已放通 DNS 请求，通常至少需检查 UDP 53 与 TCP 53。相关配置可参考腾讯云官方文档 Private DNS 服务地址。

阿里云：在后端服务所属阿里云 VPC 中创建 PrivateZone 入站终端节点，记录入站流量服务 IP，并确保安全组放通 53 端口。相关配置可参考阿里云官网文档阿里云入站终端节点。

其他云厂商：配置思路同腾讯云：先确认对方是否提供“入站 DNS Endpoint”、“DNS 转发入口”或等价能力，并记录对方提供的 DNS Server 地址和端口。详细操作请参考对应云厂商操作文档或咨询对应云厂商客服。

配置方法

此场景配置较为复杂，我们已基于此场景提供了最佳实践文档，详细配置请参考 MCP 服务通过私网域名方式接入网关实例。

常见问题

在网络尚未打通时先进行 DNS 配置，容易导致后续排查方向偏离。

若 DNS 解析异常，可重点核对目标网络侧返回的 DNS Server 地址是否与管理地址、控制台地址填写一致，避免混淆。

建议根据实际业务需求合理设置转发范围，转发范围过大会导致不必要的 DNS 查询被一并转发，增加排查复杂度。

DNS 标准场景下 TCP 53 与 UDP 53 均需放通，如仅放通其中一个，请同时核查两者是否均已开放。

若解析结果正确但业务仍不可达，可进一步检查后端端口、路由、NAT、安全策略及主机防火墙配置。

最近更新时间：2026.10.27 14:46:33

这个页面对您有帮助吗？

有用

无用