文档中心

ArkClaw 企业版

最佳实践

私网访问出口最佳实践

私网访问出口最佳实践

操作场景

借助私网出口，Claw 实例可通过私网直连访问云上服务或本地 IDC 服务，无需绕行公网，访问更安全可控。

数据规划

ArkClaw

资源类型
资源名称
网段/IP地址
备注
VPC
控制台无显式名称，本文以 VPC-arkClaw 代指
192.168.1.0/24
ArkClaw 空间开通时指定，开通后不可修改。

私网出口VPC

可复用已有 VPC，建议单独创建一个 VPC 用于对接私网出口，便于权限隔离与运维。

资源类型	资源名称	网段/IP地址	备注
VPC	VPC-X	172.16.0.0/24	私网出口指定的 VPC。子网掩码不大于 /28；每个子网会被 ArkClaw 企业版额外占用 6 个 IP，规划时请预留可用 IP。
子网	Subnet-A	172.16.0.0/25
子网		Subnet-B		172.16.0.128/25

企业服务

云上VPC服务

资源类型	资源名称	网段/IP地址	备注
VPC	VPC-Service	172.16.1.0/24	承载云上企业服务。
子网	Subnet-Service	172.16.1.0/25	云服务器所在子网。
云服务器	ECS-A	172.16.1.11	部署企业服务。
		ECS-B	172.16.1.22	部署企业服务。
		ECS-C	172.16.1.33	部署企业服务。

本地IDC服务

资源类型	资源名称	网段/IP地址	备注
IDC	无名称	10.0.0.0/8	--
服务器	Server-A	10.0.1.11	部署企业服务。
		Server-B	10.0.1.22	部署企业服务。
		Server-C	10.0.1.33	部署企业服务。

私网出口VPC与企业服务互联

场景	通信方式	说明
私网出口VPC与云上VPC互通	中转路由器（推荐）	适用于复杂组网场景。
私网出口VPC与云上VPC互通		云企业网	适用于简单组网场景。
私网出口VPC与本地IDC互通	CEN+专线	适用于大带宽且简单组网的场景。
		TR+专线（推荐）	适用于大带宽且复杂组网的场景。
		TR+VPN	适用于需要快速实施的场景。

准备工作

参考上文数据规划，创建VPC、子网、云服务器。操作请参见创建私有网络、创建子网、创建云服务器。

参考上文数据规划，搭建本地IDC的服务。

操作步骤

步骤一：创建私网出口关联的VPC

登录VPC控制台。

单击“创建私有网络”按钮。

选择VPC所属的主账号。参考下表，配置基本信息和网络段。

参数	说明	取值样例
地域	选择私有网络所在的地域。不同地域间私网隔离，建议选择距离业务更近的地域以降低时延。	华北2（北京）
名称	输入私有网络的名称。	vpc-X
IPv4 CIDR	设置私有网络的IPv4网段。私有网络创建成功后，不支持修改。	172.16.0.0/24
IPv6 CIDR	选择是否为私有网络指定IPv6网段。	不启用

参考下表，配置子网的参数。

参数	说明	取值样例	取值样例
可用区	选择子网所属的可用区。同一私有网络内可用区之间私网互通；跨可用区部署可实现容灾，同一可用区部署可降低时延。	可用区A	可用区B
名称	输入子网的名称。	subnet-A	subnet-B
IPv4 CIDR	设置子网的地址段。网段需在 VPC 范围内且不与其它子网重叠。每个子网的前两个 IP 与最后一个 IP 为系统保留地址（分别用作网络地址、网关地址和广播地址）。私网出口将再额外占用 6 个 IP。子网创建成功后网段不可修改。	172.16.0.0/25	172.16.0.128/25

单击“+添加子网”可以同时创建多个子网。

单击“确定”按钮，完成配置。

步骤二：开通空间

请参见空间开通快速入门使用说明，选择一种方式开通空间。

步骤三：配置私网出口

登录ArkClaw企业版控制台。

在左侧导航树中，选择“资源配置 > 网络配置”。

在网络配置页面，单击“配置信息”页签。

单击“私网出口”右侧的“编辑”按钮。

在私网出口页面，参考下表配置私网信息。

配置项	说明	取值样例
私网出口开关	是否开启私网出口。开启私网出口后，ArkClaw与企业服务之间通过私有网络互通，访问更安全可控。关闭私网出口后，无需配置其他参数。	开启
基本信息
VPC	选择步骤一创建的VPC。	VPC-X
可用区及子网	选择私网出口所属的可用区及子网。子网用于为私网出口分配私网IP地址。私网出口将占用每个子网中的6个私网IP地址，以保障访问性能。	可用区A、Subnet-A、172.16.0.0/25 可用区B、Subnet-B、172.16.0.128/25
安全组	选择私网出口关联的安全组，最多可同时配置4个安全组。仅安全组中的出向规则对私网出口生效。私网出口分别部署在两个可用区时，两个可用区共用指定的安全组配置。安全组配置的更多介绍请参见安全组概述。	Default
指定访问目标
指定访问目标IP段范围	输入企业服务所在的地址或地址段。输入的地址或地址段不能属于以下范围：100.64.0.0/10、224.0.0.0/4、127.0.0.0/8、0.0.0.0/0、240.0.0.0/4、192.18.0.0/15、33.0.0.0/8、66.0.0.0/8、9.0.0.0/8、169.254.0.0/16。单次最多可输入50个，多个地址/地址段之间使用英文逗号（,）分隔。说明若为满足企业内部安全合规要求、ArkClaw科学上网场景等要求，可将目标IP段设为如下网段进行引流。 1.0.0.0/8，2.0.0.0/7，4.0.0.0/6，8.0.0.0/5，16.0.0.0/4，32.0.0.0/3，64.0.0.0/2，128.0.0.0/1	172.16.1.0/24,10.0.0.0/8

单击“确定”按钮，完成操作。

步骤四：私网出口VPC与企业服务互通

私网出口VPC与云上VPC互通

TR（推荐）

实现不同VPC之间的私网互通与隔离（同账号同地域）

实现不同VPC之间的私网互通与隔离（同账号跨地域）

实现不同VPC之间的私网互通与隔离（跨账号同地域）

实现不同VPC之间的互通与隔离（跨账号跨地域）

CEN

私有网络互通（同账号同地域）

私有网络互通（同账号跨地域）

私有网络互通（跨账号同地域）

私有网络互通（跨账号跨地域）

私网出口VPC与本地IDC互联

VPN+TR

操作请参见中转路由器Ipsec连接。

专线+TR（推荐）

同账号同地域：搭建云上VPC网络与云下IDC的独立互通

跨地域互联：实现不同VPC与IDC之间的独立互通（同账号跨地域）

跨账号互联：实现不同VPC与IDC之间的独立互通（跨账号同地域）

跨账号跨地域互联：实现不同VPC与IDC的独立互通（跨账号跨地域）

专线+CEN

云上多VPC与云下多数据中心互通（同账号同地域）

云上多VPC与云下多数据中心互通（同账号跨地域）

云上多VPC与云下多数据中心互通（跨账号同地域）

云上多VPC与云下多数据中心互通（跨账号跨地域）

验证：测试连通性

登录ArkClaw企业版控制台。

在左侧导航树中，选择“Claw列表”。

在“实例列表> 员工Claw”页签，单击目标员工右侧“更多 > 终端”。

在命令行中执行 ping <服务器 IP 地址，例如172.16.1.11>命令，验证是否能访问企业服务的服务器 IP 地址。

最近更新时间：2026.08.06 14:34:33

这个页面对您有帮助吗？

有用

有用

无用

无用