Mengakses layanan Alibaba Cloud - PrivateLink

Anda dapat membuat titik akhir di dalam virtual private cloud (VPC) dan menentukan layanan Alibaba Cloud. Permintaan yang dikirim ke titik akhir tersebut akan diteruskan oleh PrivateLink ke layanan target, sehingga menyediakan akses jaringan pribadi yang aman serta membantu menghindari risiko keamanan potensial saat mengakses layanan melalui jaringan publik.

Anda dapat menggunakan titik akhir antarmuka untuk mengakses layanan Alibaba Cloud melalui jaringan pribadi.
Setelah memberikan otorisasi, layanan Alibaba Cloud dapat menggunakan titik akhir balik untuk mengakses sumber daya tertentu di VPC Anda melalui jaringan pribadi.

Mengakses layanan Alibaba Cloud menggunakan titik akhir antarmuka

Konsumen layanan membuat titik akhir antarmuka di dalam VPC untuk mengakses layanan Alibaba Cloud tertentu melalui jaringan pribadi.

Sistem membuat elastic network interface (ENI) untuk zona titik akhir dan menetapkan alamat IP pribadi dari blok CIDR vSwitch ke ENI tersebut.
Konsumen layanan dapat menggunakan nama domain titik akhir, nama domain zona titik akhir, atau alamat IP ENI di zona titik akhir untuk mengakses layanan Alibaba Cloud. Semua permintaan layanan yang dikirim ke ENI akan diteruskan ke layanan backend melalui PrivateLink.
Nama domain titik akhir dan nama domain zona titik akhir adalah nama domain DNS otoritatif publik yang dapat diurai oleh klien di VPC lain maupun pusat data lokal. Setelah VPC lain dan pusat data lokal menjalin konektivitas jaringan dengan VPC tersebut, mereka dapat menggunakan titik akhir antarmuka di VPC tersebut untuk mengakses layanan Alibaba Cloud.

Jika layanan Alibaba Cloud dikonfigurasi dengan nama domain layanan kustom, Anda dapat mengaktifkan nama domain layanan kustom untuk titik akhir antarmuka. Hal ini memungkinkan Anda menggunakan nama domain layanan kustom tersebut untuk mengakses layanan Alibaba Cloud yang sesuai.

Buat atau hapus titik akhir antarmuka

Layanan yang didukung: Untuk informasi selengkapnya, lihat Layanan Alibaba Cloud yang mendukung akses menggunakan titik akhir antarmuka.
Pastikan bahwa Anda telah mengaktifkan layanan PrivateLink, serta telah membuat VPC dan vSwitch serta grup keamanan di wilayah tujuan.

Konsol

Buat titik akhir antarmuka

Buka halaman Endpoint - Create Endpoint.
Konfigurasikan titik akhir antarmuka:
- Region: Pilih wilayah tempat layanan Alibaba Cloud berada.
- Endpoint Service: Pilih Alibaba Cloud Service, lalu pilih layanan Alibaba Cloud yang ingin Anda akses berdasarkan nama layanan titik akhir.
- Enable Custom Service Domain Name: Jika layanan Alibaba Cloud mendukung akses menggunakan nama domain layanan kustom, Anda dapat mengaktifkan opsi ini. Untuk informasi selengkapnya, lihat Gunakan nama domain kustom untuk mengakses layanan Alibaba Cloud.
- VPC, Zone And VSwitch: Untuk memastikan ketersediaan tinggi, pilih vSwitch di minimal dua zona. Anda dapat menentukan alamat IP dalam vSwitch untuk ENI di zona titik akhir. Jika tidak menentukan alamat IP, sistem akan menetapkannya secara default.
  Anda tidak dapat menentukan alamat IP yang dicadangkan sistem vSwitch untuk ENI.
- Security Group: Pilih grup keamanan untuk dikaitkan dengan titik akhir antarmuka. Grup keamanan ini mengontrol lalu lintas masuk ke ENI di semua zona titik akhir.
- IP Version: Jika layanan Alibaba Cloud mendukung dual-stack, Anda dapat memilih Dual-stack. Ini memungkinkan klien menggunakan alamat IPv4 dan IPv6 untuk mengakses layanan. Jika tidak, Anda hanya dapat memilih IPv4.
- Enable Zone Affinity: Jika layanan Alibaba Cloud mendukung afinitas zona, Anda dapat memilih untuk mengaktifkan atau menonaktifkannya. Jika diaktifkan:
  - Ketika konsumen layanan mengakses layanan dari zona titik akhir antarmuka menggunakan nama domain titik akhir, sistem akan memprioritaskan pengembalian alamat IP ENI di zona titik akhir yang sesuai untuk menerapkan akses terdekat.
  - Jika Anda mengakses layanan dari zona yang tidak memiliki titik akhir antarmuka, sistem akan mengembalikan alamat IP ENI di semua zona titik akhir dan kemudian memilih zona secara acak untuk mengakses layanan.
- Endpoint Policy: Pilih Default Endpoint Policy untuk mengizinkan akses penuh. Opsi untuk mengonfigurasi Custom Endpoint Policy bergantung pada layanan Alibaba Cloud yang Anda akses.

Setelah titik akhir dibuat, Anda dapat menjalankan perintah berikut pada instans ECS di VPC yang sama untuk menguji koneksi.

ping <alamat IP ENI di zona titik akhir>
# Anda dapat melihat alamat IP ENI pada tab Zone and Network Interface Card di halaman detail instans. 
# Untuk layanan HTTP/HTTPS, akses langsung port layanan.
curl -sI http://<nama domain titik akhir>
# Anda dapat melihat nama domain titik akhir di halaman daftar instans. 
# Aturan masuk grup keamanan harus mengizinkan akses ke port HTTP (80) dan HTTPS (443). Hal ini memungkinkan VPC tempat titik akhir berada untuk mengakses layanan melalui HTTP atau HTTPS.
# Kemampuan menggunakan HTTPS untuk mengakses layanan bergantung pada layanan itu sendiri.

Hapus titik akhir antarmuka

Pada kolom Actions titik akhir antarmuka target, klik Delete. Setelah titik akhir dihapus, VPC yang berisi titik akhir tersebut tidak dapat lagi mengakses layanan Alibaba Cloud yang sesuai melalui PrivateLink.

API

Panggil CreateVpcEndpoint untuk membuat titik akhir antarmuka.
Panggil DeleteVpcEndpoint untuk menghapus titik akhir antarmuka.

Konfigurasikan ketersediaan tinggi untuk titik akhir antarmuka

Ketika titik akhir antarmuka dikonfigurasi di beberapa zona dan Anda menggunakan nama domain titik akhir untuk mengakses layanan Alibaba Cloud, Alibaba Cloud menyediakan probing ketersediaan yang sepenuhnya dikelola. Hal ini memastikan failover cepat ke zona lain jika suatu zona gagal:

Failover: Sistem melakukan probing ketersediaan secara real-time terhadap alamat IP ENI di berbagai zona titik akhir. Jika terjadi pengecualian, sistem akan menghapus catatan DNS yang sesuai untuk mencegah trafik diarahkan ke zona yang gagal.
Failback: Setelah gangguan terselesaikan, sistem secara otomatis menambahkan kembali catatan DNS yang sesuai.

Konsol

Konfigurasikan beberapa zona

Saat membuat titik akhir antarmuka, pilih vSwitch di minimal dua zona.
Setelah titik akhir dibuat, klik ID titik akhir antarmuka target. Pada tab Zone And Network Interface Card, klik Add Zone.
Klik Delete pada kolom Actions zona target untuk menghapus zona tersebut dari titik akhir.

Setelah konfigurasi selesai, Anda dapat melihat Zone Domain Name dan IP Address ENI di zona titik akhir pada tab Zone And Network Interface Card.

Untuk memastikan ketersediaan tinggi, gunakan nama domain titik akhir untuk mengakses layanan. Anda dapat melihat Endpoint Domain Name di halaman daftar titik akhir antarmuka.

API

Panggil AddZoneToVpcEndpoint untuk menambahkan zona ke titik akhir.
Panggil RemoveZoneFromVpcEndpoint untuk menghapus zona dari titik akhir.

Akses terdekat berbasis afinitas zona

Jika layanan Alibaba Cloud mendukung afinitas zona, Anda dapat memilih untuk mengaktifkan atau menonaktifkannya. Jika diaktifkan:

Ketika konsumen layanan di zona yang sama dengan titik akhir antarmuka mengakses layanan Alibaba Cloud menggunakan nama domain titik akhir, sistem akan memprioritaskan pengembalian alamat IP ENI di zona titik akhir tersebut. Hal ini memungkinkan akses terdekat.
Jika konsumen layanan mengakses layanan dari zona yang tidak memiliki titik akhir antarmuka, sistem akan mengembalikan alamat IP ENI di semua zona titik akhir dan kemudian memilih zona secara acak untuk mengakses layanan.

Jika dukungan afinitas zona oleh layanan Alibaba Cloud berubah:

Layanan Alibaba Cloud berubah dari mendukung menjadi tidak mendukung afinitas zona:
- Saat konsumen layanan membuat titik akhir antarmuka, afinitas zona tidak dapat diaktifkan.
- Untuk titik akhir antarmuka yang sudah ada:
  - Jika afinitas zona dinonaktifkan: Status saat ini tidak terpengaruh, tetapi Anda tidak dapat mengaktifkannya.
  - Jika afinitas zona diaktifkan: Status saat ini tidak terpengaruh, dan Anda dapat menonaktifkannya.
Layanan Alibaba Cloud berubah dari tidak mendukung menjadi mendukung afinitas zona:
- Saat konsumen layanan membuat titik akhir antarmuka, Anda dapat memilih untuk mengaktifkan atau menonaktifkan afinitas zona.
- Untuk titik akhir antarmuka yang sudah ada: Status saat ini tidak terpengaruh, dan Anda dapat mengaktifkan atau menonaktifkan afinitas zona.

Konsol

Aktifkan atau nonaktifkan afinitas zona

Saat membuat titik akhir antarmuka, konfigurasikan Enable Zone Affinity.
Setelah titik akhir dibuat, klik ID titik akhir antarmuka target. Pada tab Informasi Dasar, klik sakelar Enable/Disable di sebelah kanan Enable Zone Affinity.

API

Saat pembuatan: Panggil CreateVpcEndpoint dan konfigurasikan ZoneAffinityEnabled.
Setelah pembuatan: Panggil UpdateVpcEndpointAttribute dan sesuaikan ZoneAffinityEnabled.

Mengamankan koneksi PrivateLink

PrivateLink menyediakan tiga lapis kontrol akses: grup keamanan, ACL jaringan, dan kebijakan titik akhir. Anda dapat menggunakannya secara terpisah atau kombinasi untuk menerapkan kontrol keamanan detail halus.

Grup keamanan: Berlaku untuk ENI di semua zona titik akhir dan mengontrol trafik yang mengalir dari sumber daya di VPC ke titik akhir antarmuka.
- Saat membuat titik akhir antarmuka, Anda harus memilih grup keamanan kustom. Setelah titik akhir dibuat, Anda dapat menambahkan atau menghapus grup keamanan, tetapi pastikan setidaknya satu grup keamanan dikaitkan.
- Saat membuat titik akhir antarmuka, PrivateLink secara default membuat grup keamanan terkelola. Aturan arah keluar grup keamanan terkelola mengizinkan semua trafik secara default. Grup keamanan tersebut berisi aturan dengan prioritas 1 yang mengizinkan semua trafik ke alamat IPv4 atau IPv6 mana pun.
  - Anda dapat melihat grup keamanan terkelola di halaman Konsol ECS - Security Group.
  - Anda tidak dapat mengubah atau menghapus grup keamanan terkelola. Namun, grup tersebut mengonsumsi kuota grup keamanan Anda q_security-groups (jumlah maksimum grup keamanan yang dapat dimiliki akun Anda).
- Jika Anda menambahkan aturan arah keluar dengan prioritas 1 ke grup keamanan kustom untuk menolak trafik, layanan mungkin menjadi tidak dapat diakses. Hal ini karena aturan tolak dengan prioritas yang sama lebih diutamakan daripada aturan izin. Konfigurasikan aturan tolak arah keluar dengan hati-hati.
ACL jaringan: Mengontrol trafik yang masuk dan keluar dari vSwitch tempat ENI zona titik akhir berada.
Kebijakan titik akhir: Saat menggunakan titik akhir antarmuka untuk mengakses layanan Alibaba Cloud, Anda dapat mengonfigurasi kebijakan titik akhir.
- Semua layanan Alibaba Cloud yang dapat diakses menggunakan titik akhir antarmuka mendukung konfigurasi kebijakan titik akhir default, yang memberikan izin akses penuh ke titik akhir antarmuka.
- Saat ini, hanya Object Storage Service (OSS) dan PAI - AI WorkSpace yang mendukung kebijakan titik akhir kustom untuk membatasi akses ke sumber daya tertentu bagi pengguna tertentu.

Konsol

Konfigurasikan grup keamanan

Saat mengonfigurasi titik akhir antarmuka, Anda harus menetapkannya ke satu atau beberapa grup keamanan. Setelah titik akhir dibuat, Anda dapat menambahkan atau menghapus grup keamanan.

Tambahkan grup keamanan: Pada tab Security Group halaman detail titik akhir target, klik Add Security Group.
Hapus grup keamanan: Klik Delete pada kolom Actions grup keamanan yang ingin dihapus.

Hanya trafik klien yang sesuai dengan aturan grup keamanan terkait yang dapat mengakses layanan Alibaba Cloud melalui titik akhir antarmuka. Anda dapat mengonfigurasi aturan grup keamanan berikut sebagai referensi:

Untuk lalu lintas masuk, jika Anda hanya menambahkan aturan yang mengizinkan akses dari alamat IP tertentu, hanya klien dari alamat IP tersebut yang dapat mengakses layanan Alibaba Cloud melalui titik akhir ini.
Dalam arah keluar, semua akses diizinkan secara default. Artinya, instans ECS dalam grup keamanan tersebut diizinkan mengakses sumber daya eksternal.

Konfigurasikan ACL jaringan

Buka halaman Konsol VPC-Network ACL. Pilih wilayah target di bagian atas halaman dan klik Create Network ACL.
Untuk VPC, pilih VPC tempat titik akhir antarmuka berada.
Klik ID instans atau klik Manage pada kolom Actions. Pada tab Associated Resources, klik Associate VSwitch. Pilih vSwitch target tempat titik akhir antarmuka berada dan klik Confirm Association. vSwitch yang dikaitkan mengontrol trafik yang masuk dan keluar dari vSwitch berdasarkan aturan ACL jaringan.
Untuk menghapus kontrol, Anda dapat mengklik Detach pada kolom Actions vSwitch target di tab ini setelah dikaitkan.
Pada tab Inbound Rules/Outbound Rules ACL jaringan target, klik Manage Inbound Rules/Manage Outbound Rules. Jika trafik cocok dengan aturan ACL jaringan berdasarkan Protocol Type, IP Version, Source Address/Destination Address, dan Port Range, sistem akan menerapkan Policy yang ditentukan untuk mengizinkan atau menolak trafik tersebut.

Konfigurasikan kebijakan titik akhir

Anda dapat mengonfigurasi Endpoint Policy saat membuat titik akhir antarmuka. Setelah titik akhir dibuat, Anda dapat mengklik Edit Endpoint Policy pada tab Endpoint Policy halaman detail titik akhir antarmuka target untuk mengubah kebijakan tersebut.

API

Panggil AttachSecurityGroupToVpcEndpoint untuk menambahkan titik akhir ke grup keamanan.
Panggil DetachSecurityGroupFromVpcEndpoint untuk menghapus titik akhir dari grup keamanan.
Saat memanggil CreateVpcEndpoint atau UpdateVpcEndpointAttribute, masukkan PolicyDocument untuk mengonfigurasi kebijakan titik akhir.

Mengakses layanan menggunakan nama domain layanan kustom

Saat mengakses layanan Alibaba Cloud dari VPC, Anda biasanya menggunakan nama domain layanan tertentu. Jika layanan dikonfigurasi dengan nama domain layanan kustom, Anda dapat mengaktifkannya untuk titik akhir antarmuka yang Anda buat. Setelah diaktifkan, Anda dapat terus menggunakan nama domain tersebut untuk mengakses layanan melalui jaringan pribadi melalui PrivateLink tanpa mengubah aplikasi.

Nama domain layanan kustom hanya berlaku di VPC tempat titik akhir antarmuka berada. Hanya VPC ini yang dapat mengurai nama domain tersebut ke alamat IP pribadi. Setelah VPC lain dan pusat data lokal terhubung ke VPC tersebut dan dikonfigurasi untuk resolusi nama domain, mereka dapat menggunakan nama domain layanan kustom tersebut untuk mengakses layanan.

Nama domain layanan kustom tidak dapat diaktifkan untuk beberapa titik akhir antarmuka di VPC yang sama secara bersamaan. Titik akhir antarmuka yang pertama kali mengaktifkan nama domain tersebut akan diprioritaskan, dan titik akhir antarmuka lainnya tidak dapat mengaktifkan nama domain tersebut.

Anda hanya dapat mengaktifkan nama domain layanan kustom untuk titik akhir antarmuka setelah layanan Alibaba Cloud mengonfigurasi dan mengotentikasi nama domain layanan kustom tersebut untuk layanan titik akhir.

Resolusi nama domain untuk nama domain layanan kustom disediakan oleh PrivateZone yang dikelola oleh PrivateLink.

Aktifkan nama domain layanan kustom untuk titik akhir antarmuka

Saat membuat titik akhir antarmuka, atur Enable Custom Service Domain Name ke Enable.
Setelah titik akhir dibuat, buka bagian Endpoint Service Domain Name di halaman detail titik akhir antarmuka dan aktifkan sakelar Custom Service Domain Name.
Anda dapat menonaktifkannya di sini saat tidak lagi diperlukan.

Gunakan nama domain layanan kustom untuk mengakses layanan

Akses dari VPC yang sama: Di dalam VPC tempat titik akhir antarmuka berada, Anda dapat langsung menggunakan nama domain layanan kustom untuk mengakses layanan tanpa konfigurasi tambahan.
Akses dari VPC lain:
1. Hubungkan jaringan: Untuk informasi selengkapnya, lihat Solusi interkoneksi cross-VPC dan pilih koneksi peering atau Cloud Enterprise Network (CEN) untuk menghubungkan VPC.
2. Konfigurasikan resolusi nama domain:
  1. Buka Konsol DNS Privat. Klik Add Zone. Konfigurasikan nama domain layanan kustom, atur cakupan ke Jaringan Internal VPC Alibaba Cloud, dan pilih VPC target.
  2. Klik ID nama domain. Pada tab DNS Records, klik Add Record. Tambahkan rekaman CNAME dengan @ sebagai host dan nama domain layanan default sebagai nilai rekaman.
Akses dari pusat data lokal
1. Hubungkan jaringan: Untuk informasi selengkapnya, lihat Menghubungkan VPC ke pusat data lokal, dan pilih Express Connect atau Gateway VPN untuk menghubungkan ke pusat data lokal Anda.
2. Konfigurasikan resolusi nama domain:
  1. Buka Konsol DNS Privat. Klik Add Inbound Endpoint. Atur Inbound VPC ke VPC tempat titik akhir antarmuka berada. Untuk memastikan ketersediaan tinggi, tambahkan alamat IP layanan lalu lintas masuk dari minimal dua zona.
  2. Konfigurasikan zona penerusan di pusat data lokal.
    Topik ini menggunakan BIND sebagai contoh. Jika pusat data lokal Anda menggunakan sistem DNS berbeda, rujuk dokumentasinya untuk mengonfigurasi penerusan kondisional. Prinsipnya sama: teruskan permintaan DNS untuk domain tertentu ke alamat IP layanan titik akhir inbound VPC PrivateZone.
    1. Konfigurasikan file BIND.
      Lokasi file konfigurasi BIND bervariasi tergantung sistem operasi. Jalur umum adalah /etc/named.conf dan /etc/bind/named.conf.
```
// Contoh ini menunjukkan cara mengakses layanan pai-dlc. Atur zona ke nama domain layanan kustom yang sesuai.
zone "pai-dlc-vpc.cn-beijing.aliyuncs.com" IN {
       type forward;
       forwarders { 
           10.0.0.173; // Ganti dengan alamat IP layanan lalu lintas masuk. 
           10.0.1.109;
       };
   };
```
    2. Restart layanan BIND untuk memastikan konfigurasi berlaku.
      Perintah untuk merestart layanan BIND bervariasi tergantung sistem operasi. Perintah umum adalah systemctl restart named.

Layanan Alibaba Cloud mengakses sumber daya pengguna yang diotorisasi menggunakan titik akhir balik

Setelah memberikan otorisasi, layanan Alibaba Cloud dapat menggunakan titik akhir balik untuk mengakses sumber daya tertentu di VPC Anda secara aman melalui jaringan pribadi. Anda dapat menggunakan grup keamanan dan ACL jaringan untuk lebih mengontrol cakupan sumber daya yang dapat diakses oleh layanan Alibaba Cloud tersebut.

Grup keamanan berlaku untuk ENI di semua zona titik akhir dan mengontrol trafik yang mengalir dari titik akhir balik ke sumber daya di VPC.
Setelah membuat titik akhir balik, PrivateLink secara default membuat grup keamanan terkelola. Aturan masuk grup keamanan terkelola mengizinkan semua trafik secara default. Grup keamanan tersebut berisi aturan dengan prioritas 1 yang mengizinkan semua trafik dari alamat IPv4 atau IPv6 mana pun.
- Anda dapat melihat grup keamanan terkelola di halaman Konsol ECS - Security Group.
- Anda tidak dapat mengubah atau menghapus grup keamanan terkelola. Namun, grup tersebut mengonsumsi kuota grup keamanan Anda q_security-groups (jumlah maksimum grup keamanan yang dapat dimiliki akun Anda).

Layanan yang didukung: Untuk informasi selengkapnya, lihat Layanan Alibaba Cloud yang mendukung akses menggunakan titik akhir balik.

Pastikan bahwa Anda telah mengaktifkan layanan PrivateLink, serta telah membuat VPC dan vSwitch serta grup keamanan di wilayah tujuan.

Titik akhir balik tidak mendukung akses dual-stack.

Konsol

Buat titik akhir balik

Buka halaman Endpoint - Create Endpoint.
Konfigurasikan Reverse Endpoint:
- Region: Pilih wilayah tempat sumber daya yang diakses oleh layanan Alibaba Cloud berada.
- Endpoint Service: Pilih Select Available Service, lalu pilih layanan Alibaba Cloud dari daftar berdasarkan nama layanan.
- VPC, Zone And VSwitch: Untuk memastikan ketersediaan tinggi, pilih vSwitch di minimal dua zona. Anda dapat menentukan alamat IP dalam vSwitch untuk ENI di zona titik akhir. Jika tidak menentukan alamat IP, sistem akan menetapkannya secara default.
- Security Group: Pilih grup keamanan untuk diterapkan ke ENI di semua zona titik akhir. Titik akhir balik memungkinkan layanan Alibaba Cloud mengakses sumber daya pengguna secara proaktif.

Hapus titik akhir balik

Pada kolom Actions titik akhir balik target, klik Delete. Setelah titik akhir dihapus, layanan Alibaba Cloud yang sesuai tidak dapat lagi mengakses sumber daya tertentu di VPC Anda melalui titik akhir balik tersebut.

API

Panggil CreateVpcEndpoint untuk membuat titik akhir balik.
Panggil DeleteVpcEndpoint untuk menghapus titik akhir balik.

Informasi selengkapnya

Perbedaan antara titik akhir antarmuka dan titik akhir gateway

Titik akhir gateway tidak bergantung pada PrivateLink dan hanya mendukung jumlah terbatas layanan Alibaba Cloud.

Atribut	Titik akhir gateway	PrivateLink
Kasus penggunaan	Gunakan kebijakan titik akhir untuk titik akhir gateway dan kebijakan bucket untuk OSS guna mengurangi risiko akses tidak sah dan menerapkan kontrol akses dua arah: Kontrol sumber: VPC hanya diizinkan mengakses bucket tertentu. Kontrol tujuan: Bucket OSS hanya mengizinkan akses dari VPC tertentu.	Solusi standar untuk mengakses layanan Alibaba Cloud secara aman dari VPC melalui jaringan pribadi. PrivateLink mendukung lebih banyak jenis layanan Alibaba Cloud dan menyediakan fitur lebih lanjut dibandingkan titik akhir gateway.
Jenis layanan yang berlaku	Saat ini, titik akhir gateway hanya mendukung OSS.	PrivateLink mendukung berbagai layanan Alibaba Cloud dan layanan yang dibuat pengguna, termasuk layanan yang disediakan oleh vendor perangkat lunak independen (ISV).
Fitur keamanan di sisi VPC	Hanya mendukung kebijakan titik akhir.	Mendukung grup keamanan, ACL jaringan, dan kebijakan titik akhir.
Kemampuan jaringan	Tidak mendukung jaringan kompleks. Konflik alamat IP dapat terjadi dengan blok CIDR layanan Alibaba Cloud (100.x.x.x/8).	Mendukung jaringan kompleks. Anda dapat menggunakan PrivateLink bersama koneksi peering VPC, Cloud Enterprise Network (CEN), sirkuit Express Connect, atau gateway VPN untuk menerapkan jaringan cross-region dan cloud hibrida.
Kemampuan O&M	Tidak ada	Log aliran menyederhanakan audit dan troubleshooting.
Biaya	Gratis	Dikenakan biaya instans dan biaya transfer data. Untuk layanan yang dibuat pengguna, Anda dapat memilih apakah konsumen layanan atau penyedia layanan yang membayar biaya tersebut.