All Products
Search

This Product

    PrivateLink:Mengakses layanan Alibaba Cloud

    Document Center

    PrivateLink:Mengakses layanan Alibaba Cloud

    Last Updated:Sep 17, 2026

    Buat titik akhir di VPC dan tentukan layanan Alibaba Cloud. Permintaan yang dikirim ke titik akhir akan diteruskan oleh PrivateLink ke layanan target, memungkinkan akses jaringan pribadi yang aman serta menghindari potensi risiko keamanan saat mengakses layanan melalui internet publik.

    • Pengguna dapat menggunakan interface endpoint untuk mengakses layanan Alibaba Cloud melalui jaringan pribadi.

    • Setelah mendapat otorisasi dari pengguna, layanan Alibaba Cloud dapat menggunakan reverse endpoint untuk mengakses sumber daya tertentu di VPC pengguna secara aman melalui jaringan pribadi.

    Gunakan interface endpoint untuk mengakses layanan Alibaba Cloud di wilayah yang sama

    Konsumen layanan dapat membuat interface endpoint di VPC untuk mengakses layanan Alibaba Cloud tertentu melalui jaringan pribadi.

    • Sistem membuat antarmuka jaringan elastis (elastic network interfaces/ENI) untuk zona ketersediaan titik akhir dan menetapkan alamat IP privat dari blok CIDR vSwitch yang sesuai ke ENI tersebut.

    • Konsumen layanan dapat menggunakan nama domain titik akhir atau nama domain zona titik akhir untuk mengakses layanan Alibaba Cloud. Semua permintaan layanan yang dikirim ke titik akhir akan diteruskan ke sumber daya layanan backend melalui PrivateLink.

    • Nama domain titik akhir dan nama domain zona titik akhir adalah nama domain otoritatif DNS publik yang dapat diselesaikan (resolved) oleh klien di VPC lain maupun pusat data lokal.

    Jika layanan Alibaba Cloud dikonfigurasi dengan nama domain layanan kustom, pengguna dapat mengaktifkan nama domain layanan kustom untuk interface endpoint agar dapat mengakses layanan Alibaba Cloud yang sesuai menggunakan nama domain layanan kustom tersebut.

    Buat/Hapus titik akhir antarmuka

    Konsol

    1. Buka halaman Endpoints - Create Endpoint.

    2. Konfigurasikan interface endpoint:

      • Basic Settings：

        • Region: Pilih wilayah tempat entri akses layanan Alibaba Cloud berada.

        • Nama dan deskripsi: Mengidentifikasi sumber daya cloud secara seragam.

      • Type: Pilih Alibaba Cloud Service.

      • Available Services: Pilih layanan Alibaba Cloud yang akan diakses berdasarkan nama layanan titik akhir.

        Tersedia: Layanan Alibaba Cloud telah dideploy di wilayah tersebut, dan konsumen layanan memiliki izin untuk terhubung ke layanan Alibaba Cloud yang sesuai.

      • Network Settings：

        • Untuk memastikan ketersediaan tinggi layanan, kami merekomendasikan memilih vSwitch di minimal dua zona ketersediaan. Anda dapat menentukan alamat IP dari vSwitch untuk antarmuka jaringan elastis di zona ketersediaan titik akhir. Jika tidak ditentukan, sistem akan menetapkannya secara otomatis.

          Anda tidak diperbolehkan menentukan alamat IP yang dicadangkan sistem vSwitch untuk antarmuka jaringan elastis.

        • IP Version: Jika layanan Alibaba Cloud mendukung dual-stack, Anda dapat memilih dual-stack sehingga klien dapat mengakses layanan menggunakan alamat IPv4 dan IPv6. Jika tidak, hanya IPv4 yang dapat dipilih.

      • Security Group: Diasosiasikan dengan interface endpoint, mengontrol lalu lintas masuk ke antarmuka jaringan elastis di semua zona ketersediaan titik akhir.

      • Advanced Settings：

        • Enable Custom Domain Name?: Jika layanan Alibaba Cloud mendukung akses melalui nama domain layanan kustom, konsumen layanan dapat mengaktifkan opsi ini untuk mengakses layanan Alibaba Cloud menggunakan nama domain kustom.

        • Enable Zone Affinity: Jika layanan Alibaba Cloud mendukung prioritas AZ yang sama, konsumen layanan dapat mengaktifkan/menonaktifkan prioritas AZ yang sama.

          • Jika diaktifkan, konsumen layanan mengakses layanan menggunakan nama domain titik akhir dari zona ketersediaan tempat interface endpoint berada. Sistem Cloud Resolution DNS akan memprioritaskan pengembalian IP antarmuka jaringan elastis dari zona ketersediaan titik akhir yang sesuai, sehingga memungkinkan akses berbasis lokasi.

          • Jika diakses dari zona ketersediaan selain tempat interface endpoint berada, atau jika prioritas AZ yang sama dinonaktifkan, sistem Cloud Resolution DNS akan mengembalikan semua IP antarmuka jaringan elastis yang tersedia di semua zona ketersediaan titik akhir.

        • Endpoint policy: Pertahankan Default endpoint policy, yang mengizinkan akses penuh. Apakah Custom endpoint policy dapat dikonfigurasi ditentukan oleh layanan Alibaba Cloud yang diakses.

    3. Setelah pembuatan, Anda dapat menggunakan instance ECS di VPC yang sama untuk menjalankan perintah berikut guna menguji konektivitas.

      ping <IP antarmuka jaringan elastis di zona ketersediaan titik akhir>
# Anda dapat melihat alamat IP antarmuka jaringan elastis pada tab Availability Zones and ENIs di halaman detail instans
# Untuk layanan HTTP/HTTPS, kami merekomendasikan langsung mengakses port layanan
curl -sI http://<endpoint domain name>
# Anda dapat melihat nama domain titik akhir pada halaman daftar instans
# Aturan inbound security group harus membuka port HTTP (80) dan HTTPS (443) untuk VPC tempat titik akhir berada agar dapat mengakses layanan melalui HTTP atau HTTPS.
# Apakah HTTPS dapat digunakan untuk akses ditentukan oleh layanan yang bersangkutan.

    API

    Panggil CreateVpcEndpoint untuk membuat interface endpoint.

    Konfigurasikan ketersediaan tinggi untuk interface endpoint

    Saat interface endpoint dikonfigurasi dengan beberapa zona ketersediaan dan pengguna mengakses layanan Alibaba Cloud menggunakan nama domain titik akhir, Alibaba Cloud menyediakan kemampuan probing ketersediaan yang dikelola sepenuhnya untuk memastikan failover cepat ke zona ketersediaan lain jika terjadi kegagalan AZ:

    • Failover: Sistem memantau ketersediaan IP antarmuka jaringan elastis di berbagai zona ketersediaan titik akhir secara real time. Jika terdeteksi pengecualian, catatan DNS yang sesuai akan dihapus untuk mencegah trafik mengalir ke zona ketersediaan yang gagal.

    • Pemulihan: Setelah kegagalan terselesaikan, sistem secara otomatis menambahkan kembali catatan DNS yang sesuai.

    Konsol

    Konfigurasikan beberapa zona ketersediaan

    • Saat membuat interface endpoint, pilih vSwitch di minimal dua zona ketersediaan.

    • Setelah pembuatan, klik ID interface endpoint target. Pada tab Zone and ENI, klik Add Zone.

      Klik Delete di kolom Actions zona ketersediaan target untuk menghapus zona ketersediaan yang sesuai dari layanan.

    Setelah konfigurasi, pada tab Zone and ENI, Anda dapat melihat Zone Domain yang sesuai dan IP Address antarmuka jaringan elastis di zona ketersediaan titik akhir.

    Untuk memastikan ketersediaan tinggi layanan, gunakan nama domain titik akhir untuk mengakses layanan. Endpoint Domain dapat dilihat pada halaman daftar interface endpoint.

    API

    Akses berbasis lokasi AZ yang sama

    Jika layanan Alibaba Cloud mendukung prioritas AZ yang sama, konsumen layanan dapat mengaktifkan/menonaktifkan prioritas AZ yang sama. Saat diaktifkan:

    • Saat diaktifkan, konsumen layanan mengakses layanan menggunakan nama domain titik akhir dari zona ketersediaan tempat interface endpoint berada. Sistem Cloud Resolution DNS akan memprioritaskan pengembalian IP antarmuka jaringan elastis dari zona ketersediaan titik akhir yang sesuai, sehingga memungkinkan akses berbasis lokasi.

    • Jika diakses dari zona ketersediaan selain tempat interface endpoint berada, atau jika prioritas AZ yang sama dinonaktifkan, sistem Cloud Resolution DNS akan mengembalikan semua IP antarmuka jaringan elastis yang tersedia di semua zona ketersediaan titik akhir.

    Jika dukungan layanan Alibaba Cloud terhadap prioritas AZ yang sama berubah:

    • Layanan Alibaba Cloud berubah dari mendukung menjadi tidak mendukung prioritas AZ yang sama:

      • Saat membuat interface endpoint, konsumen layanan tidak dapat mengaktifkan prioritas AZ yang sama.

      • Untuk interface endpoint yang sudah ada:

        • Prioritas AZ yang sama dinonaktifkan: Status saat ini tidak terpengaruh, tetapi tidak dapat diaktifkan.

        • Prioritas AZ yang sama diaktifkan: Status saat ini tidak terpengaruh, dan dapat dinonaktifkan.

    • Layanan Alibaba Cloud berubah dari tidak mendukung menjadi mendukung prioritas AZ yang sama:

      • Saat membuat interface endpoint, konsumen layanan dapat mengaktifkan/menonaktifkan prioritas AZ yang sama.

      • Untuk interface endpoint yang sudah ada: Status saat ini tidak terpengaruh, dan prioritas AZ yang sama dapat diaktifkan/dinonaktifkan.

    Konsol

    Aktifkan/Nonaktifkan prioritas AZ yang sama

    • Saat membuat interface endpoint, konfigurasikan Enable Zone Affinity.

    • Setelah pembuatan, klik ID interface endpoint target. Di tab Basic Information, sesuaikan Enable/Disable di sisi kanan Enable Zone Affinity.

    API

    Amankan PrivateLink

    PrivateLink menyediakan tiga tingkat kontrol akses: security group, ACL jaringan, dan kebijakan titik akhir. Ketiganya dapat digunakan secara terpisah atau kombinasi untuk mencapai manajemen keamanan granular.

    • Security group: Berlaku untuk antarmuka jaringan elastis di semua zona ketersediaan titik akhir, mengontrol trafik dari sumber daya di VPC ke interface endpoint.

      • Saat membuat interface endpoint, Anda harus memilih security group kustom. Setelah pembuatan, Anda dapat menambahkan/menghapus security group, tetapi pastikan minimal satu security group tetap dipertahankan.

      • Saat membuat interface endpoint, PrivateLink secara default membuat security group terkelola. Aturan arah keluar secara default mengizinkan semua trafik: mencakup aturan dengan prioritas 1 yang mengizinkan semua trafik ke alamat IPv4/IPv6 mana pun.

        • Security group terkelola dapat dilihat di halaman Konsol ECS - Security Groups.

        • Security group terkelola tidak dapat dimodifikasi atau dihapus, tetapi mengonsumsi kuota security group q_security-groups (jumlah maksimum security group yang dapat dimiliki akun).

      • Jika Anda menambahkan aturan deny arah keluar dengan prioritas 1 ke security group kustom, karena aturan deny dengan prioritas yang sama lebih diutamakan daripada aturan allow, hal ini dapat menyebabkan layanan tidak dapat diakses. Harap berhati-hati saat mengonfigurasi aturan deny arah keluar.

    • ACL jaringan: Mengontrol trafik ke dan dari vSwitch tempat antarmuka jaringan elastis zona ketersediaan titik akhir berada.

    • Kebijakan titik akhir: Saat menggunakan interface endpoint untuk mengakses layanan Alibaba Cloud, Anda dapat mengonfigurasi Kebijakan titik akhir.

      • Layanan Alibaba Cloud yang mendukung akses melalui interface endpoint semuanya mendukung konfigurasi kebijakan titik akhir default, memberikan akses penuh ke interface endpoint.

      • Saat ini, hanya Object Storage Service (OSS) dan PAI - AI WorkSpace yang mendukung konfigurasi kebijakan titik akhir kustom untuk membatasi akses pengguna tertentu ke sumber daya tertentu.

    Konsol

    Konfigurasikan security group

    Saat mengonfigurasi interface endpoint, Anda menentukan security group yang akan diikuti. Setelah pembuatan, Anda dapat menambahkan/menghapus security group.

    • Tambahkan security group: Di halaman detail titik akhir target, pada tab Security Group, klik Join Security Group.

    • Hapus security group: Klik Delete di kolom Actions security group yang telah diikuti.

    Hanya trafik klien yang mematuhi aturan security group yang diikuti yang dapat mengakses layanan Alibaba Cloud melalui interface endpoint. Anda dapat merujuk pada konfigurasi aturan security group berikut:

    • Inbound: Tambahkan hanya aturan yang mengizinkan akses dari alamat IP tertentu. Klien selain IP yang ditentukan tidak dapat mengakses layanan Alibaba Cloud melalui titik akhir.

    • Outbound: Semua akses diizinkan secara default, artinya instance ECS di security group tersebut dapat mengakses sumber daya eksternal.

    Konfigurasikan ACL jaringan

    1. Buka halaman Konsol VPC - Network ACL. Setelah memilih wilayah target di bagian atas halaman, klik Create Network ACL.

    2. Konfigurasikan VPC dan pilih VPC tempat interface endpoint berada.

    3. Klik ID instans atau Manage di kolom Actions untuk masuk ke tab Associated Resources. Klik Associate vSwitch, pilih vSwitch target tempat interface endpoint berada, lalu klik OK. vSwitch yang diasosiasikan akan mengontrol trafik masuk dan keluar sesuai aturan ACL jaringan.

      Untuk menghapus kontrol, setelah binding, pada tab yang sama, klik Unbind di kolom Actions vSwitch target.

    4. Di tab Inbound Rules/Outbound Rules ACL jaringan target, klik Manage Inbound Rule/Manage Outbound Rule. Setelah mencocokkan aturan ACL jaringan berdasarkan Protocol, IP Version, Source IP Address/Destination IP Address, dan Source Port Range, sistem akan menerapkan Policy yang ditentukan ke trafik, mengizinkan/menolak trafik yang sesuai.

    Konfigurasikan kebijakan titik akhir

    Anda dapat mengonfigurasi kebijakan titik akhir saat mengakses layanan Alibaba Cloud. Setelah pembuatan, di halaman detail interface endpoint target, pada tab Endpoint Policy, klik Edit untuk memodifikasinya.

    API

    Akses menggunakan nama domain layanan kustom

    Saat mengakses layanan Alibaba Cloud di VPC, Anda biasanya menggunakan nama domain layanan tertentu. Jika layanan tersebut telah dikonfigurasi dengan nama domain layanan kustom, Anda dapat mengaktifkan nama domain layanan kustom untuk interface endpoint yang Anda buat. Setelah diaktifkan, Anda dapat terus menggunakan nama domain tersebut untuk mengakses layanan melalui PrivateLink melalui jaringan pribadi tanpa mengubah alamat layanan di aplikasi Anda.

    Cakupan nama domain layanan kustom adalah VPC tempat interface endpoint berada. Hanya VPC tempat interface endpoint berada yang dapat menyelesaikan (resolve) IP privat. Setelah VPC lain dan pusat data lokal menjalin konektivitas dengan VPC tempat interface endpoint berada dan mengonfigurasi resolusi DNS, mereka dapat menggunakan nama domain layanan kustom untuk mengakses layanan.

    Nama domain layanan kustom yang sama tidak dapat diaktifkan secara bersamaan oleh beberapa interface endpoint di VPC yang sama. Interface endpoint pertama yang mengaktifkannya akan berlaku, dan interface endpoint lain tidak dapat mengaktifkannya.
    Hanya setelah layanan Alibaba Cloud mengonfigurasi dan memverifikasi nama domain layanan kustom untuk layanan titik akhir, pengguna dapat mengaktifkan nama domain layanan kustom untuk interface endpoint.
    Nama domain layanan kustom diselesaikan oleh PrivateZone yang dihosting oleh PrivateLink.

    Aktifkan nama domain layanan kustom untuk interface endpoint

    • Saat membuat interface endpoint, atur Enable Custom Domain Name? ke Enable.

    • Setelah pembuatan, di area Domain Name of Endpoint Service pada halaman detail interface endpoint, aktifkan sakelar Custom Domain Name.

      Jika tidak lagi diperlukan, Anda dapat mematikannya di sini.

    Akses layanan menggunakan nama domain layanan kustom

    • Akses VPC yang sama: Di dalam VPC tempat interface endpoint berada, Anda dapat langsung menggunakan nama domain layanan kustom untuk mengakses layanan tanpa konfigurasi tambahan.

    • Akses lintas VPC:

      1. Konektivitas jaringan: Rujuk ke Solusi interkoneksi VPC dan pilih VPC peering atau Cloud Enterprise Network (CEN) untuk menghubungkan VPC.

      2. Konfigurasikan resolusi DNS:

        1. Buka Konsol DNS Privat. Klik Add Zone, konfigurasikan nama domain layanan kustom, atur cakupan domain ke intranet VPC Alibaba Cloud, dan pilih VPC target.

        2. Klik ID nama domain. Di tab Settings, pilih Add Record dan tambahkan rekaman CNAME dengan awalan domain @ dan nilai rekaman diatur ke nama domain layanan default.

    • Akses pusat data lokal

      1. Konektivitas jaringan: Rujuk ke Solusi koneksi VPC ke IDC lokal dan pilih Express Connect atau Gateway VPN untuk terhubung ke pusat data lokal.

      2. Konfigurasikan resolusi DNS:

        1. Buka Konsol DNS Privat. Klik Add Inbound Endpoint, dan konfigurasikan Inbound VPC sebagai VPC tempat interface endpoint berada. Untuk memastikan ketersediaan tinggi, pilih minimal dua zona ketersediaan untuk alamat IP layanan lalu lintas masuk.

        2. Konfigurasikan zona forwarder di pusat data lokal.

          Dokumen ini menggunakan BIND sebagai contoh. Jika IDC lokal menggunakan sistem DNS lain, rujuk dokumentasinya untuk mengonfigurasi conditional forwarding. Prinsip konfigurasinya sama: meneruskan permintaan resolusi DNS untuk nama domain tertentu ke alamat IP layanan titik akhir inbound VPC PrivateZone.

          1. Konfigurasikan file BIND.

            Lokasi file konfigurasi BIND bervariasi tergantung sistem operasi. Jalur umum adalah /etc/named.conf dan /etc/bind/named.conf.
            // Contoh: Mengakses layanan pai-dlc. Zona dikonfigurasi sebagai nama domain layanan kustom yang sesuai
zone "pai-dlc-vpc.cn-beijing.aliyuncs.com" IN {
       type forward;
       forwarders {
           10.0.0.173; // Ganti dengan alamat IP layanan lalu lintas masuk
           10.0.1.109;
       };
   };

          2. Restart layanan BIND untuk menerapkan konfigurasi.

            Perintah untuk restart layanan BIND bervariasi tergantung sistem operasi. Perintah umum adalah systemctl restart named.

    Putuskan koneksi

    Jika Anda tidak lagi perlu mengakses layanan Alibaba Cloud, konsumen layanan dapat menghapus interface endpoint. Penghapusan akan menghentikan koneksi titik akhir ke layanan dan tidak dapat dikembalikan. Harap lakukan dengan hati-hati.

    Konsol

    Di kolom Actions interface endpoint target, klik Delete. Setelah penghapusan, VPC tempat interface endpoint berada tidak akan lagi dapat mengakses layanan Alibaba Cloud yang sesuai melalui PrivateLink. Selama penghapusan, Anda dapat memilih Delete the endpoint zone untuk juga menghapus antarmuka jaringan elastis di zona ketersediaan titik akhir.

    API

    Panggil DeleteVpcEndpoint untuk menghapus interface endpoint.

    Jika perlindungan terkelola diaktifkan saat titik akhir dibuat (parameter ProtectedEnabled diatur ke true, hanya berlaku untuk panggilan STS), hanya identitas STS yang digunakan saat pembuatan yang dapat melakukan operasi penghapusan atau modifikasi. Untuk menghapusnya, panggil API DeleteVpcEndpoint menggunakan identitas STS yang sama yang digunakan saat pembuatan.

    Gunakan interface endpoint untuk mengakses layanan Alibaba Cloud lintas wilayah

    Anda dapat membuat interface endpoint dan mengaktifkan titik akhir cross-region untuk terhubung ke layanan Alibaba Cloud lintas wilayah melalui PrivateLink.

    Saat ini, layanan Alibaba Cloud yang mendukung koneksi cross-region termasuk Bailian - Platform Model Bahasa Besar Alibaba Cloud. Layanan Alibaba Cloud lainnya terus ditambahkan. Untuk terhubung ke layanan Alibaba Cloud lainnya lintas wilayah, Anda dapat mengajukan tiket atau menghubungi account manager Anda.

    • Setelah konsumen layanan mengaktifkan titik akhir cross-region dan memilih wilayah layanan, sistem akan secara otomatis menampilkan layanan Alibaba Cloud yang tersedia di wilayah tersebut.

      Tersedia: Layanan Alibaba Cloud telah dideploy di wilayah layanan yang dipilih, dan wilayah yang didukung mencakup wilayah tempat titik akhir Anda berada.
      Jika Anda masih tidak dapat memilih layanan yang sesuai saat membuat titik akhir, hubungi penyedia layanan untuk mengonfirmasi bahwa akun Anda telah ditambahkan ke daftar putih layanan.

    • Konsumen layanan dapat menggunakan nama domain titik akhir untuk mengakses layanan. Saat terhubung ke layanan Alibaba Cloud lintas wilayah, sistem tidak lagi menghasilkan nama domain zona titik akhir untuk memastikan aplikasi dapat memanfaatkan kemampuan probing ketersediaan yang dikelola sepenuhnya oleh PrivateLink guna failover cepat ke zona ketersediaan lain jika terjadi kegagalan AZ.

    • Kami merekomendasikan membuat interface endpoint di minimal dua zona ketersediaan untuk mencapai ketersediaan tinggi.

    Jika layanan Alibaba Cloud dikonfigurasi dengan nama domain layanan kustom, pengguna dapat mengaktifkan nama domain layanan kustom untuk interface endpoint agar dapat mengakses layanan Alibaba Cloud yang sesuai menggunakan nama domain layanan kustom tersebut.

    Konsol

    1. Buka halaman Endpoints - Create Endpoint.

    2. Konfigurasikan interface endpoint:

      • Region: Pilih wilayah tempat entri akses layanan Alibaba Cloud berada.

      • Type: Pilih Alibaba Cloud Service.

      • Service Settings: Pilih kotak centang Enable inter-region endpoint dan pilih Service Region.

        Jika Anda mengaktifkan titik akhir cross-region untuk menghubungkan antara Tiongkok daratan dan wilayah luar Tiongkok daratan, Anda harus terlebih dahulu menyelesaikan verifikasi identitas perusahaan.
        Jika Anda mengaktifkan titik akhir cross-region untuk menghubungkan antara Tiongkok daratan dan wilayah luar Tiongkok daratan, baca komitmen kepatuhan transfer data lintas batas dan pilih I have read and agree to the compliance commitments above..

      • Available Services: Dari daftar layanan Alibaba Cloud yang didukung di wilayah layanan, pilih layanan target berdasarkan nama layanan titik akhir.

      • Inter-Region Bandwidth Configuration:

        • Billing Method: Billed by CDT. Biaya trafik cross-region ditagih secara seragam oleh CDT. Untuk daftar lengkap item penagihan, rujuk ke Koneksi cross-region.

        • Bandwidth:

          • Untuk interkoneksi antar wilayah di dalam Tiongkok daratan, bandwidth cross-region maksimum default adalah 1000 Mbps, yang dapat disesuaikan melalui kuota pvl_quota_cross_region_ep_max_bandwidth_payg_china.

          • Untuk interkoneksi antar wilayah di luar Tiongkok daratan, bandwidth cross-region maksimum default adalah 100 Mbps, yang dapat disesuaikan melalui kuota pvl_quota_cross_region_ep_max_bandwidth_payg_oversea.

          • Untuk interkoneksi antara Tiongkok daratan dan wilayah di luar Tiongkok daratan, bandwidth cross-region maksimum default adalah 100 Mbps, yang dapat disesuaikan melalui kuota pvl_quota_cross_region_ep_max_bandwidth_payg_cross_border.

      • Untuk konfigurasi lainnya, rujuk ke Buat/Hapus interface endpoint.

    API

    Panggil CreateVpcEndpoint untuk membuat interface endpoint.

    Layanan Alibaba Cloud menggunakan reverse endpoint untuk mengakses sumber daya yang diotorisasi pengguna

    Setelah mendapat otorisasi dari pengguna, layanan Alibaba Cloud dapat menggunakan reverse endpoint untuk mengakses sumber daya tertentu di VPC pengguna secara aman melalui jaringan pribadi. Pengguna dapat lebih lanjut mengontrol cakupan sumber daya yang dapat diakses oleh layanan Alibaba Cloud melalui security group dan ACL jaringan.

    • Security group berlaku untuk antarmuka jaringan elastis di semua zona ketersediaan titik akhir, mengontrol trafik dari reverse endpoint ke sumber daya di VPC.

    • Setelah membuat reverse endpoint, PrivateLink secara default membuat security group terkelola. Aturan inbound secara default mengizinkan semua trafik: mencakup aturan dengan prioritas 1 yang mengizinkan semua trafik dari alamat IPv4/IPv6 mana pun.

      • Security group terkelola dapat dilihat di halaman Konsol ECS - Security Groups.

      • Security group terkelola tidak dapat dimodifikasi atau dihapus, tetapi mengonsumsi kuota security group q_security-groups (jumlah maksimum security group yang dapat dimiliki akun).

    Cakupan yang didukung: Layanan Alibaba Cloud yang mendukung akses melalui reverse endpoint.
    Pastikan bahwa layanan PrivateLink telah diaktifkan, serta VPC dan vSwitch serta security group telah dibuat di wilayah target.
    Reverse endpoint tidak mendukung akses dual-stack.

    Konsol

    Buat reverse endpoint

    1. Buka halaman Endpoints - Create Endpoint.

    2. Konfigurasikan reverse endpoint:

      • Basic Settings：

        • Region: Pilih wilayah tempat sumber daya yang diakses oleh layanan Alibaba Cloud berada.

        • Endpoint Type: Pilih reverse endpoint.

        • Nama dan deskripsi: Mengidentifikasi sumber daya cloud secara seragam.

      • Type: Pilih Alibaba Cloud Service.

      • Available Services: Pilih layanan Alibaba Cloud yang akan diakses berdasarkan nama layanan titik akhir.

      • Network Settings: Untuk memastikan ketersediaan tinggi layanan, kami merekomendasikan memilih vSwitch di minimal dua zona ketersediaan. Anda dapat menentukan alamat IP dari vSwitch untuk antarmuka jaringan elastis di zona ketersediaan titik akhir. Jika tidak ditentukan, sistem akan menetapkannya secara otomatis.

      • Security Group: Berlaku untuk antarmuka jaringan elastis di semua zona ketersediaan titik akhir. Reverse endpoint hanya mengizinkan layanan Alibaba Cloud untuk secara proaktif mengakses sumber daya pengguna.

    Hapus reverse endpoint

    Di kolom Actions reverse endpoint target, klik Delete. Setelah penghapusan, layanan Alibaba Cloud yang sesuai tidak akan lagi dapat mengakses sumber daya tertentu di VPC pengguna melalui reverse endpoint.

    API

    Informasi selengkapnya

    Perbedaan dengan gateway endpoint

    Gateway endpoint tidak bergantung pada PrivateLink dan hanya mendukung akses ke sejumlah terbatas layanan Alibaba Cloud.

    Fitur

    Gateway endpoint

    PrivateLink

    Kasus penggunaan

    Gunakan kebijakan titik akhir bersama dengan kebijakan bucket OSS untuk mengurangi risiko akses tidak sah dan menerapkan autentikasi dua arah:

    • Kontrol sumber: VPC hanya dapat mengakses bucket tertentu.

    • Kontrol tujuan: Bucket OSS hanya dapat diakses dari VPC tertentu.

    Solusi standar untuk akses privat dari VPC ke layanan Alibaba Cloud. Mendukung lebih banyak jenis layanan dan kemampuan lanjutan dibandingkan gateway endpoint.

    Jenis layanan yang didukung

    Saat ini hanya mendukung OSS.

    Mendukung banyak layanan Alibaba Cloud dan layanan yang dibuat pengguna, termasuk layanan yang disediakan oleh ISV.

    Kemampuan keamanan VPC

    Hanya mendukung kebijakan titik akhir.

    Mendukung security group, ACL jaringan, dan kebijakan titik akhir.

    Kemampuan jaringan

    Tidak mendukung jaringan kompleks. Dapat bertentangan dengan blok CIDR layanan Alibaba Cloud (100.x.x.x/8).

    Mendukung jaringan kompleks. Kompatibel dengan VPC peering, CEN, Express Connect, dan gateway VPN untuk konektivitas cross-region dan cloud hibrida.

    Kemampuan O&M

    Tidak ada

    Mendukung log aliran untuk auditing dan troubleshooting.

    Biaya

    Gratis.

    Biaya mencakup biaya instans dan biaya transfer data.

    Untuk layanan yang dibuat pengguna, Anda memilih apakah konsumen atau penyedia yang membayar.