使用私網串連存取點訪問RabbitMQ - ApsaraMQ for RabbitMQ

應用情境

使用私網串連存取點指定VPC訪問雲訊息佇列 RabbitMQ 版適合用於以下情境：

執行個體型產品訪問網路時需要對網路鏈路做隔離。
雲企業網（CEN）上雲組網及跨地區組網。
CEN組網時無法使用路由規則訪問雲產品。
替代 SLB 實現安全訪問：雲訊息佇列 RabbitMQ 版不支援在前端掛載 SLB 進行流量分發中轉，也不支援通過"外網→SLB→RabbitMQ"方式訪問。若需在 VPC 內實現安全訪問或避免公網暴露，應使用私網串連（PrivateLink）將執行個體綁定到 VPC。
跨資料中心或外部網路接入：通過 PrivateLink 結合專線或 VPN 打通本機資料中心與雲上 VPC 的網路，實現安全的私網訪問。

建立私網串連存取點後，原VPC存取點仍可正常訪問雲訊息佇列 RabbitMQ 版服務。

費用說明

雲訊息佇列 RabbitMQ 版為您託管建立了私網存取點，雲訊息佇列 RabbitMQ 版本身不收取費用，所有使用私網串連產生的費用，由阿里雲PrivateLink服務直接向開通服務的阿里雲帳號ID收取。開通成功後，根據私網串連服務的實際使用量進行計費，按每小時出賬。費用包含執行個體費和流量處理費。更多資訊，請參見計費說明。

私網串連存取點的生命週期與其關聯的RabbitMQ執行個體一致，您不能在PrivateLink控制台手動刪除。RabbitMQ執行個體到期釋放、或主動刪除以後，私網串連存取點將由雲訊息佇列 RabbitMQ 版服務自動刪除。

地區限制

以下地區可直接使用：華東1（杭州）、華東2（上海）、華北2（北京）、華北3（張家口）、華南1（深圳）、華南3（廣州）、西南1（成都）、華北6（烏蘭察布）、新加坡、德國（法蘭克福）、美國（矽谷）、印尼（雅加達）、馬來西亞（吉隆坡）、中國香港、沙特（利雅得）、菲律賓（馬尼拉）、泰國（曼穀）。

操作步驟

登入雲訊息佇列 RabbitMQ 版控制台，然後在左側導覽列選擇实例列表。
在实例列表頁面的頂部功能表列選擇地區，然後在執行個體列表中，單擊目標執行個體名稱。
在实例详情頁面的接入点信息頁簽，單擊终端接入点右側Endpoint欄的创建私网连接接入点。

在创建私网连接接入点面板，完成以下操作。

仔細閱讀面板頂部說明。
建立服務關聯角色，詳情請參見服務關聯角色。
開通私網串連服務。

配置以下參數。然後單擊确定。

重要

私網串連存取點建立完成後，不支援修改和刪除，請正確填寫。

參數	描述	樣本
VPC ID	選擇VPC ID。VPC狀態必須為可用。	vpc-degu45gufksifgiuf****
VSwitch ID	選擇VSwitch ID。為保障高可用性，請至少選擇2個可用性區域的交換器。說明選擇可用性區域時，必須保證該可用性區域支援建立網路型負載平衡NLB，可通過查詢可用性區域查詢支援的可用性區域，也可在網路型負載平衡NLB控制台查看支援的可用性區域。 vSwitch狀態需要是可用，且可用IP地址數大於20。	vsw-bewhf9uiagudie** vsw-feuo8evyidochhe**
安全组	選擇安全性群組。連接埠允許存取規則如下：基礎規則：必須允許存取 TCP 協議入方向 5672 和 5671 連接埠。 ACK 叢集情境：若使用內網串連，安全性群組需允許存取 ACK 叢集 Pod 所在網段，或推薦使用VPC 白名單功能直接授權 ACK 所在 VPC 訪問。 ECS 互連情境：若 RabbitMQ 與 ECS 共用同一安全性群組，需確保該安全性群組已允許存取 TCP 5672 連接埠入方向流量。不支援託管安全性群組。	sg-uoefguo8fvyeif****

重要

私網串連存取點建立後，不支援自行修改安全性群組。終端節點建立時預設開啟託管保護且託管至服務端（若嘗試修改將返回錯誤提示：The specified Endpoint is protected）。如需變更安全性群組，請聯絡雲訊息佇列 RabbitMQ 版服務端後台協助處理。

建立完成後，可在实例详情頁面的接入点信息頁簽查看存取點詳情。

擷取私網串連存取點後，可將此存取點配置在SDK代碼中，即可通過私網串連收發訊息。更多資訊，請參見步驟三：調用SDK收發訊息。

服務關聯角色

首次使用私網串連存取點需要建立服務關聯角色：AliyunServiceRoleForAmqpNetwork，建立服務關聯角色之前，需要允許帳號有建立服務關聯角色的許可權，可以賦予AliyunAMQPFullAccess系統策略許可權，如果自訂許可權，需要具備以下許可權，其中，${accountid}需替換為您的阿里雲帳號ID。

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:${accountid}:role/*",
            "Effect": "Allow",
            "Condition": {
              "StringEquals": {
              "ram:ServiceName": [
                "network.amqp.aliyuncs.com"
              ]
              }
            }
        }
    ],
    "Version": "1"
}

角色策略名稱稱：AliyunServiceRolePolicyForAmqpNetwork
許可權說明：允許雲訊息佇列 RabbitMQ 版使用此角色訪問您的PrivateLink服務完成專用網路相關功能。
具體文檔說明：服務關聯角色。

FAQ

通過私網串連訪問雲訊息佇列 RabbitMQ 版時網域名稱解析失敗（Unknown host）怎麼辦？

可按以下步驟排查：

檢查是否配置 PrivateZone：登入雲解析 DNS控制台，建立與雲訊息佇列 RabbitMQ 版 PrivateLink 網域名稱匹配的解析記錄。
檢查 ECS 的 /etc/resolv.conf 檔案：確保檔案中包含阿里雲內網 DNS 地址（100.100.2.136 和 100.100.2.138）。
臨時驗證方案：擷取雲訊息佇列 RabbitMQ 版執行個體的實際內網 IP，直接通過 IP 位址串連測試，繞過網域名稱解析驗證網路連通性。

ApsaraMQ for RabbitMQ：私网连接接入点