為了滿足企業更高的營運安全需求，Bastionhost提供通過私網進行Web營運（營運門戶或控制台主機營運）的功能，您可以參考本文開啟私網營運，實現純內網環境訪問Bastionhost。
背景資訊
Bastionhost聯合私網串連（PrivateLink）服務，在Virtual Private Cloud與阿里雲Bastionhost間建立了安全穩定的私人串連，實現了通過私網進入營運門戶以及通過私網進行Web營運，從而進一步提升了營運串連的安全性。
版本限制
開啟影響
開啟私網營運會對Bastionhost執行個體產生如下變更：
開啟私網營運後會變更Bastionhost私網營運位址解析的IP，請您使用控制台提供的網域名稱營運地址進行營運。
若您有存取控制策略基於私網營運位址解析的IP地址允許存取（例如防火牆等），開啟私網營運後，請您使用更新後的地址進行配置。
開啟Bastionhost私網營運門戶後，使用Xshell用戶端登入Bastionhost時，可能因相容性問題導致登入失敗。
操作步驟
登入Bastionhost控制台，在頂部功能表列，選擇Bastionhost所在的地區。
在Bastionhost執行個體列表，定位到目標執行個體，選擇。
在開啟私網營運面板，選擇私網串連終端節點安全性群組，單擊确定。
重要如果交換器發生變更，私網出口IP地址會變化，若您有存取控制策略基於私網出口IP地址允許存取（例如防火牆等），請您使用更新後的地址進行配置。
變更期間無法正常訪問執行個體，Bastionhost會處於變更配置中狀態，預計變更時間為20分鐘左右，建議您在業務低峰期操作。
選擇私網串連終端節點安全性群組後無法修改。
後續步驟
允許存取用戶端存取規則
通過私網進行Web營運時，除了確保用戶端與Bastionhost所在VPC內網網路連通，還需要在私網串連終端節點安全性群組中允許存取用戶端的訪問規則，否則用戶端將無法訪問Bastionhost私網營運地址。常用的營運資訊安全中心（Bastionhost）業務及連接埠如下，您可以根據實際情況配置。
SSH營運：60022
RDP營運：63389
錄影播放連接埠：9443
主機營運連接埠及營運門戶：443
單點登入器連接埠：20045
安全性群組訪問規則配置樣本：假設您的用戶端IP為192.168.0.1，關於SSH營運的安全性群組配置的具體操作，請參見添加安全性群組規則。
在安全性群組入方向規則中，添加一條規則：授權策略為允許，優先順序為 1，協議類型為自訂TCP，訪問來源為 192.168.0.1，連接埠範圍為 60022/60022。
開啟私網營運時，私網串連終端節點安全性群組僅支援選擇Bastionhost所在 VPC 內的安全性群組，無法直接關聯或複用其他地區的安全性群組。
若需跨地區訪問Bastionhost私網營運門戶，建議按以下步驟配置：
通過雲企業網（CEN）打通Bastionhost所在 VPC 與用戶端所在 VPC 的網路，實現跨地區 VPC 互連。
在各自地區的安全性群組中，手動添加入方向規則，允許存取Bastionhost私網出口 IP 位址。
串連異常排查
如果按上述步驟配置安全性群組後，仍無法通過私網訪問Bastionhost或進行相關操作，可參考以下情境排查：
錄屏無法回放且網域名稱 Ping 不通：請確認已開啟私網營運功能，並檢查私網串連終端節點安全性群組是否已放通錄影播放連接埠（9443）及主機營運連接埠（443）。
跨帳號/跨 VPC 串連 ECS 失敗（如 Ping 不通對端內網 IP）：除檢查私網串連終端節點安全性群組是否已允許存取Bastionhost相關連接埠（如 60022）外，還需排查以下兩點：
路由衝突：檢查用戶端或目標 ECS 內是否存在與 VPC 網段衝突的路由（例如 Docker 預設網段
172.17.0.0/16），可通過修改 Docker 網段或添加明細路由解決。公網私用 IP 配置：如果目標伺服器 IP 屬於公網私用範圍（如
172.x.x.x），需在Bastionhost控制台的公網私用配置中添加該伺服器 IP 網段。
常見問題
相關文檔
營運員Web營運操作，請參見Web營運。