Agent 运行时可能需要调用公网模型和公网 API，也可能需要访问私网数据库、内部 API 等私网资源，员工或程序接入 Team 协作时还需要确定通过公网还是私网连接。AgentCore 将 Agent 访问资源所用的 Workspace 网络与客户端接入协作所用的协作网络分开配置，两处配置独立保存、互不自动同步，需按业务场景分别选择并开启公网访问、VPC 访问或协作接入方式。AgentCore 网络配置适用于平台托管的 Harness 和高代码两类 Agent。
根据业务场景选择配置方式
Workspace 网络为 Agent 选择访问业务资源的 VPC，Agent 的网络开关决定是否使用该 VPC、是否访问公网；协作网络决定客户端可以通过公网还是指定 VPC 连接 Team 协作服务。两处配置分别保存，修改 Workspace VPC 不会自动修改已开通协作的网络配置，反之亦然。
业务场景 | 配置方式 |
Agent 运行时访问公网模型、公网 API 等公网资源 | |
Agent 运行时访问私网数据库、内部 API、私网模型或工具等私网资源 | |
员工或程序访问 Team 协作服务 |
Agent 既要查询私网数据库，又要调用公网模型时，可以同时开启公网访问和 VPC 访问。
准备网络资源
三类网络配置都在 Workspace 中完成，开始操作前确认以下资源和要求已就绪：
已创建目标 Workspace。 Agent 的公网访问、VPC 访问和 Team 协作接入均在所属 Workspace 中配置。
选定业务所在的 VPC。 优先使用目标数据库或内部 API 等私网资源所在的 VPC；目标位于其他 VPC 或云下网络时，先完成网络互联，并检查去程、回程路由和域名解析。
准备覆盖不同可用区的交换机。 一个 Workspace 需要至少两个交换机，交换机覆盖至少两个可用区；开通协作私网接入时，同样需要选择两个不同可用区的交换机。
预留交换机可用 IP。 Workspace 绑定 VPC 和协作启用私网接入时，相关网络连接资源会占用交换机 IP，应为已有业务增长和网络资源扩容留出空间。
满足协作私网接入的 IP 余量门槛。 开通协作私网接入时，每个交换机的可用 IP 余量至少为 31 个，不能合并计数；该要求仅针对创建前的剩余 IP。
规划不重叠的网段。 新建网段时，避免与需要互联的 VPC、办公网或数据中心网段重叠，具体规划方法参见 VPC 网络规划。
私网客户端可连通协作 VPC。 办公电脑使用协作私网地址前，需连通协作 VPC，并能解析协作私网域名。
配置 Agent 公网访问
适用于 Agent 访问公网模型、公网 API 等公网资源的场景。多个 Agent 可以共用所属 Workspace 的公网出口。如果目标服务设置了来源 IP 白名单，需先将页面显示的 当前 Workspace 公网出口 IP 加入目标服务的白名单。
操作步骤
登录 AgentCore 控制台，选择地域和 Workspace。
进入 Agent，创建 Agent 或编辑已有 Agent。
在 网络配置 中开启 允许默认网卡访问公网，提交并等待创建或更新完成。
让 Agent 调用一次目标公网服务，确认请求成功。
如果请求被拒绝，按顺序检查 允许默认网卡访问公网 是否已开启、创建或更新是否已完成、目标服务白名单中的 IP 与页面显示的 当前 Workspace 公网出口 IP 是否一致，最后通过目标侧的访问记录核对来源地址。
配置 Agent VPC 访问
适用于 Agent 访问私网数据库、内部 API、私网模型或工具等私网资源的场景。
操作步骤
登录 AgentCore 控制台，选择地域和 Workspace，进入目标 Workspace 的 概览 页。
单击 绑定 VPC，选择 VPC 和交换机，提交并等待绑定完成。也可以在创建 Workspace 时完成绑定，参见 管理 Workspace。
创建或编辑 Agent，在 网络配置 中开启 允许访问 VPC，提交并等待更新完成。Agent 将使用所属 Workspace 配置的 VPC。
在目标服务或对应云产品的控制台中，配置安全组、访问白名单和访问账号权限等，避免 Agent 访问请求被拦截。
让 Agent 查询一次测试数据或调用内部 API，检查返回结果。
如果连接失败，按顺序检查 Agent 的 VPC 开关、目标端口、安全组或白名单，最后检查业务鉴权。
如果要求 Agent 仅访问私网，关闭 允许默认网卡访问公网，并检查 Agent 是否仍能通过业务 VPC 中的 NAT 网关或代理访问公网；仍能访问说明私网限制未完全生效。
修改 Workspace VPC 会影响使用该 VPC 的 Agent。变更后应等待更新完成，并重新验证数据库、模型和工具访问等是否正常。
配置 Team 协作接入
本节配置员工或程序连接 Team 协作服务所使用的网络，开通流程和连接点说明参见 设置 Team 协作。根据客户端所在位置，选择接入方式：
客户端使用场景 | 协作网络配置 |
通过互联网使用协作 | 开启 公网访问 |
只允许通过企业私网使用协作 | 开启 VPC 接入，选择 VPC 和交换机，关闭 公网访问 |
同时支持公网和私网客户端使用协作 | 同时开启 公网访问和 VPC 接入 |
操作步骤
在目标 Workspace 左侧导航栏进入 Team 协作。首次开通时，按上表选择网络方式；公网访问与 VPC 接入至少开启一项。
如需私网接入，选择协作使用的 VPC，以及两个不同可用区的交换机，逐个确认交换机的可用 IP 余量满足准备网络资源中的要求，并按页面提示完成开通。
开通后进入 接入管理 → 连接点，查看协作客户端的 Web 和 API 地址。公网客户端使用公网地址，已连通协作 VPC 的客户端使用私网地址。
在客户端连接协作服务，测试消息发送和接收。
后续需要关闭公网访问时，先通过私网地址完成连接和消息收发测试，再在 接入管理 → 网络配置 中关闭公网。
协作未配置 VPC 接入时，需保持公网访问开启，避免协作服务无法访问。
常见问题（FAQ）
Agent 会占用 VPC IP 吗？
不需要按 Agent 数量逐个预留 IP。Workspace 接入 VPC、协作启用私网接入时，相关网络连接资源会占用交换机 IP。
Workspace 网络和协作网络有什么区别？修改后会同步吗？
Workspace 网络决定 Agent 通过哪个 VPC 访问业务资源、是否访问公网，协作网络决定客户端通过公网还是指定 VPC 连接协作服务，两类网络的作用域见根据业务场景选择配置方式。两处配置分别保存，修改 Workspace VPC 不会自动修改已开通协作的网络配置，反之亦然。仅在配置协作 VPC 时，会将 Workspace VPC 作为默认配置填入。
如何查看交换机剩余 IP？“至少 31 个 IP”是什么意思？
在 VPC 控制台选择对应地域，进入 交换机，找到 AgentCore 使用的交换机，查看当前可用 IP 数。该数值仅是创建前的剩余 IP 要求，不代表开通后一定会占用 31 个 IP，余量要求的完整表述见准备网络资源。
关闭协作公网后，Agent 还能访问公网模型吗？
可以，前提是 Agent 自身已开启公网访问。协作公网开关只影响客户端能否通过公网连接协作服务。
绑定 Workspace VPC 后，业务系统如何调用 Agent？
Workspace VPC 配置用于 Agent 访问业务资源，业务系统调用 Agent 时使用 Agent 提供的服务地址和鉴权信息，Workspace 公网出口 IP 用于出站白名单，不能作为调用地址。高代码 Agent 可在详情页的 外部渠道配置 → 直接访问 中查看调用地址和鉴权信息，再从调用方网络发起请求，具体步骤参见 高代码 Agent 部署与使用指南。