使用私网连接接入点访问RabbitMQ - 云消息队列 RabbitMQ 版

应用场景

使用私网连接接入点指定VPC访问云消息队列 RabbitMQ 版适合用于以下场景：

实例型产品访问网络时需要对网络链路做隔离。
云企业网（CEN）上云组网及跨地域组网。
CEN组网时无法使用路由规则访问云产品。
替代 SLB 实现安全访问：云消息队列 RabbitMQ 版不支持在前端挂载 SLB 进行流量分发中转，也不支持通过"外网→SLB→RabbitMQ"方式访问。若需在 VPC 内实现安全访问或避免公网暴露，应使用私网连接（PrivateLink）将实例绑定到 VPC。
跨数据中心或外部网络接入：通过 PrivateLink 结合专线或 VPN 打通本地数据中心与云上 VPC 的网络，实现安全的私网访问。

创建私网连接接入点后，原VPC接入点仍可正常访问云消息队列 RabbitMQ 版服务。

费用说明

云消息队列 RabbitMQ 版为您托管创建了私网接入点，云消息队列 RabbitMQ 版本身不收取费用，所有使用私网连接产生的费用，由阿里云私网连接（PrivateLink）服务直接向开通服务的阿里云账号ID收取。开通成功后，根据私网连接服务的实际使用量进行计费，按每小时出账。费用包含实例费和流量处理费。更多信息，请参见计费说明。

私网连接接入点的生命周期与其关联的RabbitMQ实例一致，您不能在私网连接（PrivateLink）控制台手动删除。RabbitMQ实例到期释放、或主动删除以后，私网连接接入点将由云消息队列 RabbitMQ 版服务自动删除。

地域限制

以下地域可直接使用：华东1（杭州）、华东2（上海）、华北2（北京）、华北3（张家口）、华南1（深圳）、华南3（广州）、西南1（成都）、华北6（乌兰察布）、新加坡、德国（法兰克福）、美国（硅谷）、印度尼西亚（雅加达）、马来西亚（吉隆坡）、中国香港、沙特（利雅得）、菲律宾（马尼拉）、泰国（曼谷）。

操作步骤

登录云消息队列 RabbitMQ 版控制台，然后在左侧导航栏选择实例列表。
在实例列表页面的顶部菜单栏选择地域，然后在实例列表中，单击目标实例名称。
在实例详情页面的接入点信息页签，单击终端接入点右侧Endpoint栏的创建私网连接接入点。

在创建私网连接接入点面板，完成以下操作。

仔细阅读面板顶部说明。
创建服务关联角色，详情请参见服务关联角色。
开通私网连接服务。

配置以下参数。然后单击确定。

重要

私网连接接入点创建完成后，不支持修改和删除，请正确填写。

参数	描述	示例
VPC ID	选择VPC ID。VPC状态必须为可用。	vpc-degu45gufksifgiuf****
VSwitch ID	选择VSwitch ID。为保障高可用性，请至少选择2个可用区的交换机。说明选择可用区时，必须保证该可用区支持创建网络型负载均衡NLB，可通过查询可用区查询支持的可用区，也可在网络型负载均衡NLB控制台查看支持的可用区。 vSwitch状态需要是可用，且可用IP地址数大于20。	vsw-bewhf9uiagudie** vsw-feuo8evyidochhe**
安全组	选择安全组。端口放行规则如下：基础规则：必须放行 TCP 协议入方向 5672 和 5671 端口。 ACK 集群场景：若使用内网连接，安全组需放行 ACK 集群 Pod 所在网段，或推荐使用VPC 白名单功能直接授权 ACK 所在 VPC 访问。 ECS 互通场景：若 RabbitMQ 与 ECS 共用同一安全组，需确保该安全组已放行 TCP 5672 端口入方向流量。不支持托管安全组。	sg-uoefguo8fvyeif****

重要

私网连接接入点创建后，不支持自行修改安全组。终端节点创建时默认开启托管保护且托管至服务端（若尝试修改将返回错误提示：The specified Endpoint is protected）。如需变更安全组，请联系云消息队列 RabbitMQ 版服务端后台协助处理。

创建完成后，可在实例详情页面的接入点信息页签查看接入点详情。

获取私网连接接入点后，可将此接入点配置在SDK代码中，即可通过私网连接收发消息。更多信息，请参见步骤三：调用SDK收发消息。

服务关联角色

首次使用私网连接接入点需要创建服务关联角色：AliyunServiceRoleForAmqpNetwork，创建服务关联角色之前，需要允许账号有创建服务关联角色的权限，可以赋予AliyunAMQPFullAccess系统策略权限，如果自定义权限，需要具备以下权限，其中，${accountid}需替换为您的阿里云账号ID。

{
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "acs:ram:*:${accountid}:role/*",
            "Effect": "Allow",
            "Condition": {
              "StringEquals": {
              "ram:ServiceName": [
                "network.amqp.aliyuncs.com"
              ]
              }
            }
        }
    ],
    "Version": "1"
}

角色策略名称：AliyunServiceRolePolicyForAmqpNetwork
权限说明：允许云消息队列 RabbitMQ 版使用此角色访问您的私网连接（PrivateLink）服务完成专有网络相关功能。
具体文档说明：服务关联角色。

FAQ

通过私网连接访问云消息队列 RabbitMQ 版时域名解析失败（Unknown host）怎么办？

可按以下步骤排查：

检查是否配置 PrivateZone：登录云解析 DNS控制台，创建与云消息队列 RabbitMQ 版 PrivateLink 域名匹配的解析记录。
检查 ECS 的 /etc/resolv.conf 文件：确保文件中包含阿里云内网 DNS 地址（100.100.2.136 和 100.100.2.138）。
临时验证方案：获取云消息队列 RabbitMQ 版实例的实际内网 IP，直接通过 IP 地址连接测试，绕过域名解析验证网络连通性。

云消息队列 RabbitMQ 版：私网连接接入点