华为云 VPC 终端节点实战：内网访问云服务，不走公网降低暴露风险

一、业务痛点

传统架构下，ECS 访问对象存储、RDS、API 网关等云服务，默认走公网网络。

1. 公网出口会产生流量费用，且存在被扫描、攻击的安全风险；
2. 企业安全规范要求：核心业务禁止访问公网，仅内网完成云资源调用；
3. 跨 VPC 访问云服务时，配置复杂，ACL 与安全组策略难以收敛。

VPC 终端节点（VPCEP）可以在 VPC 内生成私有访问入口，业务流量全程在华为云内网流转，无需公网 IP。

二、核心能力

1. 内网访问：ECS、容器等资源通过私有域名访问云服务，流量不出公网；
2. 两种类型：网关型（OBS 等）、接口型（RDS、APIG 等）；
3. 访问控制：支持终端节点策略，精细化管控哪些资源可以调用云服务；
4. 跨 VPC 互通：搭配云连接，多个 VPC 共用终端节点，统一内网访问入口。

三、实操部署步骤

1. 准备工作
   • 已有业务 VPC 与子网，子网内有可用 ECS；
   • 确认目标云服务支持终端节点。
2. 创建终端节点 进入 VPC 控制台→终端节点→创建终端节点； 选择服务类型（网关 / 接口），选择目标云服务，关联业务 VPC 与子网； 开启私有 DNS 名称（推荐，自动解析私有域名）。
3. 配置访问策略 按需附加访问策略，限制仅指定 ECS、IP 才能访问，拒绝多余访问权限。
4. 安全组放行 接口型终端节点需要在安全组开放对应端口，网关型无需额外端口。
5. 验证连通性 登录 ECS，ping 私有域名，curl 访问服务地址，验证流量走内网； 抓包确认：无公网出口流量。

四、实战踩坑经验

1. 私有 DNS 必须开启，否则无法自动解析内网域名，需要手动配置 hosts；
2. 接口型终端节点会占用子网 IP，规划子网时预留足够 IP 地址；
3. 终端节点策略优先级高于安全组，权限最小化配置，不要直接放行全部资源；
4. 跨区域场景不支持终端节点，跨区域访问仍需要公网或者云专线；
5. 删除终端节点前，先修改业务代码，停止使用内网域名，避免业务中断。

五、适用场景总结

✅ 内网业务读写 OBS 存储文件 ✅ 应用服务器内网访问 RDS、DCS、APIG ✅ 等保合规要求，减少公网攻击面 ✅ 多 VPC 业务集中访问云原生服务