办公网经 VPC 访问云开发
部分企业不允许业务流量经公网访问云开发。仅靠公网访问控制加 IP 白名单，难以覆盖出口 IP 变化、分支机构和居家办公；自建内网代理则多一跳，还要改造证书与域名。
该链路走纯内网：办公终端经专线或 VPN 进入企业 VPC，再由终端节点（私有连接）直达云开发。企业侧只需创建终端节点，云开发侧开启一个开关，域名解析按需配置。打通后 VPC 内共用，业务代码不改、域名不变。
适用场景
适用
- 办公网或内网已通过专线或 VPN 与某个腾讯云 VPC 打通，具备现成的 VPC 落点。
- 内网办公终端需要直接访问云开发环境承载的站点、HTTP 接口或后台系统。
- 需要关闭环境公网入口，或将公网访问收窄到极少数来源。
- 多个业务系统需要访问同一环境，希望一次打通、长期共用，而非逐个系统配置代理。
不适用
- 没有可用 VPC，也没有专线或 VPN。该链路依赖企业侧 VPC 作为落点。
- 目标只是限制入访来源 IP。使用公网访问控制与来源白名单即可，不必引入私有连接。
- 目标是让云函数、云托管访问企业 VPC 内资源。方向相反，使用对等连接或云联网并绑定服务，与该链路是两条链路。
链路与组件
实线为业务流量，虚线为域名解析。解析指向终端节点 VIP 后，请求直接打到 VIP，不经过公网入口。解析不是链路的必要环节，可选用 Private DNS、本地 hosts 或 DNSPod。
| 组件 | 归属 | 作用 |
|---|---|---|
| VPC 连接 - 跨网络访问 | 云开发控制台 | 环境侧总开关。开启后平台将该账号加入终端节点服务账户白名单，企业才能创建并挂载终端节点 |
| 终端节点 | 企业 VPC | 企业 VPC 内访问云开发的入口。创建成功后分配 IPv4 地址，即后续解析使用的 VIP |
| 终端节点服务 | 云开发（服务方发布） | 由云开发提供，企业通过服务 UIN 与服务 ID 关联 |
| 域名解析（可选） | 企业 Private DNS / hosts / DNSPod | 将环境域名在内网解析到终端节点 VIP。不做解析时，也可直接以 hosts 或 IP 方式访问 |
| 专线或 VPN | 企业 | 打通办公网与 VPC，该链路不涉及改造 |
三个设计取舍：
- 通道建在 VPC 层：终端节点是一次性基础设施，不按业务系统逐个配置。后续新增系统或办公点，只要在同一 VPC 或已打通的网段内，可直接复用。
- 域名不变：业务仍使用环境原有的域名（默认域名或自定义域名），只将内网解析指向 VIP。应用无需改代码、无需重新发版，回滚时删除解析记录即可。
- 入口可收敛：配合“公网访问控制”关闭公网入口后，环境只剩内网一条路径，访问面清晰可审计。
前置条件
| 侧 | 条件 |
|---|---|
| 云开发环境 | 已开启“VPC 连接 - 跨网络访问”。关闭该开关后，新创建的终端节点无法挂载，需重新开启 |
| 云开发环境 | 环境所在地域为上海。该终端节点服务当前仅在上海地域提供，其他地域暂不支持 |
| 云开发环境 | 环境已有可用域名用于访问。默认域名与任意已接入的自定义域名均可，不限制域名类型 |
| 企业侧 | 已在同一地域创建 VPC 与子网，且与云开发侧网段不冲突 |
| 企业侧 | 办公网已通过专线或 VPN 与目标 VPC 打通 |
| 企业侧 | 具备 VPC 终端节点创建权限；选用 Private DNS 方案时另需私有域管理权限 |
实施步骤
步骤 1：创建终端节点
在 VPC 控制台/终端节点创建终端节点，关键参数如下：
| 参数 | 取值 |
|---|---|
| 所在地域 | 上海，必须与环境所在地域一致 |
| 服务类型 | 私有服务 |
| 对端账户类型 | 其他账户 |
| 对端终端节点服务 UIN | 2252646423 |
| 对端终端节点服务 ID | vpcsvc-hwj3hf6o（上海四区）、vpcsvc-763h8db8（上海五区），按 VPC 所在可用区选择 |
| 所属网络与子网 | 企业自己的 VPC 与子网 |
| IPv4 地址 | 自动分配 |
“对端账户类型”必须选“其他账户”，并填入上述服务 UIN 与服务 ID，其余参数按企业 VPC 实际情况选择。
云开发当前仅在上海地域提供该终端节点服务，尚未开放其他地域；环境不在上海时无法完成该链路。
企业账号需加入对端终端节点服务的白名单。开通该权限请联系我们。
创建成功后，终端节点列表会显示分配的 IPv4 地址，即后续解析使用的 VIP，需记录并回填到对接信息中。
步骤 2：配置域名解析（可选）
终端节点只提供 VIP。若希望仍以域名访问环境，需要让域名在内网解析到该 VIP。这一步不是必需的，三种方式任选其一即可：
| 方式 | 适用场景 | 说明 |
|---|---|---|
| Private DNS 私有域 | VPC 内多台终端长期使用 | 建一个私有域并添加 A 记录，VPC 内自动生效，后续新增终端无需逐台配置 |
| 本地 hosts | 少量终端验证或临时排查 | 在终端上直接写 VIP 域名，只影响该终端，不依赖任何 DNS 配置 |
| DNSPod | 域名已托管在 DNSPod | 直接把 A 记录值指向 VIP，适合域名解析统一纳管的场景 |
这里使用的域名不限于平台版的子域名，环境的默认域名和任意已接入的自定义域名都可以。选默认域名时，私有域名称、hosts 主机名或 DNSPod 记录的主机名填该默认域名即可。
方式一：Private DNS
- 在 Private DNS 控制台创建私有域，名称填环境使用的域名，关联 VPC 选步骤 1 中终端节点所在的 VPC。
- 在私有域中添加一条 A 记录：
| 字段 | 取值 |
|---|---|
| 记录类型 | A |
| 主机记录 | @，表示该域名本身 |
| 记录值 | 步骤 1 中终端节点的 VIP |
关联 VPC 必须与步骤 1 一致，否则内网解析不生效。这是实施阶段最常见的返工点。
方式二：本地 hosts
在终端上添加一条记录，改动只对本机生效：
<终端节点 VIP> <环境域名>
方式三：DNSPod
在 DNSPod 中把该域名的 A 记录值改为终端节点 VIP。该记录只在内网可达，公网侧无法访问，不要让公网业务依赖它。
配置完成后，该 VPC 内以及已通过专线或 VPN 打通的网络，均可通过该域名访问环境；不做解析时，也可直接用 VIP 访问。
验收与切换顺序
按以下顺序推进，将影响面控制在最小：
-
保留公网访问，先建链路：终端节点挂载成功后，在内网机器上解析该域名，确认返回终端节点 VIP，而非公网地址。
-
验证连通性：内网执行以下命令，确认环境正常响应，再打开一个业务页面或调用一次业务接口。
curl -v https://<环境域名> -
收紧 VPC 访问控制：如有多个 VPC，在 VPC 访问控制中将来源收敛到指定业务 VPC，避免其他 VPC 借道访问。
-
关闭公网访问：上述验证通过后，再关闭环境公网访问。关闭后所有公网入口失效，仅内网路径可用。
-
回归与观察：切换后观察一个业务周期，重点检查各分支办公网、居家办公，以及仍走公网的历史调用是否被拦截。
第 4 步会使所有公网入口失效。务必在前三步验证完成后再执行，并提前确认回滚方案。
费用归属
该链路跨两边计费，企业侧与云开发侧各承担一部分：
| 计费项 | 承担方 | 说明 |
|---|---|---|
| 终端节点 | 企业 | 终端节点由企业侧创建，费用按腾讯云 VPC 终端节点价格计入企业账号账单，由企业自理 |
| 私有域解析 | 企业 | 选用 Private DNS 方案时，私有域与解析费用同样由企业承担；改用 hosts 或 DNSPod 时按各自规则计费 |
| 云开发网关 VPC 流量 | 云开发 | 经 VPC 链路访问环境产生的流量按出流量计费：0.1元/GB |
VPC 流量只计算响应方向，请求方向不计费。终端节点与解析费用不包含在云开发套餐内，需在商务报价中单独列出。
访问控制组合
云开发网络配置中的三项能力解决不同问题，通常需要全部启用：
| 能力 | 作用域 | 定位 |
|---|---|---|
| 公网访问控制 | 环境公网入访 | 关闭后公网入口全部失效，只剩内网，是合规达标的关键动作 |
| VPC 访问控制 | 经 VPC 连接的来源 | 按来源 VPC ID 配置白名单或黑名单，防止其他 VPC 借道访问 |
| VPC 连接 - 跨网络访问 | 终端节点挂载资格 | 环境侧总开关，决定企业能否创建可挂载的终端节点 |
概括为：跨网络访问开资格，VPC 访问控制定来源，公网访问控制关出口。
风险与注意事项
- 仅支持上海：该终端节点服务目前只在上海地域提供，环境在其他地域时无法建立该链路；上海地域内终端节点也需与环境同地域。
- 私有域关联错 VPC：私有域关联的 VPC 与终端节点所在 VPC 不一致时，解析不生效且报错不明显，实施时需逐项核对。
- VIP 变化：终端节点重建会重新分配地址，需同步更新 A 记录，建议写入企业内部的变更流程。
- 单可用区：一个终端节点只落在一个可用区。要求高可用时，可按可用区各建一个终端节点，在同一私有域下配置多条 A 记录做冗余。
- 计费：终端节点与私有域解析由企业侧承担，云开发侧按 VPC 出流量计费，详见费用归属。
- 公网关闭的连带影响：关闭前需确认没有第三方系统、回调地址或监控探活仍依赖公网域名。
- 与出向链路区分：该链路只解决企业内网访问云开发。若同时需要云开发访问企业 VPC 内数据库或内部服务，属于另一条链路（对等连接或云联网加服务绑定 VPC），不要混用。
对接信息清单
实施前建议确认以下信息，一次性给齐可减少来回沟通：
| 项 | 内容 |
|---|---|
| 环境信息 | 环境所在地域、环境使用的域名（默认域名或自定义域名） |
| 网络信息 | VPC ID、子网、可用区，专线或 VPN 对端与带宽 |
| 权限与账号 | 企业账号 UIN（用于核对终端节点服务白名单）、VPC 与 Private DNS 的操作责任人 |
| 冗余要求 | 是否需要多可用区终端节点，是否需要覆盖多个办公点 |
| 切换窗口 | 公网访问关闭的时间点与回滚预案 |