本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
通过以下方式访问网络分段 Amazon PrivateLink
您可以使用隧道 VPC 终端节点（隧道终端节点）私下访问另一个 VPC 中的网段。隧道终端节点允许您私密安全地访问位于另一个网络中一组 CIDR 范围内的资源。CIDR 范围代表一个网络分段，因此消费者应用程序可以访问该网段内的任何资源，而无需提供商枚举每个资源。当资源是临时的或事先不知道时，这很有用。隧道终端节点要求您使用 GENEVE 封装通过隧道进入另一个 VPC。
定价
当您使用隧道终端节点访问网段时，您需要按预置隧道终端节点的每小时计费。当您访问网段时，还要按处理的 GB 数据向您收费。有关更多信息，请参阅Amazon PrivateLink
定价
概述
您可以访问您的账户中的网段或已从其他账户与您共享的网段。要访问网段，您需要先创建隧道终端节点，该终端节点将在您的 VPC 与共享网段的 VPC 中的资源网关之间建立连接。然后，您可以使用 GENEVE 封装应用程序流量并将其发送到隧道端点。终端节点删除 GENEVE 标头并将内部数据包发送到其在另一个 VPC 中的目的地。这样做时，它会检查目标是否位于另一个 VPC 与您共享的网段内。如果它位于外部，则该端点不允许访问它。
注意事项
-
隧道端点的子网必须与资源网关所在子网 可用区 的子网重叠。 可用区
-
网络连接只能从具有隧道终端节点的 VPC 启动，不能从共享网段的 VPC 启动。网络分段 VPC 无法启动与终端节点 VPC 的网络连接。
GENEVE 封装
应用程序流量必须封装在 GENEVE 中。GENEVE 流量必须在隧道端点上使用 UDP 和端口 6081。VNI 必须设置为。0内部数据包必须是第 3 层 IP 数据包。在内部数据包中，UDP 仅支持 DNS 查询。内部数据包中的常规应用程序流量必须是 TCP。
DNS 主机名
隧道终端节点具有区域 DNS 名称。它解析为创建隧道端点的子网中的 IP。这些 IP 应该是您的 GENEVE-encapsulated 流量的目标，而不是应用程序流量的目标。隧道端点不支持私有 DNS 名称。
DNS 解析
隧道终端节点允许您在共享网段的 VPC 环境中解析 DNS。您可以通过隧道终端节点针对远程 VPC 的 DNS 解析器解析域。为此，您可以用169.254.168.253作域名服务器。您可以将其设置为内部数据包中 DNS 查询的目的地，然后将其封装在 GENEVE 中，就像处理应用程序流量一样。DNS 解析看起来与远程 VPC 中客户端的解析相同。它基于远程 VPC 配置的 DHCP 选项集。它尊重在远程 VPC 中配置的 Route 53 私有托管区域或自定义解析器。
私有 DNS
隧道端点不支持私有 DNS 名称。
子网和 可用区
您可以为每个可用区配置一个子网，将隧道终端节点配置为一个子网。弹性网络接口是为这些子网中的终端节点创建的。根据端点的 IP 地址类型，会为其子网中的每个 ENI 分配 IP 地址。在生产环境中，为了实现高可用性和灵活性，我们建议 可用区 为每个端点配置至少两个端点。终端节点的子网必须与资源网关所在子网 可用区 的子网重叠。 可用区
IP 地址类型
外部和内部数据包可以具有不同的 IP 类型。支持以下组合：基于 IPv4 的 IPv4、基于 IPv4 的 IPv6、通过 IPv6 的 IPv4 和基于 IPv6 的 IPv6。
隧道端点的 IP 类型决定外部 GENEVE 数据包的 IP 类型。远程 VPC 的 IP 类型决定内部数据包的 IP 类型。共享的网段可以同时具有 IPv4 和 IPv6 范围。
隧道端点支持 IPv4、IPv6 或双栈地址。隧道端点的 IP 地址类型必须与隧道端点的子网兼容，如下所述：
-
IPv4 — 为隧道端点分配 IPv4 地址。仅当端点的所有子网都有 IPv4 范围时才支持。
-
IPv6 — 为隧道端点分配 IPv6 地址。仅当终端的所有子网都有 IPv6 范围时才支持。
-
双栈 — 为隧道端点分配 IPv4 和 IPv6 地址。仅当终端的所有子网都具有 IPv4 和 IPv6 范围时才支持。
无法从互联网访问端点的 IPv6 地址。denyAllIgwTraffic已在其网络接口上启用。