本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 通过以下方式访问网络分段 Amazon PrivateLink
<a name="privatelink-access-cidr-ranges"></a>

您可以使用隧道 VPC 终端节点（隧道终端节点）私下访问另一个 VPC 中的网段。隧道终端节点允许您私密安全地访问位于另一个网络中一组 CIDR 范围内的资源。CIDR 范围代表一个网络分段，因此消费者应用程序可以访问该网段内的任何资源，而无需提供商枚举每个资源。当资源是临时的或事先不知道时，这很有用。隧道终端节点要求您使用 GENEVE 封装通过隧道进入另一个 VPC。

**定价**  
当您使用隧道终端节点访问网段时，您需要按预置隧道终端节点的每小时计费。当您访问网段时，还要按处理的 GB 数据向您收费。有关更多信息，请参阅[Amazon PrivateLink 定价](https://www.amazonaws.cn/privatelink/pricing/)。当您使用资源配置和资源网关共享网段时，按资源网关处理的 GB 数据向您收费。有关更多信息，请参阅[Amazon VPC Lattice 定价](https://www.amazonaws.cn/vpc/lattice/pricing/)。

**Topics**
+ [概述](#cidr-endpoint-overview)
+ [GENEVE 封装](#cidr-endpoint-geneve)
+ [DNS 主机名](#cidr-endpoint-dns)
+ [DNS 解析](#cidr-endpoint-dns-resolution)
+ [私有 DNS](#cidr-endpoint-private-dns)
+ [子网和 可用区](#cidr-endpoint-subnets-zones)
+ [IP 地址类型](#cidr-endpoint-ip-address-type)
+ [创建隧道端点](use-cidr-endpoint.md)

## 概述
<a name="cidr-endpoint-overview"></a>

您可以访问您的账户中的网段或已从其他账户与您共享的网段。要访问网段，您需要先创建隧道终端节点，该终端节点将在您的 VPC 与共享网段的 VPC 中的资源网关之间建立连接。然后，您可以使用 GENEVE 封装应用程序流量并将其发送到隧道端点。终端节点删除 GENEVE 标头并将内部数据包发送到其在另一个 VPC 中的目的地。这样做时，它会检查目标是否位于另一个 VPC 与您共享的网段内。如果它位于外部，则该端点不允许访问它。

### 注意事项
<a name="cidr-endpoint-considerations"></a>
+ 隧道端点的子网必须与资源网关所在子网 可用区 的子网重叠。 可用区 
+ 网络连接只能从具有隧道终端节点的 VPC 启动，不能从共享网段的 VPC 启动。网络分段 VPC 无法启动与终端节点 VPC 的网络连接。

## GENEVE 封装
<a name="cidr-endpoint-geneve"></a>

应用程序流量必须封装在 GENEVE 中。GENEVE 流量必须在隧道端点上使用 UDP 和端口 6081。VNI 必须设置为。`0`内部数据包必须是第 3 层 IP 数据包。在内部数据包中，UDP 仅支持 DNS 查询。内部数据包中的常规应用程序流量必须是 TCP。

## DNS 主机名
<a name="cidr-endpoint-dns"></a>

隧道终端节点具有区域 DNS 名称。它解析为创建隧道端点的子网中的 IP。这些 IP 应该是您的 GENEVE-encapsulated 流量的目标，而不是应用程序流量的目标。隧道端点不支持私有 DNS 名称。

## DNS 解析
<a name="cidr-endpoint-dns-resolution"></a>

隧道终端节点允许您在共享网段的 VPC 环境中解析 DNS。您可以通过隧道终端节点针对远程 VPC 的 DNS 解析器解析域。为此，您可以用`169.254.168.253`作域名服务器。您可以将其设置为内部数据包中 DNS 查询的目的地，然后将其封装在 GENEVE 中，就像处理应用程序流量一样。DNS 解析看起来与远程 VPC 中客户端的解析相同。它基于远程 VPC 配置的 DHCP 选项集。它尊重在远程 VPC 中配置的 Route 53 私有托管区域或自定义解析器。

## 私有 DNS
<a name="cidr-endpoint-private-dns"></a>

隧道端点不支持私有 DNS 名称。

## 子网和 可用区
<a name="cidr-endpoint-subnets-zones"></a>

您可以为每个可用区配置一个子网，将隧道终端节点配置为一个子网。弹性网络接口是为这些子网中的终端节点创建的。根据端点的 IP 地址类型，会为其子网中的每个 ENI 分配 IP 地址。在生产环境中，为了实现高可用性和灵活性，我们建议 可用区 为每个端点配置至少两个端点。终端节点的子网必须与资源网关所在子网 可用区 的子网重叠。 可用区 

## IP 地址类型
<a name="cidr-endpoint-ip-address-type"></a>

外部和内部数据包可以具有不同的 IP 类型。支持以下组合：基于 IPv4 的 IPv4、基于 IPv4 的 IPv6、通过 IPv6 的 IPv4 和基于 IPv6 的 IPv6。

隧道端点的 IP 类型决定外部 GENEVE 数据包的 IP 类型。远程 VPC 的 IP 类型决定内部数据包的 IP 类型。共享的网段可以同时具有 IPv4 和 IPv6 范围。

隧道端点支持 IPv4、IPv6 或双栈地址。隧道端点的 IP 地址类型必须与隧道端点的子网兼容，如下所述：
+ IPv4 — 为隧道端点分配 IPv4 地址。仅当端点的所有子网都有 IPv4 范围时才支持。
+ IPv6 — 为隧道端点分配 IPv6 地址。仅当终端的所有子网都有 IPv6 范围时才支持。
+ 双栈 — 为隧道端点分配 IPv4 和 IPv6 地址。仅当终端的所有子网都具有 IPv4 和 IPv6 范围时才支持。

无法从互联网访问端点的 IPv6 地址。`denyAllIgwTraffic`已在其网络接口上启用。