SSH 与服务器访问
将生产环境和堡垒机的 SSH 访问锁定到一个已知 IP。一条防火墙规则覆盖整个工程团队，再也没有“我的 IP 变了”之类的支持工单。
面向开发者和 DevOps 团队的 VPN
面向开发者的 VPN 为您的工程团队提供一个用于连接的静态 IP 地址，让您可以在每个防火墙、云安全组和预发布环境中只把一个 IP 加入白名单，而不必管理那些一换地点就变化的开发者个人 IP。专属 VPN 基础设施意味着 IP 永不轮换，每次会话都有记录，开发者一离开团队即可撤销其访问。
为什么开发者需要专属静态 IP VPN
当您需要一个可预期、可信任的出口地址来访问基础设施时，面向开发者的 VPN 最能体现价值
锁定预发布环境
将预发布环境的负载均衡器或 URL 限制为只接受来自您专属 VPN IP 的流量。每位开发者都通过 VPN 访问预发布环境，不暴露在公网上。
CI/CD 流水线白名单
让自托管运行器或流水线代理经由专属 VPN IP 转发。即使流水线基础设施扩展或变化，防火墙规则也永远保持不变。
内部 API 访问
需要访问内部 API、执行数据库迁移或推送到私有镜像仓库的流水线，都可以通过一个白名单 IP 可靠地完成。
数据库白名单
将生产和预发布数据库锁定到一个受信任的 IP。无论是 RDS 还是 Cloud SQL，一条防火墙规则即可覆盖团队中的每位开发者和每条流水线。
SSH 访问，告别防火墙烦恼
每位开发者的家庭 IP 都不一样：防火墙规则会变成一长串例外，一旦有人出差或更换 ISP 就会失效
问题所在
按开发者管理防火墙例外非常脆弱。每次新人入职、远程办公或更换 ISP 都会产生一张支持工单。生产环境和堡垒机的访问变成了手动且容易出错的流程。
解决方案
所有开发者都通过同一个静态 IP 连接。一条防火墙规则即可永久覆盖整个团队。将生产环境和堡垒机的 SSH 访问锁定到一个已知地址，从此一劳永逸。
将预发布环境和 CI/CD 锁定到一个已知 IP
暴露在公共互联网上的预发布环境和动态变化的 CI/CD 运行器 IP，是两种常见却本可避免的风险来源
锁定预发布环境
将预发布环境的 URL 或负载均衡器限制为只接受来自您专属 VPN IP 的流量。每位开发者都通过 VPN 访问预发布环境，没有例外，不暴露在公网上。
- AWS ALB 监听器规则：按源 IP 限制
- GCP Cloud Armor 策略：仅允许您的静态 IP
CI/CD 流水线白名单
GitHub Actions、GitLab CI 和 Jenkins 的托管运行器使用动态 IP，每次运行都会变化，没有固定的出口地址就无法设置 IP 白名单。
- 让自托管运行器经由专属 VPN IP 转发
- 只需一个白名单 IP，即可让流水线访问内部 API
- 从流水线可靠地执行数据库迁移
- 推送到私有镜像仓库，无需公网暴露
一个 IP，处处白名单
将整个工程技术栈中所有基于 IP 的访问控制，合并为一条防火墙条目
云安全组
AWS 和 GCP 都支持基于 IP 的安全规则。一个静态 IP 条目即可覆盖您整个工程团队在所有云账户中的访问。
SaaS IP 限制
Datadog、PagerDuty、GitHub Enterprise、Jira 以及大多数企业级 SaaS 工具都支持 IP 白名单。设置一次，长期有效。
第三方 API 提供商
许多支付处理商、数据提供商和外部 API 都会按 IP 限制入站请求。静态 VPN IP 让这一限制变得轻而易举。
内部工具与管理后台
将内部仪表板、管理界面和监控工具的访问限制为 VPN IP：无需额外基础设施的轻量级访问控制。
数据库
AWS RDS、Cloud SQL 和自托管数据库都支持基于 IP 的访问控制。只需将您的静态 VPN IP 加入白名单一次，即可永久限制所有其他入站连接。
清楚任何事件时段内谁拥有访问权限
访问日志与每位开发者的凭据绑定，不存在共享 IP 带来的歧义
精确归属到每位开发者
每次会话都与个人凭据绑定，不存在共享 IP 带来的歧义。“谁拥有访问权限？”这个问题，您可以精确回答。
事件响应
发生事件时，访问日志能让您准确看到谁在何时连接，从而缩小调查范围、缩短响应时间。
可导出的记录
访问日志按用户记录连接事件。随着功能不断完善，授予和撤销事件也将被记录，让您清楚掌握访问历史。
常见问题
关于面向开发者和 DevOps 团队的 VPN 基础设施的常见问题
静态 IP VPN 对开发者有什么帮助？
静态 IP VPN 为您的整个工程团队提供一个固定的 IP 地址用于连接。这意味着您只需一条防火墙规则就能覆盖所有开发者，在每个 SaaS 工具和云安全组中只需加入一个 IP，再也不用管理那些频繁变化的个人家庭 IP。
我可以用独享 IP VPN 实现 CI/CD 流水线访问吗？
可以。让您自托管的 CI/CD 运行器或流水线代理经由专属 VPN IP 转发，您就可以在防火墙或云安全组中只加入一个静态 IP，并长期依赖它，无论流水线在哪里运行。
我可以通过 API 开通和撤销开发者的 VPN 访问吗？
可以。PrivyNet 提供用于管理凭据的 API，您可以将入职和离职流程自动化，融入现有的开发工作流。
如果有开发者离开团队，防火墙规则会怎样？
防火墙规则无需任何改动：静态 IP 保持不变。您只需在控制台中或通过 API 撤销离职开发者的 VPN 凭据。防火墙规则继续为团队其他成员保留。
PrivyNet 支持 GitHub Actions、GitLab CI 或 Jenkins 吗？
可以。这三个平台的自托管运行器和流水线代理都可以配置为经由 PrivyNet 的专属 VPN IP 转发，让您的流水线拥有一个固定的出口地址，便于设置防火墙白名单。
给工程团队一个 IP，统管一切
一个静态 IP。在团队使用的每个防火墙、安全组和 SaaS 工具中只需加入白名单一次，从此不必再维护开发者 IP 列表。
一个静态 IP
支持 SSH 和 CI/CD
通过 API 管理凭据
