您在函數計算創(chuàng)建的函數，默認可以訪問公網，無法訪問VPC內的資源。如果您需要函數能夠訪問VPC內的資源，或允許指定的VPC來調用函數，那么需要手動為函數配置網絡和權限。本文介紹如何通過函數計算控制臺為函數配置網絡。
注意事項
針對使用ACR企業(yè)版實例容器鏡像創(chuàng)建的Custom Container函數，為該函數配置訪問VPC的能力時，專有網絡和交換機的選擇必須遵循以下原則。
如果ACR企業(yè)版實例的訪問控制頁面的訪問 IP存在默認解析標識，則函數的專有網絡和交換機必須設置為默認解析的IP地址對應的專有網絡和交換機。
如果ACR企業(yè)版實例的訪問控制頁面的訪問 IP不存在默認解析標識，則函數的專有網絡和交換機可以設置為該實例綁定的任意一組。
網絡訪問能力
使用VPC功能會降低函數計算的冷啟動效率，建議非必要勿配置該功能。您可優(yōu)先選擇使用RAM授權方式訪問資源，例如表格存儲Tablestore。
通過網絡地址訪問函數或通過函數訪問網絡地址時，會產生流量。流量可分為以下類型。
公網流量：訪問Internet地址，例如阿里云官網、淘寶網和云服務的公網地址。
VPC內網流量：訪問用戶VPC內的地址，例如RDS地址、NAS地址和VPC中ECS的內網地址。
根據對網絡的不同設置，函數有以下網絡訪問能力，您可按需設置。
函數出流量：是否允許函數訪問公網或VPC內資源的出流量，對應的配置包含允許訪問 VPC和允許函數訪問公網。
表 1. 函數出流量
網絡配置
說明
僅允許函數訪問公網
通過函數網絡訪問公網和內網，禁止通過用戶VPC訪問。所需的網絡配置如下：
設置允許訪問 VPC為否。
設置允許函數訪問公網為是。
僅允許函數訪問VPC
僅通過用戶VPC訪問公網和內網，適用于PrivateZone、NAT網關和函數綁定VPC等場景。所需的網絡配置如下：
設置允許訪問 VPC為是，并配置允許函數訪問的VPC信息。
設置允許函數訪問公網為否。
允許函數既能訪問公網，也能訪問VPC
通過函數網絡訪問公網和通過用戶VPC訪問內網。所需的網絡配置如下：
設置允許訪問 VPC為是，并配置允許函數訪問的VPC信息。
設置允許函數訪問公網為是。
既不允許函數訪問公網，也不允許訪問VPC
通過函數網絡訪問內網，禁止訪問公網和禁止通過用戶VPC訪問。所需的網絡配置如下：
設置允許訪問 VPC為否。
設置允許函數訪問公網為否。
函數入流量：是否允許通過公網地址或VPC地址訪問函數的入流量，對應的配置為僅允許指定 VPC 調用函數。
表 2. 函數入流量
網絡配置
說明
允許通過公網和VPC同時訪問函數
函數創(chuàng)建完成后，默認可以通過公網和VPC調用函數。默認的網絡配置如下：
設置僅允許指定 VPC 調用函數為否。
僅允許通過VPC訪問函數
允許通過指定的VPC調用函數，并禁止通過公網調用函數。所需的網絡配置如下：
設置僅允許指定 VPC 調用函數為是，并配置允許調用函數的VPC信息。
函數計算支持的可用區(qū)
地域 | 地域ID | 函數計算支持的可用區(qū) |
華東1（杭州） | cn-hangzhou |
|
華東2（上海） | cn-shanghai |
|
華北1（青島） | cn-qingdao | cn-qingdao-c |
華北2（北京） | cn-beijing |
|
華北3（張家口） | cn-zhangjiakou |
|
華北5（呼和浩特） | cn-huhehaote |
|
華南1（深圳） | cn-shenzhen |
|
西南1（成都） | cn-chengdu |
|
中國香港 | cn-hongkong |
|
新加坡 | ap-southeast-1 |
|
馬來西亞（吉隆坡） | ap-southeast-3 | ap-southeast-3a |
印度尼西亞（雅加達） | ap-southeast-5 |
|
日本（東京） | ap-northeast-1 |
|
英國（倫敦） | eu-west-1 | eu-west-1a |
德國（法蘭克福） | eu-central-1 |
|
美國（硅谷） | us-west-1 |
|
美國（弗吉尼亞） | us-east-1 |
|
如果您的資源所在的可用區(qū)不在函數計算支持的可用區(qū)中，可以通過在您的VPC環(huán)境中創(chuàng)建一個函數計算支持的可用區(qū)內的交換機，并在函數計算的函數的VPC配置中設置此交換機ID。由于同一VPC內不同交換機之間私網互通，因此函數計算可以通過該交換機訪問在其他可用區(qū)的VPC內的資源。具體步驟，請參見遇到vSwitch is in unsupported zone的錯誤怎么辦？。
前提條件
（可選）創(chuàng)建網絡資源
如果您未創(chuàng)建相關資源，可在具體配置時，選擇自動配置。否則，需按以下文檔操作指導提前創(chuàng)建相關資源：
配置網絡和角色
登錄函數計算控制臺，在左側導航欄，單擊函數。
在頂部菜單欄，選擇地域，然后在函數頁面，單擊目標函數。
在函數配置頁面，選擇配置頁簽。
在左側導航欄，選擇網絡頁簽，單擊編輯，在網絡面板根據實際情況修改以下配置項，然后單擊部署。
允許訪問 VPC：是否允許函數訪問VPC內資源。取值說明如下。
是：允許函數訪問VPC內資源。選擇是后，需選擇配置方式，取值說明如下：
（推薦）自動配置：函數計算會為您自動創(chuàng)建專有網絡、交換機和安全組等資源，無需您手動創(chuàng)建。創(chuàng)建完成后，也可再次按需修改。
說明自動創(chuàng)建的網絡資源均以fc.auto.create開頭。
自定義配置：您需手動選擇已有的網絡資源，請確保您已提前創(chuàng)建好相關資源。
專有網絡：在列表中選擇要訪問的VPC ID。
重要選擇的VPC最多只能創(chuàng)建10個交換機。
交換機：在列表中選擇交換機ID，至少需選擇一個交換機ID。
該字段限定了函數計算可以訪問的子網，建議設置兩個或多個交換機ID。當一個可用區(qū)出現故障或IP地址不足時，您的函數可以在其他子網下運行。
安全組：在列表中選擇安全組ID。
此安全組是函數計算所在的安全組，安全組限定了函數計算在VPC中的出入站規(guī)則。需要設置您的VPC所在安全組的入站規(guī)則為允許函數計算所在的安全組訪問。否則，函數計算無法順暢地訪問您的VPC內資源。
否：不允許函數訪問VPC內資源。
固定公網 IP：是否通過NAT網關和彈性公網IP地址獲得一個固定的公網出口IP地址。具體信息，請參見配置固定公網IP地址。
允許函數默認網卡訪問公網：是否允許函數訪問公網。取值說明如下。
是：允許函數訪問公網。
否：不允許函數訪問公網。
僅允許指定 VPC 調用函數：是否允許指定的VPC調用函數。取值說明如下。
是：允許指定的VPC調用函數。需注意以下事項。
同一個函數最多綁定20個VPC。
設置僅允許指定VPC調用函數后，使用觸發(fā)器調用函數不受影響。
VPC綁定后對函數的所有版本和別名生效。
設置允許指定VPC調用函數后，會拒絕來自公網和其他VPC的調用請求，
StatusCode為403，ErrorCode為AccessDenied，錯誤信息為Resource access is bound by VPC: VPC ID。只允許使用私網HTTP接入點綁定VPC，不允許使用公網接入點和私網HTTPS接入點綁定VPC。
否：不允許指定VPC調用函數，僅允許通過公網調用函數。
常見問題
為什么函數計算無法成功接入VPC調試？
如果您的函數中已經設置允許函數訪問VPC，卻無法成功接入VPC，可能原因如下。
交換機所在的子網故障或子網中的IP地址已用盡，您可以在配置VPC時提供兩個或者多個交換機ID，如果一個可用區(qū)出現故障，您的函數可以在其他可用區(qū)運行，提高容錯能力。
安全組配置錯誤，請您按照以下要求配置安全組。
需要設置VPC中的安全組的入站規(guī)則為允許函數計算所在的安全組訪問。
安全組出口方向需要允許ICMP協議，函數計算會通過ICMP協議檢查VPC網絡聯通性。
安全組的具體配置步驟，請參見添加安全組規(guī)則。
新增網絡資源時，發(fā)現資源不足該怎么辦？
如果您在創(chuàng)建VPC網絡資源時，自動配置提供的網絡前綴長度為24，可用IP地址數量是252個，如果實例數量過多，有可能會超出限制。此時，您需手動調整交換機IP地址網段，以及對應的安全組。
故障排查
函數計算無法在設置vpcConfig時對訪問VPC的權限進行檢測，而需要在執(zhí)行函數時檢測，因此在通過InvokeFunction接口調用函數時會引入一些新的錯誤類型。下表描述了接入VPC時一些常見的錯誤，以便您迅速排查問題。
錯誤碼 | 狀態(tài)碼 | 問題原因 | 解決方案 |
InvalidArgument | 400 | 函數計算不支持您提供的vSwitchId所在的可用區(qū)。 | 重新設置vSwitchId。具體信息，請參見函數計算支持的可用區(qū)。 |
未找到vpcConfig中的vpcId、vSwitchIds或securityGroupId對應的資源。 | 檢查vpcConfig參數設置。 | ||
設置的交換機或安全組不在相應的VPC中。 | 檢查vpcConfig參數設置，確保vSwitchId和securityGroupId對應的資源在vpcId對應的VPC中。 | ||
AccessDenied | 403 | 未提供對ENI的操作授權。 | 檢查函數的權限。更多信息，請參見授予函數計算訪問其他云服務的權限。 |
ResourceExhausted | 429 | 交換機的網段內可用IP不足，函數計算無法創(chuàng)建更多的ENI。 | 創(chuàng)建一個網段更大的交換機，并更新vpcConfig的vSwitchId參數。 說明 建議您使用 |
相關文檔
如需訪問VPC內的數據庫，建議您使用配置IP地址白名單的方式訪問數據庫，白名單中填寫的IP地址段為您在此頁面配置的交換機所屬IP地址段。更多信息，請參見訪問數據庫。
如需限制函數公網訪問出口流量，需使用固定IP地址來實現。具體操作，請參見配置固定公網IP地址。