场景描述
很多金融或其他领域的业务场景对网络安全要求很高，不允许计算资源有出入vpc网络环境的权限，但是由于当前阿里云大量服务组件的openapi都是只能以公网方式访问，而且ACK（阿里云容器服务kubernetes版）因为需要通过对接openapi和其他云服务及基础设施打通，所以ACK集群网络需要通过SNAT的配置具备出公网的权限（不需要入），如果我们当前的业务需求不允许有出公网的权限，同时我们又希望能很好的使用ACK服务及ACK对接的周边云服务，那么我们可以参考下面的方法来实现。
解决思路
通过云防火墙规则的配置，放行ACK集群所关联的SNAT的eip对阿里云openapi的访问，并拒绝非阿里云openapi相关的公网访问。
创建ACK集群
在ACK控制台上，按照常规方法进行ACK集群的创建，如果集群网络中没有SNAT访问，我们可以自行去NAT网管进行配置，也可以在容器创建集群的控制台上勾选下面的配置：
打开防火墙开关
当k8s集群创建成功后，我们可检查下相关系统组件是否已成功运行，如集群一切正常，首先，我们在云监控中找到“防火墙开关”，打开保护对应SNAT相关联的eip
访问配置
找到访问控制，并新增两个内对外的策略，访问源为snat eip的ip地址
放行策略如下（放行 *.aliyuncs.com域名）：
拒绝策略如下：
注意：配置放行策略优先级高于拒绝策略
结果:
所有ACK集群系统组件及周边对接组件均可正常工作，同时关闭了容器中访问公网的权限，另外，通过云防火墙，ACK集群可拥有更细粒度的网络管控能力。