QoderWake必须在企业VPC内网中完全隔离运行以满足强合规要求。需删除默认外网路由、禁用所有公网依赖组件、强制使用内网地址访问后端服务，并通过网络ACL与Pod安全组双重拦截出向流量。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
您需要让QoderWake在企业VPC内网中完整运行，确保所有数据处理、模型调用、日志存储、API通信均不穿越公网边界，满足等保三级、GDPR或金融行业数据不出域的强合规要求。
确认QoderWake部署环境已脱离公网拓扑
登录目标VPC所属云平台控制台，进入【虚拟私有云】→【路由表】，找到QoderWake所在子网绑定的路由表。
检查路由条目：若存在目标网段为 0.0.0.0/0 且下一跳为“Internet网关”或“NAT网关”的条目，必须立即删除。该路由会默认放行所有出向流量，使QoderWake进程可能通过系统DNS或SDK默认配置外连。
验证方式：在QoderWake宿主机执行 ip route show | grep default，输出为空即表示无默认外网路由。
关闭所有非必要公网依赖组件
进入QoderWake管理控制台【系统设置】→【连接管理】，逐项检查：
禁用“在线模型更新通知”开关——该功能默认轮询阿里云公共OSS桶获取热更新清单，会触发HTTPS出向请求。
将“日志上报地址”字段留空或填入本地ELK集群HTTP端点（如 http://10.128.3.45:9200），不得填写以 .aliyuncs.com、.qoder.ai 或 https://api. 开头的任何地址。
取消勾选“启用第三方插件市场自动同步”，防止Qoder CLI后台静默拉取外部Connector描述文件。
强制走内网通道访问依赖服务
第一步：确认QoderWake所依赖的全部后端服务均已部署在同一VPC内，包括数据库、对象存储、消息队列、密钥管理服务（KMS）。
代码编辑 CLI 工具集合：Cursor CLI（agent）和 Qoder CLI（qodercli），用于代码修改、重构、Code Review 及自动化代码任务。
第二步：修改QoderWake配置文件 /opt/qoderwake/conf/application.yaml，将所有服务地址替换为内网域名或私有IP：
例如将 oss-endpoint: oss-cn-hangzhou.aliyuncs.com 改为 oss-endpoint: oss-cn-hangzhou-internal.aliyuncs.com；将 db-host: rds-prod.qoder.ai 改为 db-host: 10.128.5.18。
第三步：重启服务：systemctl restart qoderwake。重启后执行 curl -v http://10.128.5.18:3306 2>&1 | grep "Connected" 验证数据库连通性，避免因地址写错导致服务启动失败。
启用VPC级网络ACL与Pod安全组双重拦截（TKE场景）
方法一：在云平台【网络ACL】中，为QoderWake所在子网添加拒绝规则：
规则方向：出方向｜源IP：10.128.0.0/16｜目标IP：0.0.0.0/0｜协议：ALL｜端口：ALL｜策略：拒绝。
方法二：若QoderWake以Pod形式运行于TKE超级节点，需额外绑定Pod安全组：
在容器服务控制台 → 集群 → 安全组策略 → 创建SecurityGroupPolicy，选择已创建的仅允许内网通信的安全组ID，并指定标签 selector: app=qoderwake。
注意：Pod安全组仅对K8s 1.20+且调度至超级节点的Pod生效，普通Worker节点不支持该能力。
