2026-11-12 · 云沙箱网络隔离阿里云

沙箱拿到 IP 之后，安全边界退到应用层

阿里云 Agent Sandbox 极速版让沙箱在 VPC 内拿到 IP 与端口，SSH、VNC、ADB 可以原生直连。通路修好之后，认证、加密与审计回到应用侧。

阿里云 Agent Sandbox 极速版给沙箱分配了 VPC 内的 IP 与端口，SSH、VNC、ADB 与数据库客户端可以用原生 TCP 直连，不必再包一层 HTTP。

此前这条产品线的接入面都是 HTTP 形态。FC 云沙箱在沙箱内启动 HTTP 服务，再通过 sandbox.getHost(port) 取地址；ACS 的 E2B SDK 按端口使用子域名接入；百炼 Sandbox 走 POST /sandboxes。原生 TCP 是新增的第二条路径。

共享接入把启动速度换成端口状态

给每个沙箱配一张独立弹性网卡，启动要等云平台接口，资源也浪费。极速版改成共享接入：多个沙箱复用同一套接入点，平台维护入口与实例的映射表，沙箱销毁或重建时更新、清理。

代价落在端口状态管理。入口端口是共享资源，范围、分配算法、回收时机官方都未给出。出口侧也有约束，官方文档写明 Linux 临时端口范围默认 32768–60999。

控制面与数据面分开：建连时查表、建规则，连接建立后字节流直接在转发层传输。分离让管理开销不进入数据包路径，也让故障边界更清楚。

原文的原句是：「四层转发提供网络通路，应用仍负责认证、授权和加密；需要加密通信时，应使用相应的安全协议或配置。」

责任共担条款确认同一结论：客户负责应用安全、访问控制、代码审计与有效的认证授权。

四层隧道不带认证是行业常见形态。Fly 的对比文指出，Modal 的端口隧道给的是随机公网 URL，没有认证层。认证必须落到应用：SSH 密钥、VNC 口令、数据库账号。

VNC 的加密取决于服务端配置的 SecurityTypes，没启用 TLS 时可以用 SSH 隧道转发。数据库连接是否加密，取决于数据库自身的 TLS 配置，转发层不介入。

入口端口集中在少数接入点上，VPC 内其他主机只要能到达，就能探测端口段。原文没有讨论误连或扫描其他租户入口端口的情形，租户之间在入口层靠账号鉴权还是靠端口不可预测，官方未披露。

映射陈旧是第二类风险。实例重建或休眠后映射如何处理、旧地址是否失效，官方没有细则。

连接生命周期是第三类。原文写明「实例重建或休眠不等同于连接状态自动保留」，休眠恢复后的连接保持被列为未来探索方向。创建沙箱的输入参数含 sandbox_idle_timeout_seconds，SDK 示例取值 300 秒。

隔离轴管的是沙箱内代码能不能穿透边界。产品页写明每个沙箱运行在独立 MicroVM 环境；E2B 的每个沙箱同样是一个 Firecracker 微虚拟机。

可达轴管的是客户端怎么触达沙箱内的服务。L4 直连放开的是接入协议约束，MicroVM、网络分区、安全组都保留。

两轴正交，责任位置因此移动：隔离强度不因直连下降，可达面扩大后，入口侧配置成为新的暴露面。

安全组最小开放；SSH 只留密钥；VNC 走加密通道；数据库用独立账号；端口申请留台账；连接日志自建；配额按保守值设计。

七项的共同点很清楚：每一项都对应一个官方尚未提供的字段或能力。平台把通路修好，剩下的身份、加密、审计、容量，都要企业自己补齐。