基于PAI+专属网关+私网连接：构建全链路 Deepseek 云上私有化部署与模型调用架构

DeepSeek - R1 是由深度求索公司推出的首款推理模型，该模型在数学、代码和推理任务上的表现优异，市场反馈火爆。在大模型技术商业化进程中，企业级用户普遍面临四大核心挑战：

• 算力投入成本高昂：构建千亿参数级模型的训练与推理集群需巨额开支，导致中小企业难以跨越技术准入门槛；
• 算力资源供应紧张：一线城市 GPU 集群受限于硬件供应短缺与资源抢占激烈，算力资源不足；
• 模型部署复杂：从算法适配、性能调优到业务系统集成的端到端部署周期动辄数月，部署困难；
• 数据安全合规风险：传统公网调用模式存在数据泄露隐患，难以满足企业对核心数据安全防护的严苛要求。

对于对数据主权敏感、业务全球化、需长期技术自主权的企业来说，其在 AI 商业化进程中实现技术可控、成本可控、风险可控尤为重要，基于以上基本诉求，此类客户更加注重：

1. 自主可控的 AI 部署能力：

• 需要灵活管理模型版本、算法优化路径，而非完全依赖第三方 API 接口。
• 可定制模型（如微调预训练模型或集成自研算法）。

3. 数据隐私与合规性保障：

• 核心业务数据（如客户隐私、生产数据、财务数据）需在私有网络内处理，避免公网暴露风险。

4. 跨区域业务协同需求：

• 全球化业务需在不同区域（如亚洲、欧洲、美洲）部署低延迟的AI推理服务。

5. 成本与资源效率优化：

• AI 推理使用量大，避免 API 的高单价调用成本，需自主可控的按需弹性调度算力资源。

为了解决以上问题，阿里云推荐使用基于阿里云 PAI+ 专属网关 + 私网连接解决方案：破解大模型落地的技术与资源瓶颈。

阿里云 PAI 目前已经支持一键部署 DeepSeek-V3、DeepSeek-R1 模型，结合乌兰察布的 GPU 资源与阿里云 CEN 全球骨干网能力，配合使用专属网关 + 私网连接，企业可快速搭建：

1. 全球骨干级内网通道：通过 CEN 云企业网打通全球 VPC 与本地混合云，实现内网级访问延迟

2. 全链路零公网暴露：专属网关 + 私网连接确保模型调用、数据传输全程私有化

3. 东数西算算力网络：低成本利用乌兰察布算力资源，支撑全球业务的 AI 推理需求

通过此方案可以帮助企业级用户搭建东数西算核心算力网络，快速构建零公网暴露的云上私有化部署与模型调用架构。

场景示例

本文以下图场景为例。某企业在阿里云华东（上海）地域创建了专有网络 VPC1，在该 VPC1 中有业务环境。为了业务环境的稳定性和安全性，该企业希望在乌兰察布使用 PAI 部署一套自有的云上 Deepseek 模型调用环境，提供给上海的业务集群使用，并要求私网访问，以构建全链路私有化部署与模型调用架构。

前提条件

• 您已在乌兰察布地域创建了专有网络 VPC1，并在两个可用区内创建两台交换机
  VSW1、VSW2，创建了对应的安全组。具体操作，请参见创建专有网络，创建和管理交换机。
• 您已在上海地域创建了专有网络 VPC2，并在两个可用区内创建两台交换机
  VSW3、VSW4，创建了对应的安全组。具体操作，请参见创建专有网络，创建和管理交换机。
• 您已分别在 VSW3 和 VSW4 中创建 ECS01 和 ECS02 实例。
• 您已创建云企业网 CEN，并分别在上海、乌兰察布创建好转发路由器 TR，并将 VPC1 和 VPC2 互相打通，具体步骤请参考跨地域
  VPC 互通。

步骤一：使用模型在线服务 EAS，一键搭建 DeepSeek-R1 模型

1. 登录人工智能平台 PAI。

2. 在顶部菜单栏，选择 PAI 所属的地域。

3. 在左侧导航栏，选择模型部署 > 模型在线服务（ EAS ）。

4. 在推理服务中，点击部署服务。

5. 在场景化模型部署中，选择 LLM 大语言模型部署。
   
   

6. 点击部署。

步骤二：在 EAS 模型在线服务中创建专属网关，打通服务调用所属 VPC

1. 在模型在线服务（ EAS ）菜单栏中，切换到专属网关页签，新建专属网关 > 新建后付费专属网关。
   

2. 在模型在线服务（ EAS ）菜单栏中，切换到专属网关页签，新建专属网关 > 新建后付费专属网关（按量付费）。

3. 购买完成后，为专属网关添加专有网络。
   单击专属网关名称，在开通相关服务后，在网关详情页面网关访问控制 > 专有网络页签，添加乌兰察布地域专有网络 VPC1 ，交换机 VSW2。创建后，在乌兰察布地域进入私网连接 > 终端节点，可以看到专属网关自动已经创建好对应的接口终端节点。
   
   

4. 为专属网关关联其他 VPC，本文选择华东（上海）地域 VPC1。
   
   

创建后，在云解析 Privatezone > 域名设置里，可以看到专属网关已自动创建好对应的 VPC 内网解析。

5. 修改专属网关白名单设置，放通对应的 VPC 网段。

步骤三：将模型在线服务 EAS 加入到对应专属网关

1. 在模型在线服务（ EAS ）菜单栏中，切换到推理服务页签，在对应模型服务的操作菜单中点击更新。
   
2. 在页签的右上角点击切换为自定义部署，下拉菜单到服务功能页签，选择已经创建的专属网关，并更新配置。
   
   
3. 在模型在线服务（ EAS ）菜单栏中，切换到推理服务页签，在对应模型服务的服务方式菜单中点击调用信息。
   
   选择 VPC 地址调用，可以看到对应的模型服务地址以及 Token 信息
   

步骤四：测试使用私网调用 EAS 模型服务

1. 登录上海地域 VPC2 内的 ECS01，并将 EAS 模型服务对应的 Token 添加到环境变量中。

执行以下命令，将环境变量设置追加到 ~/.bashrc 文件中：
# 用对应的调用 Token 代替 <你的EAS的TOKEN>

echo "export EAS_TOKEN=<你的EAS的TOKEN>" >> ~/.bashrc

执行以下命令，刷新环境变量设置

source ~/.bashrc

2. 使用私网 HTTP / HTTPS 调用模型服务

示意如下，其中，< model_name > 请替换为模型列表接口 <EAS_ENDPOINT>/v1/models 获取的模型名称，< EAS_ENDPOINT > 请替换为 EAS VPC 地址调用的域名。

备注：调用方式可以为 HTTP / HTTPS.

curl -X POST \-H "Content-Type: application/json" \    -H "Authorization: Bearer $EAS_TOKEN" \    -d '{"model": "<model_name>",        "messages": [        {      "role": "system",            "content": "You are a helpful assistant."        },        {            "role": "user",            "content": "hello!"       }        ]    }' \    <EAS_ENDPOINT>/v1/chat/completions

返回成功响应表明私网调用 DeepSeek - R1 通道 已成功建立。

（可选）步骤五：使用 EAS 专属网关公网调用能力

1. 为专属网关添加公网访问能力。

单击专属网关名称，在开通相关服务后，在网关详情页面网关访问控制 > 公网页签，打开访问入口按钮，并添加公网访问白名单。

2. 使用公网 HTTP / HTTPS 调用模型服务

示意如下，< EAS_TOKEN > 请替换为 EAS 的 Token 信息，< model_name > 请替换为模型列表接口 <EAS_ENDPOINT>/v1/models 获取的模型名称，

< EAS_ENDPOINT > 请替换为 EAS 公网调用的地址。

备注：调用方式可以为 HTTP / HTTPS.

curl -X POST \-H "Content-Type: application/json" \-H "Authorization:  <EAS_TOKEN>" \-d '{"model": "<model_name>","messages": [{"role": "system","content": "You are a helpful assistant."},{"role": "user","content": "hello!"}]}' \<EAS_ENDPOINT>/v1/chat/completions

使用本地设备测试，返回成功响应表明公网调用 DeepSeek - R1 通道 已成功建立。

阿里云通过 PAI+ 专属网关 + 私网连接方案，为企业级用户构建了技术可控、成本优化、安全可靠的 AI 私有化部署调用路径。该方案不仅解决了算力资源紧张与部署复杂度高的痛点，全链路私有化部署和全球低延迟算力网络，也满足了企业对数据主权、全球化业务部署及长期技术自主的需求。凭借乌兰察布算力资源与 CEN 骨干网的协同，企业可快速实现大模型的高效落地，为 AI 技术的规模化应用提供了可信赖的基础设施支撑。