1. NAT网关概述与产品选型
在阿里云专有网络VPC中，云服务器ECS实例默认仅拥有私网IP地址，无法直接访问互联网，也无法被公网直接访问。为了实现VPC内资源与公网的互通，阿里云提供了NAT网关（NAT Gateway）这款全托管的网络地址转换服务。NAT网关通过转换和隐藏云服务的真实地址，既实现了公网访问能力，又避免了内网地址直接对外暴露，有效提升了网络安全性。
阿里云NAT网关分为两种类型：公网NAT网关和VPC NAT网关。公网NAT网关可以绑定弹性公网IP（EIP）实现公网访问，适用于VPC内ECS实例访问互联网或对外提供服务的场景。VPC NAT网关不支持绑定EIP，主要用于私网地址转换，解决VPC之间网段冲突时的互访问题，或满足金融等行业使用指定私网IP访问本地IDC的合规诉求。本文聚焦公网NAT网关的配置，帮助读者掌握VPC内资源通过NAT网关实现公网访问的核心技能。
需要先登录阿里云控制台，点击：阿里云控制台
2. 公网NAT网关的核心功能
公网NAT网关提供两个核心功能：SNAT（源网络地址转换）和DNAT（目的网络地址转换）。
SNAT功能让VPC内多个无公网IP的ECS实例共享一个或多个EIP访问公网。当ECS实例主动发起对外访问时，NAT网关将数据包的源IP地址（私网IP）转换为NAT网关绑定的EIP，公网目标服务器看到的请求来源是EIP而非ECS的私网IP。响应数据返回时，NAT网关根据会话映射表将目的IP还原为ECS的私网IP，完成整个通信过程。SNAT的核心价值在于节省公网IP资源——无需为每台ECS单独分配EIP，同时隐藏了内网拓扑结构，提升了安全性。
DNAT功能则相反，它允许公网用户通过NAT网关绑定的EIP和指定端口访问VPC内ECS实例提供的服务。DNAT支持端口映射和IP映射两种模式。端口映射将公网IP的特定端口映射到内网ECS的指定端口，适合多服务共用同一个EIP的场景；IP映射则将整个公网IP映射到一台ECS，适合需要完整IP级访问的场景。
3. 配置前的准备工作
在开始配置NAT网关之前，需要完成以下准备工作。
3.1 创建VPC和交换机
首先确认已创建VPC和交换机。如果尚未创建，需先在阿里云VPC控制台完成VPC及交换机的创建。建议VPC网段选择RFC 1918规定的私有地址段，如192.168.0.0/16、172.16.0.0/12或10.0.0.0/8，避免与本地数据中心或其他云环境网段冲突。交换机应部署在需要访问公网的ECS所在的可用区。
3.2 准备弹性公网IP（EIP）
NAT网关必须绑定至少一个EIP才能正常工作。如果尚未创建EIP，可以在创建NAT网关时选择\"新购弹性公网IP\"，系统会自动完成EIP的创建与绑定。需要注意的是，每绑定一个EIP将占用NAT网关所在交换机的一个私网IP地址，请确保该交换机具有足够的可用私网IP地址。
4. 创建公网NAT网关
完成准备工作后，即可进入NAT网关的创建流程。
4.1 控制台创建步骤
登录阿里云NAT网关管理控制台，在公网NAT网关页面单击\"创建NAT网关\"。首次使用NAT网关时，需要先创建关联角色。创建过程中需要配置以下关键参数：
- 地域：选择需要创建公网NAT网关的地域，应与目标VPC位于同一地域。
- 专有网络：选择NAT网关所属的VPC，创建成功后无法修改。
- 交换机：选择NAT网关部署的交换机，建议选择与目标ECS位于同一可用区的交换机。
- 容灾类型：可选择跨可用区容灾或单可用区容灾。
- 弹性公网IP：可选择新购或绑定已有EIP。
4.2 增强型NAT网关与普通型NAT网关
当前阿里云主推增强型公网NAT网关，相比普通型NAT网关具有更高的性能规格和更丰富的功能特性。增强型NAT网关支持按使用量计费，以容量单位CU作为计量维度，更加灵活和经济。建议新购用户优先选择增强型NAT网关。
5. 配置SNAT实现ECS访问公网
创建NAT网关并绑定EIP后，需要配置SNAT条目才能让VPC内的ECS实例通过NAT网关访问公网。
5.1 SNAT条目的创建
在NAT网关管理控制台，点击目标NAT网关实例ID进入详情页，切换到\"SNAT管理\"页签，点击\"创建SNAT条目\"。创建SNAT条目时需要配置以下参数：
- SNAT条目粒度：即SNAT规则的生效范围，可选择VPC粒度、交换机粒度或ECS粒度。VPC粒度表示当前VPC内所有实例均可通过该NAT网关访问公网；交换机粒度仅对指定交换机生效；ECS粒度则精确到单台ECS实例。
- 选择EIP：选择已绑定到该NAT网关的EIP，可选择单IP或多IP。
5.2 SNAT工作原理详解
以ECS实例（私网IP：192.168.1.100）访问公网为例，SNAT的工作流程如下：
- 路由转发：按照VPC路由表中指向NAT网关的路由规则，访问数据包被转发至公网NAT网关。
- 源地址转换：NAT网关接收到数据包后，根据SNAT规则配置将源IP地址192.168.1.100转换为NAT网关绑定的EIP。同时记录原始五元组（协议、源IP、源端口、目的IP、目的端口）与转换后的五元组（协议、EIP、公网源端口、目的IP、目的端口）的对应关系。
- 发往公网：经过地址转换后的数据包被发送至互联网，请求的发起方为EIP而非ECS实例的私网IP。
- 响应返回：当公网的目标服务器返回响应数据包时，NAT网关按照会话映射表将目的IP还原为原始的私网IP，转发回ECS实例。
5.3 SNAT生效规则
SNAT功能配置后是否生效，取决于以下规则：
- 路由配置：确保VPC内访问公网的流量被正确路由到NAT网关。如果VPC系统路由表中无0.0.0.0/0路由，该VPC创建第一个公网NAT网关时系统会自动添加此路由。如果使用自定义路由表或系统路由表中已存在0.0.0.0/0路由，需要手动添加或调整自定义路由条目。建议遵循最小权限原则，配置目标网段为访问的具体公网网段。
- 出口IP优先级：实例持有的固定公网IP/EIP优先级高于DNAT IP映射（任意端口），DNAT IP映射优先级高于SNAT条目绑定的EIP。
- SNAT条目优先级：当多条SNAT条目源网段重叠时，遵循最长子网掩码匹配规则。
6. 配置DNAT将服务暴露到公网
如果需要让公网用户访问VPC内ECS实例提供的服务，需要配置DNAT条目。
6.1 DNAT条目的创建
在NAT网关实例详情页切换到\"DNAT管理\"页签，点击\"创建DNAT条目\"。创建DNAT条目时需要配置以下参数：
- 公网IP地址：选择已绑定到该NAT网关的EIP。
- 公网端口：对外提供服务的端口号。
- 私网IP地址：目标ECS实例的私网IP。
- 私网端口：ECS实例上实际提供服务的端口号。
- 协议类型：TCP、UDP或任意协议。
6.2 DNAT的两种模式
DNAT支持端口映射和IP映射两种模式：
- 端口映射：将公网IP的特定端口映射到内网ECS的指定端口，适合多服务共用同一个EIP的场景。例如将EIP的80端口映射到ECS的8080端口。
- IP映射：将整个公网IP映射到一台ECS，适合需要完整IP级访问的场景，此时端口设置选择\"任意端口\"。
6.3 SNAT与DNAT共用EIP的注意事项
同一个EIP可以同时配置SNAT和DNAT规则。但如果配置DNAT时选择了\"端口设置——任意端口\"（即IP映射模式），则该EIP的所有端口都被DNAT占用，无法再用于SNAT。此外，设置DNAT规则时默认只能使用EIP的1-1024号端口，当需要设置的公网端口号大于1024时，需要开启端口突破功能。
7. 路由表与NAT网关的协同工作机制
路由表是NAT网关能够正常工作的核心基础设施。理解路由表与NAT网关的协同机制，对于排查网络问题至关重要。
7.1 系统路由表的自动配置
为了提升创建体验，在VPC内创建第一个公网NAT网关时，阿里云会在VPC的系统路由表中自动添加一条目标网段为0.0.0.0/0、下一跳为公网NAT网关的路由条目，用于将流量路由到公网NAT网关。由于系统路由表默认关联VPC内所有交换机，该VPC下所有ECS实例访问公网的流量都会被路由到NAT网关。
7.2 自定义路由表场景
如果VPC存在自定义路由表，或VPC存在多个公网NAT网关，则需要手动配置路由条目。在自定义路由表中添加目标网段为0.0.0.0/0、下一跳为公网NAT网关的路由条目，并将该自定义路由表关联到需要访问公网的交换机。
7.3 路由优先级与最长前缀匹配
当多条路由的目标网段重叠时，遵循最长前缀匹配原则转发流量。例如，路由表中同时存在0.0.0.0/0和10.0.0.0/8两条路由，访问10.0.0.1的流量将匹配10.0.0.0/8这条更具体的路由。
8. 高可用部署方案
公网NAT网关支持两种容灾部署模式，创建时通过容灾类型选择。
8.1 跨可用区容灾
NAT网关跨可用区冗余部署，单可用区故障时自动容灾切换。适用于ECS等实例分布在多个可用区、需要共享同一NAT网关访问公网的场景。跨可用区容灾提供了最高的可用性保障，但实例费用相对较高。
8.2 单可用区容灾
NAT网关部署在单一可用区内，只保障本可用区高可用。适用于业务集中在某一个可用区、使用独立NAT网关访问公网的场景。单可用区容灾的实例费约为跨可用区的50%，CU费约为80%。
8.3 企业级高可用最佳实践
对于对可用性要求较高的生产环境，建议在多个可用区分别部署独立的单可用区NAT网关，通过自定义路由表使各可用区的公网流量独立转发，从而将故障半径收敛至单一可用区。这种方式相比单个跨可用区NAT网关，能够进一步降低故障影响范围。
9. 自动化配置：阿里云CLI与Terraform
对于需要批量部署或基础设施即代码（IaC）的场景，阿里云提供了CLI和Terraform两种自动化配置方式。
9.1 使用阿里云CLI创建NAT网关
阿里云CLI提供了完整的NAT网关管理命令。以下是使用CLI创建公网NAT网关并配置SNAT的核心命令示例：
# 创建公网NAT网关 aliyun vpc CreateNatGateway --RegionId cn-hangzhou --VpcId vpc-xxxxx --VSwitchId vsw-xxxxx --NatType Enhanced --InternetChargeType PayByCU # 绑定EIP到NAT网关 aliyun vpc AssociateEipAddress --AllocationId eip-xxxxx --InstanceId ngw-xxxxx --InstanceType Nat # 创建SNAT条目 aliyun vpc CreateSnatEntry --SnatTableId stb-xxxxx --SourceVSwitchId vsw-xxxxx --SnatIp 47.xxx.xxx.xxx # 创建DNAT条目 aliyun vpc CreateForwardEntry --ForwardTableId ftb-xxxxx --ExternalIp 47.xxx.xxx.xxx --ExternalPort 80 --InternalIp 192.168.1.100 --InternalPort 8080 --Protocol TCP
9.2 使用Terraform部署NAT网关
Terraform是业界主流的基础设施即代码工具，支持阿里云Provider。以下是一个完整的Terraform配置示例，用于创建VPC、交换机、NAT网关、EIP及SNAT和DNAT规则：
# provider.tf provider \"alicloud\" { region = \"cn-hangzhou\" } # vpc.tf resource \"alicloud_vpc\" \"main\" { vpc_name = \"nat-vpc\" cidr_block = \"10.0.0.0/16\" } resource \"alicloud_vswitch\" \"main\" { vpc_id = alicloud_vpc.main.id zone_id = \"cn-hangzhou-g\" cidr_block = \"10.0.1.0/24\" } # eip.tf resource \"alicloud_eip\" \"main\" { bandwidth = \"100\" internet_charge_type = \"PayByTraffic\" } # nat_gateway.tf resource \"alicloud_nat_gateway\" \"main\" { vpc_id = alicloud_vpc.main.id vswitch_id = alicloud_vswitch.main.id nat_gateway_name = \"prod-nat\" nat_type = \"Enhanced\" internet_charge_type = \"PayByCU\" } resource \"alicloud_eip_association\" \"main\" { allocation_id = alicloud_eip.main.id instance_id = alicloud_nat_gateway.main.id } # snat.tf resource \"alicloud_snat_entry\" \"main\" { snat_table_id = alicloud_nat_gateway.main.snat_table_ids[0] source_vswitch_id = alicloud_vswitch.main.id snat_ip = alicloud_eip.main.ip_address } # dnat.tf resource \"alicloud_forward_entry\" \"main\" { forward_table_id = alicloud_nat_gateway.main.forward_table_ids[0] external_ip = alicloud_eip.main.ip_address external_port = \"80\" internal_ip = \"10.0.1.10\" internal_port = \"8080\" ip_protocol = \"tcp\" }
10. 计费模式与成本优化
10.1 计费构成
公网NAT网关和VPC NAT网关均收取实例费和容量单位CU费。与公网NAT网关绑定的EIP有独立的计费规则。NAT网关的付费类型仅为后付费，计费方式为按使用量计费。
容量单位CU是衡量NAT网关处理流量时的性能指标，按小时收取。自2025年9月26日起，容量单位CU费仅按照该小时处理流量CU个数收取，不再将并发连接数和新建连接数作为计费指标。每小时CU个数由该小时处理流量决定，每小时CU个数=该小时总处理流量/1GB。
10.2 成本优化建议
- 选择合适的容灾类型：单可用区容灾的实例费约为跨可用区的50%，CU费约为80%。对于非关键业务，单可用区容灾更具成本优势。
- 合理规划EIP带宽：根据实际业务流量选择合适的EIP带宽峰值，避免过度配置造成浪费。
- 使用NAT网关资源包：NAT网关资源包是一种预付费套餐包，专为按实际使用量计费的公网NAT网关和VPC NAT网关设计。
11. 监控与报警
NAT网关与云监控（CloudMonitor）集成，可以实时监控公网NAT网关和VPC NAT网关实例的各项指标，且不收取额外费用。
11.1 核心监控指标
- 流量指标：入流量、出流量、包速率等。
- 连接指标：并发连接数、新建连接数等。
- 性能指标：CU使用量、丢包率等。
11.2 配置阈值报警
在云监控控制台为NAT网关创建阈值报警规则。通过对监控项报警阈值进行监控，可以迅速得知监控数据异常并解决异常。建议针对以下场景配置报警：
- 流量突增报警：当出流量或入流量超过预设阈值时触发报警。
- CU使用率报警：当CU使用量接近规格上限时提前预警。
- 连接数报警：当并发连接数过高时及时通知运维人员。
12. 常见故障排查
12.1 SNAT无法访问公网
当配置了SNAT但ECS仍无法访问公网时，可按以下步骤排查：
- 检查路由配置：确认VPC内是否存在指向NAT网关的0.0.0.0/0路由条目。
- 检查SNAT条目状态：在NAT网关实例详情页的SNAT管理页签，确认SNAT条目的状态为\"可用\"。
- 检查源网段覆盖：NAT网关不会为新建的交换机自动配置SNAT条目，需检查已有SNAT条目的源网段是否包含新建交换机的网段。
- 检查安全组：确认ECS实例的安全组出方向规则是否允许访问公网。
12.2 DNAT无法被公网访问
当配置了DNAT但公网无法访问内网服务时，可按以下步骤排查：
- 检查DNAT条目配置：确认公网IP、公网端口、私网IP、私网端口和协议类型配置正确。
- 检查端口冲突：如果同一EIP同时用于SNAT和DNAT，确保DNAT规则与SNAT规则指定的端口错开。
- 检查安全组入方向：确认ECS实例的安全组入方向规则是否放行了DNAT配置的端口。
- 检查ECS服务状态：确认ECS实例上对应的服务进程正在运行并监听指定端口。
12.3 自助排查工具
- NAT网关的自助排查功能可以帮助排查NAT网关DNAT访问不通、SNAT访问不通以及偶发不通、速度慢或提示丢包等问题，并提供解决建议。实例排查期间可能会对实例进行探测和诊断分析，但不会对实例配置和正常业务造成影响。
13. 企业级最佳实践
13.1 统一公网出口IP
- 通过NAT网关配置SNAT，使VPC内所有ECS实例通过相同的EIP访问公网，实现统一公网出口IP。这有助于简化防火墙策略配置和访问审计。
13.2 多VPC共用NAT网关
- 通过VPC对等连接或转发路由器，可以实现多个VPC共用同一个公网NAT网关。具体方法是在VPC-A中创建公网NAT网关并配置SNAT条目，然后通过VPC对等连接在VPC-A和VPC-B之间建立私网互通，再在VPC-B的路由表中添加指向VPC-A的下一跳。
13.3 最小权限原则
- 在配置SNAT时，建议遵循最小权限原则，配置目标网段为访问的具体公网网段，而非直接使用0.0.0.0/0。这样可以减少不必要的公网暴露风险。
13.4 定期审计与巡检
- 定期检查NAT网关的配置合规性，包括SNAT/DNAT条目的合理性、EIP绑定的必要性、安全组规则的严谨性等。同时关注云监控的告警信息，及时发现和处理异常。
14. 总结
- 本文系统讲解了阿里云VPC中NAT网关的完整配置方法，从产品选型、准备工作、创建配置、路由原理、高可用部署到自动化运维和故障排查，涵盖了企业级公网访问架构建设的全链路。通过合理运用SNAT和DNAT功能，结合高可用部署方案和自动化运维工具，可以构建安全、稳定、经济的云上公网访问体系。希望本文能帮助读者快速掌握阿里云NAT网关的核心技能，在实际业务中灵活运用。
常见问题解答
- 问1：公网NAT网关和VPC NAT网关有什么区别？
- 公网NAT网关可以绑定弹性公网IP实现公网访问，适用于VPC内ECS访问互联网或对外提供服务的场景。VPC NAT网关不支持绑定EIP，主要用于私网地址转换，解决VPC之间网段冲突时的互访问题。
- 问2：SNAT和DNAT可以共用同一个EIP吗？
- 可以。同一个EIP可以同时配置SNAT和DNAT规则。但如果DNAT配置为\"任意端口\"（IP映射模式），则该EIP的所有端口都被DNAT占用，无法再用于SNAT。
- 问3：配置了SNAT后ECS仍然无法访问公网，可能是什么原因？
- 可能的原因包括：VPC路由表中缺少指向NAT网关的0.0.0.0/0路由、SNAT条目状态不是\"可用\"、SNAT条目的源网段未覆盖目标交换机、ECS安全组出方向规则限制等。
- 问4：NAT网关支持哪几种容灾部署模式？
- 支持两种模式：跨可用区容灾（NAT网关跨可用区冗余部署，单可用区故障时自动切换）和单可用区容灾（NAT网关部署在单一可用区内，只保障本可用区高可用）。
- 问5：NAT网关如何计费？
- NAT网关收取实例费和容量单位CU费。CU按小时收取，自2025年9月26日起仅按照该小时处理流量计算，每小时CU个数=该小时总处理流量/1GB。绑定的EIP有独立的计费规则。
- 问6：如何实现多个VPC共用同一个NAT网关？
- 可以通过VPC对等连接或转发路由器实现。在其中一个VPC中创建公网NAT网关并配置SNAT，然后通过对等连接建立VPC间的私网互通，再在另一个VPC的路由表中添加指向对端VPC的路由。
