公网接入选型是什么
VPC 里接入公网有三条主流路径：单机需要固定公网入口时用弹性公网 IP（EIP）；多台机器共享一个出口访问外网用 NAT 网关；对外提供服务且需要流量分发与容错时用负载均衡。三者经常组合使用：对外服务由负载均衡承载、后端实例只暴露私网，后端自身的出网流量走 NAT 网关，运维入口单独用一个 EIP 并限制来源地址。
基本信息
| EIP | 独立公网 IP，可绑定到实例或网卡，支持解绑与迁移 |
|---|---|
| NAT 网关 | 多实例共享出口，配置 SNAT（出网）与 DNAT（端口映射）规则 |
| 负载均衡 | 流量分发、健康检查、证书卸载，后端只暴露私网地址 |
| 通用原则 | 入口越少越好管；只有需要固定源地址或单机直连时才用 EIP |
| 计费口径 | EIP 有保留费与带宽或流量费；NAT 与负载均衡按规格与流量计费 |
典型使用场景
- 对外 Web 服务：公网负载均衡承接流量，后端实例只开私网，故障时自动摘除
- 后端统一出网：实例拉取镜像、调用第三方回调、安装依赖都走 NAT 网关
- 数据库与主机运维入口：单个 EIP 加来源限制，或统一收敛到堡垒机
- 临时调试：给单台机器绑按量计费 EIP，验证完立即解绑释放
- 第三方白名单要求固定源 IP：把出口收敛到少量 EIP，便于对方配置放行
组合示例与校验
组合示例与校验
对外 Web → 负载均衡（公网型）+ 后端 ECS 私网
后端出网（更新/回调）→ NAT 网关 + EIP
运维入口 → 堡垒机 EIP（限制来源地址）
# 原则：入口越少越好，能收拢到 NAT 与 LB 就不要逐台绑 EIP
# 校验出口地址是否与预期一致
curl -s http://100.100.100.200/latest/meta-data/eipv4公网接入方式选型
| 需求 | 选择 | 原因 |
|---|---|---|
| 单机固定公网入口 | EIP | 独立地址，可随时解绑迁移 |
| 多机统一出网 | NAT 网关 | 共享 EIP，出口集中管理与审计 |
| 对外服务多机容错 | 负载均衡 | 健康检查加流量分发，证书统一卸载 |
| 临时单机调试 | 按量 EIP | 用完即释，成本可控 |
| 第三方固定源 IP 白名单 | NAT 网关绑 EIP | 出口地址稳定，便于对方放行 |
不要给几十台机器逐台绑 EIP：出口数量一多，白名单、审计与成本都会失控，能收拢到 NAT 与负载均衡就收拢。
负载均衡后端实例的安全组只应放行负载均衡所在网段，若直接对全网开放，用户可绕过负载均衡直连后端，健康检查与防护全部失效。