EIP 与 NAT 的分工
两者解决的是不同方向的问题：EIP 是绑定到具体资源上的公网地址，被绑定的实例既可能被公网访问、也能主动出网；NAT 网关是 VPC 级的共享出口，默认只让内网实例主动出网，入向访问需要额外配置端口映射。少量实例需要公网就绑 EIP，多台实例只需要出网就用 NAT 网关。
基本信息
| EIP 特点 | 一对一绑定、地址独立可迁移、入向出向都可用 |
|---|---|
| NAT 特点 | 多实例共享出口、默认只管出向、按规格限带宽与连接数 |
| 出口 IP 稳定性 | EIP 固定；NAT 出口为绑定的 EIP，同样固定 |
| 暴露面 | EIP 绑定即暴露该实例；NAT 默认不暴露任何实例 |
| 成本结构 | EIP 按带宽或流量计费；NAT 另有规格费用 |
| 典型误用 | 给每台实例都绑 EIP，管理分散且暴露面大 |
典型使用场景
- 一两台服务器需要对外提供访问：直接绑 EIP，结构最简单
- 应用集群需要调用第三方接口：走 NAT 网关共享出口
- 需要给合作方固定出口 IP 白名单：用 EIP 或 NAT 绑定固定地址
- 跳板机对外暴露管理入口：单台绑 EIP 并只放行管理网段
- 数据库等敏感资源：既不给公网入口，也不纳入 NAT 出网范围
组合形态示例
组合形态示例
Web 层：公网 SLB 或 DNAT 映射，对外提供服务入口
应用层：无公网 IP，经 NAT 网关调用第三方接口
数据层：无公网路由，仅接受应用层安全组访问
运维层：单台跳板机绑 EIP，安全组仅放行管理网段
核对出口：实例内 curl -s https://ifconfig.me选型参考
| 需求 | 推荐方案 | 理由 |
|---|---|---|
| 一两台服务器出公网 | 绑定 EIP | 结构简单、成本可控 |
| 多台出公网、不需要入向 | NAT 网关 | 共享出口、减少公网 IP 管理 |
| 需要被公网访问 | EIP / 负载均衡 / DNAT | NAT 默认不提供完整入向能力 |
| 给对端固定出口白名单 | EIP（直绑或 NAT 出口） | 出口地址稳定可预期 |
两者可以并存：同一账号里应用层走 NAT 出网，跳板机绑 EIP 做运维入口，各层职责清晰，安全组规则也更容易收敛。
用 NAT 承载需要被访问的服务却忘记配置 DNAT，外部会一直访问超时；这类「服务确实在跑但外面进不来」的问题，先核对入向映射是否存在。