NAT 网关的高可用与容量
NAT 网关承担整个网络的出公网流量，是关键路径上的单点组件：它一挂，同 VPC 内所有依赖公网出访的业务同时受影响。因此创建时优先选择多可用区部署形态，规格（连接数与带宽）留出余量，必要时绑定多个 EIP 组成 SNAT 地址池，同时扩充容量与冗余。变更与升降配尽量安排在低峰窗口，把影响面压到最小。
基本信息
| 可用区 | 创建时可选多可用区部署，单区故障时仍能出网 |
|---|---|
| 规格 | 按连接数与带宽档位选择，贴近上限时新连接失败率上升 |
| EIP 冗余 | 可绑定多个 EIP 组成 SNAT 地址池，扩充容量 |
| 演练 | 把 NAT 故障纳入演练清单，验证出口切换与恢复时长 |
典型使用场景
- 核心业务集群的出网通道，必须多可用区部署避免单点
- 出口流量增长前的容量评估：按连接数与带宽双指标扩容
- 多 EIP 地址池：既扩容量又让对端看到的源地址分散
- 演练场景：模拟 NAT 故障验证业务是否有备用出口
验证出口连通性
验证出口连通性
curl -sS -m 5 https://ifconfig.me; echo
# 换一台实例重复执行，确认多台机器出口地址符合预期
# 输出的是 NAT 绑定的 EIP 之一，可用于核对源地址池风险与对策
| 风险 | 后果 | 对策 |
|---|---|---|
| 单可用区部署 | 可用区故障导致全网断出口 | 选择多可用区形态 |
| 规格贴近上限 | 突发时连接大量失败 | 留三成余量并配告警 |
| 单 EIP 出口 | 端口与带宽容量受限 | 绑定多个 EIP 组池 |
NAT 是共享出口组件，故障影响面覆盖整个网络；升降配与变更安排在低峰窗口。
演练怎么做
出口组件的演练要能真正验证切换，而不是走流程。可选做法是：在低峰期选择一台非关键实例，临时调整其路由或安全组策略模拟出口不可达，观察业务是否在预期时间内完成重试或切换；记录从故障发生到恢复的总时长与人工介入环节。演练结束后把结论落到文档：备用出口是否可用、切换是否需要人工、监控能否第一时间告警，把「以为高可用」变成「验证过高可用」，这才是演练的价值。