三种公网方案怎么分工
公网相关方案定位不同：EIP 直连单实例，入向出向都可用；NAT 网关服务多实例出网，入向需要显式映射；公网负载均衡作为对外服务入口，负责把流量分发给后端而不承担后端出网。方案设计时先区分「谁需要被外部访问、谁只需要主动出网」，再分别选型，入口与出口分开设计。
基本信息
| EIP 直绑 | 单实例同时具备入向与出向能力，地址可迁移 |
|---|---|
| NAT 网关 | 多实例共享出口，按规格限带宽与连接数 |
| 公网负载均衡 | 统一服务入口，承担证书卸载与流量分发 |
| 设计原则 | 入口与出口分离，减少实例直接暴露 |
| 成本结构 | EIP 按带宽/流量，NAT 有规格费，负载均衡按规格或 LCU |
| 常见形态 | 入口用负载均衡 + 出网用 NAT + 运维入口单台 EIP |
典型使用场景
- 对外服务：公网负载均衡承接入口，后端实例全部无公网 IP
- 应用出网：应用子网经 NAT 网关访问第三方接口
- 运维入口：单台跳板机绑 EIP，安全组只放行管理网段
- 临时活动：短期绑定 EIP，活动结束解绑释放
- 多层混合：一部分子网走 NAT、一部分走专线，用路由表区分
组合部署参考
组合部署参考
入口：公网 SLB / CDN → 无公网 IP 的应用实例
出网：应用子网 → NAT 网关 → 公网
运维：跳板机 EIP，仅允许管理网段访问
核对：出口 IP 用 curl -s https://ifconfig.me 在实例内确认方案对比
| 方案 | 入向能力 | 出向能力 | 适用场景 |
|---|---|---|---|
| EIP 直绑 | 完整（实例直接暴露） | 单实例带宽 | 少量实例且需要被访问 |
| NAT 网关 | 仅 DNAT 端口映射 | 多实例共享出口 | 批量出网、隐藏源站 |
| 公网负载均衡 | 作为统一服务入口 | 不承担后端出向 | 对外提供服务的入口层 |
| 专线 / VPN | 按需 | 按需 | 与机房或跨地域互通 |
入口与出口分开设计是云上网络架构里收益明显的习惯：安全组规则可以按角色收敛，扩容时也不必为每台实例重新分配公网地址。
为「方便调试」给所有实例都绑 EIP 是常见反模式：地址管理分散、成本上升，同时每台实例都成了可直接攻击的目标。