NAT 网关术语
NAT 网关解决两件事：让私有子网里的实例访问公网（SNAT），以及把公网请求按端口转发到私网主机（DNAT）。三家产品名与能力基本对齐，但两类规则都依赖同一个前提——子网的路由表要指向这个 NAT 网关，路由没配好，规则写得再对也不通。
基本信息
| 产品名 | 三家均为 NAT 网关 |
|---|---|
| 出方向 | SNAT 规则，可指定网段或 IP 范围 |
| 入方向 | DNAT 规则（端口映射 / 端口转发） |
| 计费 | 实例费 + 流量费或规格费 |
| 前置条件 | 子网路由表要指向该 NAT 网关 |
| 共享性 | 一个 NAT 网关可服务多个子网 |
概念对照
| 概念 | 阿里云 | 腾讯云 | 华为云 |
|---|---|---|---|
| 产品名 | NAT 网关 | NAT 网关 | NAT 网关 |
| 出方向 | SNAT 规则 | SNAT 规则 | SNAT 规则 |
| 端口映射 | DNAT（端口转发） | DNAT（端口映射） | DNAT 规则 |
| 计费 | 实例费 + 流量 / 规格费 | 实例费 + 流量费 | 实例费 + 流量费 |
| 安全组配合 | DNAT 需安全组放行 | DNAT 需安全组放行 | DNAT 需安全组放行 |
典型使用场景
- 私网实例没有公网 IP 但需要下载依赖与访问外部接口
- 多个子网共用一个出口，集中做流控与审计
- 把公网端口映射到私网主机的指定端口
- 迁移期按端口灰度，把部分流量切到新环境
- 集中统计与限制出网流量
配置顺序
配置顺序
# 1 建网关：在目标 VPC 与可用区创建 NAT 网关
# 2 配路由：把需要出网的子网路由指向该 NAT 网关
# 3 配 SNAT：指定允许出网的网段或 IP 范围
# 4 配 DNAT：写清公网端口、私网 IP 与私网端口
# 5 配合安全组：DNAT 使用的外部端口要同时在安全组放行
# 6 验流量：从私网实例访问外部地址，并核对连接数与流量指标SNAT 与 DNAT 的区别
| 类型 | 方向 | 典型用途 |
|---|---|---|
| SNAT | 私网 → 公网 | 无公网 IP 的实例访问外网 |
| DNAT | 公网 → 私网 | 端口映射对外暴露内部服务 |
| 路由依赖 | 子网路由表指向 NAT | 未指向则该子网不走这个网关 |
| 计费影响 | 出方向流量计费 | 大流量下载会显著推高费用 |
多个子网共享一个 NAT 时，按 SNAT 规则与路由表逐条核对：常见故障之一是子网没有绑定到该 NAT 的路由表。
DNAT 暴露出去的服务要按公网服务标准加固：限定源 IP 范围、换用非默认端口、开启访问日志，别把内部管理端口直接映射到公网。