容器集群通过NAT网关统一出网，核心是所有容器出站流量经同一公网IP转发，实现出口IP固定、防火墙策略可控、带宽集中管理，适用于API对接、合规审计及IP白名单场景。
容器集群通过 NAT 网关统一出网，核心是让所有容器的出站流量经过同一个公网 IP 地址转发，从而实现出口 IP 固定、防火墙策略可控、带宽集中管理。这在需要对接外部 API、满足合规审计或绕过目标服务 IP 白名单限制时尤为关键。
确保容器运行在支持 NAT 集成的网络环境中
容器不能直接挂载公网 IP（如 Azure ACI 或阿里云 ECIs 默认不支持），必须部署在虚拟网络（VPC）中，并使用委托子网（delegated subnet）。例如：
- Azure 容器实例（ACI）需部署到已委托给 Microsoft.ContainerInstance/containerGroups 的子网；
- 阿里云 Serverless Kubernetes（ASK）或 TKE Serverless 集群，需选择与 NAT 网关同地域、同 VPC 的容器网络子网；
- 自建 K8s 集群若用 Terway 插件，推荐启用 共享 ENI 模式，便于路由策略统一下发。
创建并绑定静态公网 IP 的 NAT 网关
NAT 网关本身不产生 IP，需提前申请一个或多个静态弹性公网 IP（EIP），并在创建 NAT 网关时将其绑定。关键点：
- 该 EIP 就是整个集群对外的唯一出口 IP，所有容器出站请求的源地址都会被 SNAT 成这个 IP；
- 建议选用按量付费或包年包月 EIP，避免因释放 IP 导致出口中断；
- 部分云平台（如阿里云）支持为 NAT 网关配置 SNAT IP 池，可提升高并发场景下的端口复用能力。
配置子网级路由，强制出站流量走 NAT 网关
仅创建 NAT 网关还不够，必须让子网内的流量“知道”要往它那里走。操作分两步：
- 新建路由表：目的地址填 0.0.0.0/0（表示所有外网流量），下一跳类型选 NAT 网关，下一跳指向刚创建的网关 ID；
- 关联子网：将该路由表绑定到容器所在子网（注意：不是 Service CIDR 或 Pod CIDR，而是实际承载容器节点或 ACI 实例的子网）。
完成之后，子网内所有设备（包括容器所在的节点或沙箱）发起的出站连接，都会经由 NAT 网关做 SNAT 转换。
验证与注意事项
可在任一容器内执行以下命令确认效果：
-
curl ifconfig.me或curl http://api.ipify.org—— 返回值应与 NAT 网关绑定的 EIP 一致； -
ping -c 3 8.8.8.8+traceroute 8.8.8.8—— 路径中应出现 NAT 网关的跳点； - 若容器访问的是云厂商内部服务（如 OSS、COS、RDS），注意部分服务默认走内网链路，需显式配置服务终端节点或专用连接。
