NAT网关选型与配置是一体化实操闭环：单出口选支持Easy IP的中低端设备（如华为AR2220），双出口及以上需支持策略路由、多NAT映射与ACL目的地址匹配；配置前须验证出接口状态、默认路由及ACL反掩码，云环境必须显式配置子网路由指向NAT网关。
选型和配置不是两件事，而是一体的实操闭环。NAT网关不是插上就能用的盒子，它得匹配你的出口数量、业务类型、安全要求和运维能力。
按出口结构选网关：单出口、双出口、多出口逻辑不同
单出口场景（如小型企业仅一条宽带）重点看吞吐与NAPT性能，推荐支持Easy IP的中低端路由器，比如华为AR2220或神州数码DCR-2655，它们能用一个公网IP服务整个192.168.100.0/24网段，配置简单，ACL+nat outbound两步到位。
双出口及以上（如教育网+电信+移动）必须选支持策略路由与基于目的地址的NAT映射的设备。高校案例里知网访问失败，根源就是没做DNAT+PBR联动——教育网资源请求必须强制走教育网出口，否则认证跳转失效。这时候网关要能同时处理SNAT、DNAT、NAT Server，并支持ACL匹配目的地址段（如101.10.0.0/16）触发对应出口转换。
- 教育网资源（如知网、万方）→ 映射到教育网出口公网IP，启用源地址保持
- 视频/下载流量 → 匹配域名或端口（如TCP 8080、443），走高带宽运营商出口
- 内部Web服务器对外发布 → 需配置NAT Server，把202.100.1.100:80指向192.168.10.10:80，且多个出口都要单独配置，不能共用一个映射
配置前必须确认的三件事
很多故障不是配错了命令，而是基础连通性没验证。每次部署前花五分钟检查：
- 出接口是否已配置正确IP并UP（特别注意：华为设备需undo port switch才能配IP）
- 默认路由是否存在且下一跳可达（没有默认路由，nat outbound能生效但网页打不开）
- ACL规则反掩码是否写反（192.168.0.0/24对应0.0.0.255，不是255.255.255.0）
企业级典型配置顺序（以华为AR为例）
不建议跳步，顺序错一步，后面全卡住：
- 先划VLAN、配Trunk，确保内网流量能到达网关（如营销部VLAN 100，研发部VLAN 200）
- 再配公网接口IP和默认路由（interface GigabitEthernet0/0/0 → ip address 202.100.1.1 255.255.255.0 → ip route-static 0.0.0.0 0.0.0.0 202.100.1.254）
- 接着建ACL匹配内网网段（acl number 2001 → rule permit source 192.168.10.0 0.0.0.255）
- 最后在公网接口下绑定NAT策略（nat outbound 2001）；若需发布服务器，额外加一条：nat server protocol tcp global 202.100.1.100 www inside 192.168.10.10 www
云环境下的NAT网关路由必须显式配置
和物理设备不同，云平台的NAT网关不会自动接管流量。创建完NAT实例后，必须手动编辑关联子网的路由表，添加一条目的地址为0.0.0.0/0、下一跳类型为“NAT网关”、下一跳指向该实例ID的路由策略。漏掉这步，子网内所有云服务器都无法出公网——哪怕NAT网关本身状态正常。
如果需要分线路访问（比如部分流量走专线、部分走NAT），就得拆成多条明细路由，例如：101.10.0.0/16 → NAT网关，203.200.0.0/16 → 专线网关，其余走默认0.0.0.0/0。
