NAT网关通过SNAT实现多台私网ECS共用一个EIP访问公网，适用于出站场景；需确保VPC路由指向网关、EIP已绑定、实例未配公网带宽，并正确配置SNAT规则与安全策略。
用 NAT 网关实现多个私网实例共用一个公网 IP，核心靠的是 SNAT（源地址转换），不是给每台实例单独配 EIP，而是让它们出站流量统一“借用” NAT 网关绑定的那一个 EIP。
明确适用场景和前提
这种方式适用于私网实例主动访问公网（比如下载更新、调用外部 API、连数据库服务等），不适用于公网主动访问私网实例（如对外提供 Web 服务）。要实现后者，需额外配置 DNAT 规则，且通常需搭配端口区分。
- VPC 内所有待共享公网的 ECS 实例必须在同一个路由可及的子网中，或已通过自定义路由表指向该 NAT 网关
- NAT 网关必须已绑定至少一个弹性公网 IP（EIP）
- 实例本身不能绑定 EIP 或配置公网带宽，否则会绕过 NAT 网关，导致 SNAT 不生效
配置 SNAT 规则的关键操作
SNAT 规则决定哪些私网 IP 流量走这个 NAT 网关，并使用哪个 EIP 出站。一条规则可覆盖整个子网 CIDR，也可精确到单个私网 IP。
- 登录云平台控制台 → 进入 NAT 网关管理页 → 找到目标网关 → 进入“SNAT 条目”页
- 点击“添加 SNAT 条目”，填写：源网段（如 192.168.1.0/24）、NAT 网关绑定的 EIP、可选名称
- 保存后，该网段内所有实例的出站流量自动被转换源 IP 为该 EIP，目的地址不变
- 若需更细粒度控制（例如只让 192.168.1.100 和 192.168.1.101 上网），可添加两条条目，分别填单 IP（如 192.168.1.100/32）
理解背后的转换机制
NAT 网关不是简单地替换 IP，而是维护一张动态会话映射表。它把每个连接的五元组（协议 + 源私网 IP + 源端口 + 目的 IP + 目的端口）映射为（协议 + EIP + 新源端口 + 目的 IP + 目的端口）。
- 同一 EIP 可支撑成千上万个并发连接，靠的是端口号复用（即 NAPT 模式）
- 返回流量到达 EIP 后，网关依据映射表还原原始私网 IP 和端口，准确转发回对应实例
- 无需手动维护映射关系，全部由网关自动完成
常见问题与注意事项
实际使用中容易忽略几个关键点，直接影响连通性与稳定性：
- 检查 VPC 路由表：必须存在指向该 NAT 网关的默认路由（目的地址 0.0.0.0/0，下一跳为 NAT 网关 ID），否则流量根本不会抵达网关
- 安全组/网络 ACL：确保允许实例发起出站连接（如放行 TCP 443、80），也允许 NAT 网关回包（通常无需额外开，但若启用了严格 ACL 需确认）
- EIP 绑定状态：NAT 网关创建后，EIP 必须成功绑定且处于“已绑定”状态；解绑或释放 EIP 将立即中断所有 SNAT 流量
- 连接数限制：单个 EIP + 单个 NAT 网关有并发连接数上限（各云厂商不同，一般数十万级），超限可能导致新建连接失败，可通过增加 EIP 并配置多条 SNAT 规则分担
