NAT网关故障排查需分层定位：先验网络连通性，再查规则生效性，最后核资源状态与配置一致性；高可用调优重在收敛故障域、分散连接压力、规避单点瓶颈。
排查 NAT 网关故障，核心是分层定位：先确认网络连通性是否正常，再检查规则是否生效，最后验证资源状态与配置一致性。高可用调优不靠堆资源，而在于收敛故障域、分散连接压力、规避单点瓶颈。
一、SNAT 出口不通的典型原因与快速验证
业务无法访问公网，常见并非 NAT 网关本身宕机，而是路径中断或规则未命中。
-
路由表未指向 NAT 网关：私有子网的默认路由（0.0.0.0/0）必须明确指向对应可用区的 NAT 网关实例 ID，不能指向其他网关或 EIP。可在 ECS 实例中执行
ip route show验证下一跳。 - SNAT 条目源网段不匹配：ECS 的私网 IP 必须落在 SNAT 条目配置的源 CIDR 内。注意掩码长度优先级——/32 > /24 > /16，重叠时长掩码条目会覆盖短掩码条目。
- EIP 未绑定或不可用：NAT 网关创建后若选“稍后配置”，需手动绑定 EIP；已绑定的 EIP 若被封禁、欠费或带宽跑满，也会导致出口失败。可通过控制台查看 EIP 状态及监控中的“出方向流量”指标。
- 连接空闲超时触发断连：TCP 连接空闲 900 秒、UDP 空闲 60 秒后会被自动释放。对长轮询或心跳间隔长的业务，需在客户端侧启用保活（keepalive）或缩短服务端超时设置。
二、单可用区 NAT 网关故障影响范围控制
单可用区 NAT 网关本质是“故障半径可控”的设计选择，不是妥协，而是主动隔离风险。
- 每个可用区部署独立 NAT 网关，且各自绑定不同 EIP 或共享带宽内的不同 IP，确保一个可用区整体失效（如交换机断电、AZ 级网络中断）时，其他可用区流量完全不受影响。
- 关键动作是路由表与可用区对齐：为每个私有子网单独配置路由表，并将默认路由指向本可用区内的 NAT 网关。避免跨 AZ 子网共用同一张路由表。
- 不建议为单个子网配置多条默认路由指向多个 AZ 的 NAT 网关——云平台不支持 ECMP 路由负载分担，会导致部分流量丢弃。
三、高并发场景下连接数瓶颈突破方案
单 EIP 理论最大 TCP 并发连接约 6.5 万，当业务连接数持续接近该值，会出现端口分配失败、新建连接延迟升高甚至超时。
- 启用 SNAT POOL（地址池）：将 3–5 个 EIP 组成逻辑池，通过哈希算法分配源 IP。同一源 IP + 目标 IP 组合始终使用相同 EIP，兼顾会话保持与连接扩容。
- 配合连接数限流：为每个 EIP 设置连接数上限（如 2 万），防止某 IP 过载拖垮整个池。超出阈值的新建连接由调度器自动分配至其他可用 IP。
- 开启 EIP 亲和性：在 SNAT 条目中启用该选项，可减少因 IP 切换导致的 TLS 会话重建开销，尤其利于 HTTPS 类业务。
- 避免将所有业务混用一个大网段 SNAT 条目，按业务线或模块划分更细粒度源网段（如 192.168.10.0/24、192.168.20.0/24），便于后续定向限流与问题隔离。
四、DNAT 与 SNAT 同实例混用注意事项
当 NAT 网关同时提供对外服务（DNAT）和内网出访（SNAT）能力时，需确保其运行在 NAT 模式而非传统 SNAT 模式。
- 调用
DescribeNatGateways接口检查EipBindMode字段，值为NAT才支持 SNAT 访问同实例 DNAT 服务（即内网 ECS 通过 SNAT 访问自己发布的公网服务）。 - 若需切换，调用
ModifyNatGatewayAttribute将EipBindMode设为NAT。注意该操作不中断现有连接，但新连接将按 NAT 模式处理。 - 此模式下，DNAT 规则的端口映射仍需显式配置，且 SNAT 条目与 DNAT 条目的目标端口无冲突即可共存。
