真正用好NAT网关需精确建模、动态调优、持续验证：理论容量受限于会话表容量与端口复用效率，非简单65535；SNAT须配回程路由，DNAT需避开保留端口并同步ACL；压测应聚焦连接洪泛、长连接保活、混合协议三维度；排障优先查show ip nat translations、show ip nat statistics和show conntrack -L三张表。
要真正用好NAT网关，不能只停留在“配通就行”的层面。它既不是透明管道，也不是万能胶水，而是一个需要精确建模、动态调优、持续验证的状态化流量中枢。从理论容量预估到真实业务压测，每个环节都可能成为性能瓶颈或故障源头。
理论容量怎么算：别被65535骗了
NAT能力的核心限制不在带宽，而在会话表容量与端口复用效率。一个常见误区是认为“1个公网IP最多支撑65535个连接”——这仅适用于理想TCP长连接且无超时清理的静态场景。现实中必须考虑：
- 并发连接数 ≠ 端口数：UDP会话默认120秒超时，视频会议类应用每分钟可能新建数百连接，实际承载能力远低于理论值
- 会话表条目开销不统一：TCP会话占2条（SYN+ESTABLISHED），UDP/ICMP各占1条，ALG启用后（如SIP）可能达3–5条
- 建议公式：所需会话容量 ≥（日均活跃用户数 × 峰值并发连接系数）×（1 + 安全余量30%）。例如500人办公网，按人均8连接、峰值系数2.5计算，至少需1.3万条；中型企业应按20万起步规划
SNAT/DNAT策略设计的关键细节
策略写错，流量就“半路失踪”。真正影响可用性的常是路由与NAT的配合逻辑，而非设备本身：
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- SNAT必须配回程路由：内网A发包经NAT转换后从EIP出，响应包若没在出口设备上配置指向内网A的路由，就会被丢弃——现象是“能发不能收”
- DNAT映射要避开保留端口：如将Web服务映射到80端口，但防火墙默认拦截外部对80的主动探测，需同步放行ACL
- 多子网共用NAT时，子网路由表必须指向NAT网关接口IP，而非NAT网关实例ID——这是云平台配置中最易填错的字段
压力测试不能只看吞吐，要看会话生命周期
传统压测工具（如JMeter）模拟HTTP请求，但NAT瓶颈往往出现在连接建立、保持、释放阶段。有效压测需聚焦三个维度：
- 连接洪泛测试：用nat-test或自研UDP探测工具，每秒新建1000+短连接，观察会话表溢出率与丢包突增点
- 长连接保活验证：模拟SSH、数据库连接等空闲长连接，设置不同超时值（如TCP 3600s vs 7200s），记录被强制回收比例
- 混合协议压力：同时发起TCP（HTTP）、UDP（DNS/语音）、ICMP（健康检查）流量，验证ALG开关对CPU和延迟的实际影响
排障时优先查这三张表
90%的NAT类故障，靠三条命令就能定位根源：
- show ip nat translations：看当前会话映射是否符合预期（比如某IP始终映射到同一EIP，说明未启用地址池轮转）
- show ip nat statistics：关注“hits”（命中数）、“misses”（未命中）、“expirations”（超时清除）和“failures”（表满丢包计数）
- show conntrack -L | wc -l（Linux系统）：实时查看nf_conntrack表实际占用，比厂商CLI更底层、更真实
