微服务统一出口IP的关键是通过NAT网关集中调度SNAT流量，收敛至稳定可审计的IP池，禁用节点级EIP，配置合理会话超时与回程路由，确保白名单适配与连接可靠性。
在微服务架构中规划统一出口 IP，关键不是“堆设备”，而是把 NAT 网关作为出口流量的集中调度点，让所有服务出站请求都经过同一套 SNAT 规则和地址池，从而对外呈现稳定、可管理、可审计的源 IP。
明确出口边界，收敛流量路径
微服务通常分散部署在多个命名空间、集群或可用区，但出口必须收口。做法是：
- 将所有需公网访问的服务（如调用支付网关、短信平台、第三方 API）全部接入同一个虚拟网络（VNet）或通过 VPC 对等连接/云企业网 CEN 汇聚到统一出口子网
- 该子网不直接挂载任何业务 Pod 或 VM，仅部署 NAT 网关实例（Azure/AWS/GCP 均支持标准 SKU 的高可用 NAT 网关）
- 禁用各节点默认的弹性公网 IP（EIP）或实例级 SNAT，避免流量绕过统一出口
绑定静态 IP 池，支撑白名单与审计需求
多数 SaaS 厂商（如 Stripe、AWS S3 跨区域访问、银行接口）依赖 IP 白名单。此时不能只配一个 IP：
- 为 NAT 网关绑定 2–4 个标准 SKU 公网 IP（Azure）或 EIP（阿里云），形成可预测的出口 IP 池
- 避免使用 Easy-IP（仅出接口 IP），因其无法提供固定出口地址，且端口复用易触发目标端限流
- 若需区分服务类型（如“支付服务专用出口”“日志上报专用出口”），可配置多组 DNAT+SNAT 策略，但底层仍共用同一 IP 池，通过端口或标签识别来源
适配会话生命周期，防止连接中断
微服务间常有长连接（gRPC、WebSocket）、心跳保活或低频高时延调用（如定时同步任务），NAT 默认超时会切断合法连接：
- TCP 空闲超时建议设为 7200 秒（2 小时），避免数据库连接池、消息队列客户端异常断连
- UDP（DNS 查询、健康检查 UDP 探针）超时至少设为 600 秒，防止服务发现失败
- 监控会话表使用率（show ip nat statistics 或云平台 NAT 监控指标），确保容量 ≥ 并发连接数 × 1.8；200 个微服务实例 × 平均 500 连接 ≈ 需 10 万+ 会话条目
与路由、安全策略协同，避免“半通”故障
出口 IP 统一了，不代表流量一定能回来——回程路径必须匹配：
- 确保所有后端服务子网配置指向 NAT 网关所在子网的回程路由（例如：目的为 0.0.0.0/0 的下一跳是 NAT 子网网关）
- 关闭非必要 ALG（如 FTP/SIP），除非明确调用对应协议；ALG 错误解析载荷会导致 gRPC/HTTP2 流量异常
- 在 ACL 或 NSG 中放行 NAT 子网 → 外网的出向流量，并允许外网 → NAT 公网 IP 的入向响应流量（状态化 NAT 自动允许返回包，但初始 SYN 仍需显式放行）
