NAT网关不支持流量镜像，因其为托管无状态服务，无操作接口且AWS明确排除支持；替代方案是采用GWLB+FortiGate架构，保留源IP并实现合规审计。
NAT网关本身不支持直接启用流量镜像功能。这是由其服务定位和底层实现决定的——NAT网关是托管型、无状态的网络地址转换服务，不具备配置镜像端口或复制数据包的能力。因此，不能像EC2实例那样在弹性网卡（ENI）上开启Traffic Mirroring。
为什么 NAT 网关无法直接做流量镜像
原因很明确：
- NAT网关属于亚马逊云科技（AWS）的托管网络服务，用户无法登录或配置其内部网络接口；
- 它不暴露任何可操作的网络接口，也不支持附加ENI或绑定镜像目标；
- 官方明确说明：NAT网关、中转网关、ELB等托管服务均不在流量镜像（Traffic Mirroring）的支持范围内。
替代方案：用 GWLB + 安全设备实现审计级流量分析
当需要对经过NAT网关的出向流量做安全审计与深度分析时，推荐采用网关负载均衡器（GWLB）作为中心汇聚点，配合FortiGate等支持在线检测的防火墙设备。这种架构绕过了NAT网关的限制，同时保留原始源IP信息（避免SNAT后丢失内网地址）。
- 在私有子网与公有子网之间部署GWLB终端节点，将所有私有子网路由指向GWLB；
- GWLB把流量分发给后端FortiGate集群，FortiGate执行DPI、威胁检测、日志记录等审计动作；
- FortiGate返回流量时，可选择是否执行二次SNAT，确保回程路径正确；
- 审计日志统一输出至SIEM平台（如Splunk、Amazon OpenSearch），满足《网络安全审查办法》对数据处理活动的留痕要求。
旁路式审计的关键前提：保留原始源IP
传统NAT网关会执行SNAT，导致所有出向流量源IP变成网关EIP，审计时无法识别具体哪台EC2或容器发起请求。而GWLB+FortiGate方案可通过以下方式解决：
- FortiGate部署在独立Inspection VPC中，启用“Preserve Source IP”模式；
- GWLB转发时携带原始五元组信息，FortiGate能解析并记录真实客户端IP；
- 结合VPC Flow Logs与FortiGate会话日志，实现用户级+系统级+应用级三重审计覆盖。
不复杂但容易忽略：真正的审计价值不在于“有没有流量”，而在于“能不能追溯到人、设备、时间、行为”。绕过NAT网关的硬性限制，用GWLB构建可控、可观、可审的流量入口，才是云上合规审计的可行路径。
