NAT网关配置SNAT可使无公网IP的私网服务器安全访问互联网：需删除冲突路由、配置0.0.0.0/0指向NAT网关的路由、绑定EIP，并为指定私网IP段创建SNAT条目；验证时curl返回EIP即成功。
用 NAT 网关配置 SNAT，核心就是让没有公网 IP 的私网服务器（比如 VPC 内的数据库、后端 ECS）能主动访问互联网，同时不暴露自身 IP，也不允许外网反向连接——这是默认安全模型。
确认前提条件
配置前必须满足几个硬性要求：
- VPC 中不能存在目标网段为 0.0.0.0/0 的自定义路由（否则会和 SNAT 冲突，需删除）；
- 子网的路由表中已添加一条指向该 NAT 网关的路由，目标网段设为 0.0.0.0/0，下一跳类型选“NAT 网关”；
- NAT 网关已成功创建并绑定至少一个弹性公网 IP（EIP），这是出向流量的统一出口地址；
- 若使用子账号（RAM 用户），需确保其拥有 VPC 和 NAT 网关的读写权限。
创建并绑定 SNAT 条目
SNAT 条目定义了哪些私网 IP 范围可通过该网关访问外网：
- 在控制台进入“公网 NAT 网关 → SNAT 条目 → 新建”，选择要授权的交换机或私网 IP 段（例如 192.168.10.0/24 或直接填单个 ECS 私网 IP）；
- 指定使用的公网 IP（EIP）——可复用一个 EIP 服务多个内网实例，系统自动做端口级映射；
- 每条 SNAT 条目默认生效，无需额外启用；单个 NAT 网关默认支持最多 40 条，如需更多可自助提配额申请。
验证与常见问题
配置完成后，登录私网服务器测试连通性：
- 执行
curl -v http://httpbin.org/ip，返回的 IP 应为所绑定的 EIP，而非服务器自身私网 IP； - 执行
ping www.baidu.com或wget --spider https://alibaba.com，确认基础网络可达； - 注意：SNAT 仅处理出向主动请求，不开放任何入向端口，所以外网无法直接 telnet 或 ssh 连该服务器；
- 若失败，检查 ECS 安全组是否放行了出方向任意协议（通常默认允许），以及路由表是否真正生效（可用
ip route get 8.8.8.8验证下一跳）。
整个过程不涉及手动改 iptables 或开转发，全托管在云平台完成，既简化运维又保障一致性。
