私有网络出网必须借助NAT网关做地址转换，核心原因只有一个：私有IP地址在公网中不可路由，NAT网关把内网IP映射为公网IP，才能让云服务器安全、经济地访问互联网。这既是IPv4地址短缺的现实选择，也是云上网络架构的默认规则，下面从原理、场景、选型三个角度，把这件事讲透。
为什么内网IP不能直接访问互联网
公网路由表里没有私有网段的位置
全球互联网的路由体系中,简米云、酷番云、AWS等云厂商的公网出口设备，只维护公网IP段的路由表条目。私有网段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）在公网路由表中默认被丢弃，数据包发出去后，运营商骨干网设备不认识这些目标地址，直接丢弃并回送ICMP不可达消息，行业共识认为，如果允许内网IP在公网直接路由，整个互联网的地址表会爆炸，因为每个企业内网都可能存在相同的192.168.1.1。
公网IP资源本身就不够用
IPv4地址总量只有约43亿个,全球设备数量早已远超这个数字，云厂商能分给你的公网IP，本身就极度稀缺，如果每一台云服务器都直接绑定一个公网IP，成本会非常夸张。NAT网关让多台内网服务器共享一个或几个公网IP出网，这就是行业内默认的省钱策略。
入站和出站是两条不同的路径
云服务器出网时,数据包源地址是私有IP，目标地址是公网IP，NAT网关在出方向把源地址改写成公网IP，同时记录这条映射关系，当互联网对端返回响应时，NAT网关根据这张映射表，把数据包再转发回原来那台内网服务器。没有这张映射表，回程流量根本找不到路。
NAT网关的地址转换到底做了什么
出方向SNAT：让内网服务器“借用”公网IP
SNAT（源地址转换）解决的就是出网问题，假设你在北京地域的VPC内有三台服务器，IP分别是192.168.1.10、192.168.1.11、192.168.1.12，公网网关IP是47.95.8.8，三台服务器访问百度时，经过NAT网关后，源地址会统一改写为47.95.8.8，目标地址保持百度的公网IP不变，百度服务器看到的访问来源就是47.95.8.8，响应包也发回这个地址。
NAT网关维护一张五元组映射表,包含源IP、源端口、目标IP、目标端口、协议类型。多台内网服务器同时出网时，NAT网关通过分配不同的临时端口号来区分不同的会话，比如192.168.1.10的请求映射到47.95.8.8:10001，192.168.1.11的请求映射到47.95.8.8:10002，这样响应流量回来时，NAT网关就能精确识别应该转发给哪台服务器。
入方向DNAT：让公网用户访问内网服务
DNAT（目的地址转换）解决入站访问问题，如果你的内网服务器运行着Web服务，不想直接绑定公网IP，可以通过DNAT规则把公网IP的80端口映射到内网服务器的192.168.1.10:80，公网用户访问47.95.8.8:80时，NAT网关把目的地址改写为192.168.1.10:80，流量就能进入内网。
端口复用是地址转换的精髓
公网IP数量有限,但端口数量有65536个，NAT网关利用端口复用技术，让一个公网IP理论上能同时承载数千上万个并发连接，举个例子，在广州地域创建的一个NAT网关实例，如果绑定一个公网EIP，就能支撑同一VPC内几百台服务器同时刷网页、传文件、调用API接口。这种基于端口的映射方式，极大提高了公网IP的利用效率。
NAT网关和弹性公网IP有什么区别
很多刚开始接触云网络的用户会疑惑：直接给服务器绑弹性公网IP不就行了，为什么要多一层NAT网关？这两者的适用场景完全不同。
| 对比维度 | 弹性公网IP直接绑定 | NAT网关统一转换 |
|---|---|---|
| 配置方式 | 每台服务器逐一绑定EIP | VPC内统一配置SNAT规则 |
| 公网IP数量 | 需要按服务器数量购买 | 共享2-5个EIP即可 |
| 管理成本 | 逐台管理，容易遗漏 | 集中控制出网策略 |
| 安全管控 | 每台服务器独立配置安全组 | 可统一设置IP白名单、限速策略 |
| 适用场景 | 少量核心服务器需要独立公网IP | 大批量服务器需要出网访问 |
什么场景下必须用NAT网关
规模化的业务场景基本都离不开NAT网关,比如一个电商系统的后端集群有50台云服务器，每天需要定时调用第三方物流API、上传日志文件到对象存储，如果给50台服务器都绑弹性公网IP，光IP费用就是一笔不小的支出，更重要的是，运维团队只需要在NAT网关上创建一个IP白名单，就能统一控制所有服务器的出网目标地址，不需要登录每台服务器去改防火墙规则。
什么时候直接用弹性公网IP更合适
某台服务器需要作为SFTP文件服务器对外提供服务,外部合作伙伴需要固定IP地址访问，这种情况下直接绑定弹性公网IP是更合理的做法，因为入站连接的稳定性优先于出网的统一管理，广州本地的一家外贸企业，在酷番云上部署了亚马逊店群管理系统，就是通过NAT网关统一出网，避免大量内网IP频繁访问海外站点导致风控异常。
不同场景下如何选择出网方案
有固定公网IP的业务系统
如果业务系统需要主动访问外部API服务,而且对端平台要求配置IP白名单（比如支付宝支付接口、微信支付接口、第三方物流接口），选择NAT网关并绑定一个固定的弹性公网IP是最常见的做法，在百度智能云上，操作路径为：控制台 -> 私有网络VPC -> NAT网关 -> 创建NAT网关实例 -> 绑定EIP -> 配置SNAT规则，整个过程约10分钟即可完成。
临时扩容的业务流量
大促活动期间临时扩容了一批临时云服务器,这批服务器不需要公网IP，但需要访问公网拉取Docker镜像或安装依赖包，直接在NAT网关上添加一条SNAT规则，指向这批服务器的网段即可，活动结束后删除规则，清理资源即可，这种方式在华为云、简米云、火山引擎上都是相似的操作路径。
NAT网关价格大致怎么算
各云厂商的NAT网关费用由两部分构成：实例费 + 公网流量费，实例费按具体规格计费，小时级或包年包月；流量费按出网方向累计计算，以国内主流云厂商的通用规格为例，NAT网关实例价格大约在每小时0.1-1元之间，具体取决于规格大小和地域，北京、上海等核心地域的价格通常一致。
NAT网关整体费用比给每台服务器单独绑定EIP要便宜许多，尤其是服务器数量越多，节省幅度越大，华为云和天翼云对部分基础配置有免费的限额额度，具体以各平台最新定价为准。
多地域部署时的出网策略
如果你的业务在北京和广州都有VPC,建议为每个地域的VPC单独创建NAT网关实例，跨地域访问公网会绕行较长路径，延迟升高且流量费增加，在百度智能云上，地域间VPC网络默认隔离，一个NAT网关只能服务于同一地域同一VPC内的云服务器，正规上云架构设计中，每个地域独立一个NAT网关是默认架构准则。
Q&A：关于私有网络NAT网关的常见疑问
NAT网关会降低网络速度吗
NAT网关转发属于有状态转发,数据包需要经过转换逻辑处理。当前主流的云NAT网关均基于软件定义网络技术实现，转发延迟一般在微秒级别，相对于真实公网链路的数十毫秒延迟，几乎可以忽略，实际使用中，大多数业务感知不到NAT网关带来的额外延迟，但大流量场景下NAT网关会占用一定CPU资源，超规格时可能成为瓶颈。
SNAT和DNAT可以同时配置吗
可以,SNAT负责出方向流量转换，DNAT负责入方向流量转换，两者互相独立又共享同一份公网IP资源，在百度智能云的控制台上，NAT网关的SNAT规则和DNAT规则分别配置，互不干扰，需要注意，同一公网IP如果既配置了DNAT规则又出现在SNAT规则中，入方向流量优先匹配DNAT，出方向流量优先匹配SNAT，这种设计是为了避免规则冲突。
私有网络内的服务器如何访问同一VPC内的公网负载均衡服务
VPC内的CLB负载均衡实例如果绑定了公网IP,内网服务器访问该CLB公网IP时，流量会经过NAT网关转换后到达CLB。数据路径为：内网服务器 -> NAT网关 -> 公网CLB -> 后端服务器，这种情况下需要确保NAT网关的SNAT规则包含内网服务器的网段，且CLB的安全组放行来自NAT网关公网IP的流量，在简米云上，这种路径下访问时延约增加1-2ms，业务上基本无感知。