网络地址转换（NAT）在云网关上隐藏内部主机地址，靠的是SNAT将私有IP替换为网关公网IP，外部流量只能看到网关地址。
你可以把云网关想成公司总机内部所有电话打出去，显示的都是同一个总机号码，内部主机访问外网时，数据包先到网关，网关把源IP改成自己的公网IP，同时记下这条连接的映射关系，返回的数据包抵达网关后，再根据映射记录把目的IP改回原来的私有IP，这一来一回,内网主机始终不直接露脸。
云网关NAT怎么隐藏内部主机地址？
云网关上的NAT有两种类型：SNAT负责出网流量，DNAT负责入网流量，真正用来隐藏内网地址的是SNAT，它把所有内部主机的源地址，统一替换成网关的公网IP，外部设备根本看不见内网的10.x.x.x。
核心机制是SNAT，不是DNAT
- SNAT（源地址转换）：内部主机访问外网时,源IP被替换为网关公网IP。
- DNAT（目的地址转换）：把网关公网IP的端口映射到内部主机的服务上,用于主动暴露服务。
- 隐藏内网地址，靠的是SNAT,DNAT反而会把内部服务暴露给外部。
映射表和端口复用
每个连接都在NAT表里留一条记录，多台内网主机共用一个公网IP时，网关通过不同的源端口来区分彼此，例如内网A用10.0.0.2:1024发起连接，内网B用10.0.0.3:2048发起连接，网关把它们的源端口分别映射成20000和21000，外部看到的是同一个IP和不同端口，回应包到达后,网关再按端口倒推回对应的内网主机。
外部视角下，内网主机是不可见的
从公网看，所有流量都来自网关的公网IP，直接给内网IP发包，在公网路由上根本不存在，会被丢弃，这种机制让内网主机像藏在防盗门后面，没有合法映射的连接根本进不来，攻击者即使扫描到网关IP，看到的也只是网关自身的开放端口，无法推断内部Web服务器跑在哪个端口，近年来，云上安全事件中，相当一部分源于公网IP直接暴露后的弱口令和漏洞利用,NAT能明显减少这类攻击面。
云网关NAT与公网IP直连有何区别？
很多用户会问：直接给服务器绑公网IP不是更简单吗？NAT多了一层转发，性能会不会有损耗？对比一下就能明白。
云网关NAT和公网IP直连的对比
| 对比维度 | 公网IP直连 | 云网关NAT |
|---|---|---|
| 暴露面 | 每台服务器都直接暴露公网 | 只有网关暴露，内网IP彻底隔离 |
| 安全策略 | 需要逐台配置安全组和防护规则 | 网关统一收敛，出网策略集中管控 |
| IP成本 | 每台服务器需要独立公网IP | 多个实例共享一个弹性公网IP |
| 扩展性 | 新增服务器要重新绑定IP和调整策略 | 新增实例自动匹配SNAT规则，无需改网络 |
为什么生产环境更推荐NAT
行业共识认为，生产环境通过云网关NAT统一出网，既能隐藏内网结构，又能简化安全策略，公网IP直连虽然能提供更高的双向访问效率，但代价是攻击面过大，尤其在云上，内网主机一旦配上公网IP,就相当于把房门钥匙交给了整个互联网。
NAT也有局限性
- 对FTP、SIP这类带内协议不友好,需要额外开启ALG支持。
- 长连接在NAT表项超时后可能中断,需要调整会话保活参数。
- 端到端加密场景下NAT本身透明,但涉及源地址校验的应用会受影响。
实际部署中，很多团队会把NAT和负载均衡结合，对外提供Web服务时，流量先到负载均衡，再转发到后端ECS；后端ECS访问外网时走NAT网关，这样入站和出站流量都有清晰边界,内部主机无论哪个方向都不会把私有IP暴露出去。
云网关NAT配置步骤：内网主机隐藏的实操路径
光懂原理不够，还得能落地，下面给出通用配置流程和验证方法，不同云厂商控制台叫法略有差异,但核心步骤一致。
控制台通用配置流程
- 在VPC网络里创建NAT网关,选择所属可用区和规格。
- 绑定弹性公网IP（EIP）到NAT网关。
- 创建SNAT规则，填写源网段，例如
0.0.0/16。 - 在VPC路由表中添加默认路由
0.0.0/0,下一跳指向NAT网关。 - 从内网主机发起一次访问,确认出口IP是网关公网IP。
简米云NAT网关配置、酷番云NAT网关配置、华为云NAT网关配置，基本都在VPC控制台里完成，操作路径通常是：NAT网关→创建实例→绑定EIP→配置SNAT规则→更新路由表。
用iptables模拟SNAT，理解底层机制
如果你手里有一台Linux云主机,可以用iptables复现同样的逻辑：
iptables -t nat -A POSTROUTING -s 10.0.0.0/16 -o eth0 -j SNAT --to-source 203.0.113.10这条规则会把来自0.0.0/16网段、从eth0出站的数据包源地址改成0.113.10，保存规则后,在内网主机执行：
curl ifconfig.me返回的IP就是0.113.10，内网主机的真实IP没有暴露，云网关底层也是类似的转换机制,只是控制台帮你封装好了。
验证隐藏效果的三条命令
ip addr show：查看本机IP,确认是否为私有地址。curl ifconfig.me：查看出口公网IP,应与网关EIP一致。traceroute <公网IP>：第一跳是网关内网IP,之后路径上不会出现内网网段。
三步验证通过,说明内部主机地址确实被网关藏住了。
云网关NAT价格和选型：不同场景怎么挑？
NAT网关不是免费的,选型前得先搞懂计费逻辑和关键参数。
计费模式按规格和流量走
云网关NAT通常按实例规格计费，规格越高，支持的最大连接数和吞吐量也越高，同时绑定弹性公网IP会产生公网流量费用，国内不同地域的云网关NAT价格会有差异，一般按小时计费，也支持包年包月，具体价格以各厂商官网控制台展示为准,没有统一标准。
选型看三个参数
- 最大并发连接数：决定能承载多少条活跃会话,高并发业务优先看这个。
- 数据包吞吐量：单位时间内能转发的包数，适合大流量、大文件场景。
- 可用性：生产环境建议选择多可用区部署的NAT网关,避免单点故障。
根据场景选择规格
- 小规模Web服务：基础规格NAT即可,多台后端服务器共享一个EIP。
- 办公网络或开发环境：带端口复用的NAT足够,成本低。
- 视频处理或文件传输：需要高吞吐规格,避免带宽瓶颈。
选型时不要盲目追高，先估算内网主机的并发数和峰值流量,再对照厂商规格表选择。
云网关NAT隐藏内网地址常见问题解答
云网关NAT和负载均衡都能隐藏服务器地址，有什么区别？
NAT负责源地址转换，隐藏的是内部主机的出网身份；负载均衡负责目的地址转发，隐藏的是后端服务器的接收地址，前者管流量出去，后者管流量进来，两者用途不同，但可以叠加使用,让入站和出站流量都有清晰边界。
为什么配了云网关NAT，内网主机还是上不了网？
优先检查SNAT规则中的源网段是否覆盖了实际内网段、路由表是否把出网流量指向NAT网关、NAT网关是否绑定了有效公网IP，同时确认安全组没有拦截出站流量，多数情况下,路由或规则漏配是主要原因。
云网关NAT能让外部主动访问内网主机吗？
默认不能，NAT隐藏了内网地址，外部主动连接没有对应映射，会被网关丢弃，如果非要暴露服务，需要配置DNAT规则，把网关公网IP的特定端口映射到内网主机上，外部即使扫到网关,也无法探测到其他内网主机。