NAT网关 NAT-华为云

NAT网关 NAT-入门指引

入门指引本文档将以部署VPC内计算实例以指定私网地址接入线下本地数据中心为场景，帮助您学习如何创建和使用私网NAT网关。用户本地数据中心（IDC）通过云专线接入虚拟私有云（VPC），VPC中的E CS 需要转换成IDC指定的私网网段进行通信，详情可见下方的组网图。图1 组网图下列配置指导仅以VPC Peering做示例，实际专线配置以云专线指导为准。假设用户IDC（Peering目的VPC）网段为10.0.0.0/24，接入中转VPC区域为“华北-北京四”，中转VPC子网网段为10.1.0.0/24。实现方式如下：通过云专线（Peering）将用户IDC（Peering目的VPC）与中转VPC连通。搭建私网NAT网关，将业务VPC与目的网段（Peering目的VPC）连通。您将按以下流程学习如何创建和使用私网NAT网关。图2 入门流程父主题：使用私网NAT网关为VPC内计算实例实现线上线下互通

NAT网关 NAT 使用私网NAT网关为VPC内计算实例实现线上线下互通

NAT网关 NAT-步骤3：购买公网NAT网关:前提条件

前提条件已购买了公网NAT网关所需的VPC和子网。由于需要放通到公网NAT网关的流量，即在VPC中需要有指向公网NAT网关的路由，因此在购买公网NAT网关时，会自动在VPC的默认路由表中添加一条0.0.0.0/0的默认路由指向所购买的公网NAT网关。如果在购买公网NAT网关前，VPC默认路由表下已经存在0.0.0.0/0的默认路由，则会导致自动添加该默认路由指向公网NAT网关失败，此时需要在公网NAT网关购买成功后，手动为此网关添加一条不同的路由或在新路由表中创建0.0.0.0/0的默认路由指向该网关。

NAT网关 NAT 云间NAT网关高速访问互联网

NAT网关 NAT-步骤2：购买公网NAT网关:前提条件

前提条件购买公网NAT网关必须指定公网NAT网关所在VPC、子网。由于需要放通到公网NAT网关的流量，即在VPC中需要有指向公网NAT网关的路由，因此在购买公网NAT网关时，会自动在VPC的默认路由表中添加一条0.0.0.0/0的默认路由指向所购买的公网NAT网关。如果在购买公网NAT网关前，VPC默认路由表下已经存在0.0.0.0/0的默认路由，则会导致自动添加该默认路由指向公网NAT网关失败，此时需要在公网NAT网关购买成功后，手动为此网关添加一条不同的路由或在新路由表中创建0.0.0.0/0的默认路由指向该网关。

NAT网关 NAT 使用SNAT访问公网

NAT网关 NAT-通过私网NAT网关实现云上云下互通:操作流程

操作流程操作步骤说明准备工作使用云服务前，您需要注册华为账号并开通华为云、完成实名认证、为账户充值。步骤一：创建业务VPC和中转VPC 创建业务VPC（含业务子网）和中转VPC（含中转子网）。步骤二：配置VPC Peering 创建VPC对等连接将用户IDC（Peering目的VPC）与中转VPC连通。步骤三：购买私网NAT网关购买一个私网NAT网关。步骤五：添加SNAT规则为私网NAT网关添加SNAT规则，通过绑定中转IP可实现VPC内的多个云服务器共享中转IP，访问外部数据中心或其他VPC。步骤六：添加路由自定义路由，路由包括目的地址、下一跳类型、下一跳地址等信息，可以决定网络流量的走向。步骤七：添加安全组规则在目的VPC包含的云服务器中添加入方向安全组规则，用于将转发到目的端的流量全部放通。

NAT网关 NAT

NAT网关 NAT-通过公网NAT网关的DNAT规则面向公网提供服务:操作流程

操作流程操作步骤说明准备工作使用云服务前，您需要注册华为账号并开通华为云、完成实名认证、为账户充值。步骤一：购买EIP 购买一个弹性公网IP。步骤二：购买公网NAT网关购买一个公网NAT网关。步骤三：添加默认路由指向公网NAT网关添加路由表。步骤四：添加DNAT规则为公网NAT网关添加DNAT规则，使得对应子网网段内的云服务器共享EIP访问公网。步骤五：验证是否成功添加DNAT规则验证DNAT规则已在运行中。步骤六：验证私网服务器可以被外部公网服务器通过NAT网关访问验证DNAT规则生效的云服务器可以被公网客户端成功访问。

NAT网关 NAT

NAT网关 NAT-通过公网NAT网关的SNAT规则访问公网:操作流程

操作流程操作步骤说明准备工作使用云服务前，您需要注册华为账号并开通华为云、完成实名认证、为账户充值。步骤一：购买EIP 购买一个弹性公网IP。步骤二：购买公网NAT网关购买一个公网NAT网关。步骤三：添加SNAT规则为公网NAT网关添加SNAT规则，使得对应子网网段内的云服务器共享EIP访问公网。步骤四：验证是否成功添加SNAT规则验证SNAT规则已在运行中。步骤五：验证服务器是否可以通过NAT网关访问公网验证SNAT规则生效网段内的云服务器可以访问公网。

NAT网关 NAT

NAT网关 NAT-购买公网NAT网关:约束与限制

约束与限制同一个公网NAT网关下的多条规则可以复用同一个弹性公网IP，不同网关下的规则必须使用不同的弹性公网IP。一个VPC支持关联多个公网NAT网关。 SNAT、DNAT可以共用同一个弹性公网IP，节省弹性公网IP资源。但是在选用全端口模式下，DNAT优先占用全部端口，这些端口不能被 SNAT 使用。因此SNAT规则不能和全端口的DNAT规则共用EIP，以免出现业务相互抢占问题。公网NAT网关支持转换的资源类型不包括企业型VPN。当云主机同时配置弹性公网IP服务和公网NAT网关服务时，数据均通过弹性公网IP转发。出于安全因素考虑，部分运营商会对下列端口进行拦截，导致无法访问。建议避免使用下列端口：协议不支持端口 TCP 42 135 137 138 139 444 445 593 1025 1068 1434 3127 3128 3129 3130 4444 4789 4790 5554 5800 5900 9996 UDP 135~139 1026 1027 1028 1068 1433 1434 4789 4790 5554 9996

NAT网关 NAT

NAT网关 NAT-购买公网NAT网关:前提条件

前提条件购买公网NAT网关必须指定公网NAT网关所在VPC、子网。由于需要放通到公网NAT网关的流量，即在VPC中需要有指向公网NAT网关的路由，因此在购买公网NAT网关时，会自动在VPC的默认路由表中添加一条0.0.0.0/0的默认路由指向所购买的公网NAT网关。如果在购买公网NAT网关前，VPC默认路由表下已经存在0.0.0.0/0的默认路由，则会导致自动添加该默认路由指向公网NAT网关失败，此时需要在公网NAT网关购买成功后，手动为此网关添加一条不同的路由或在新路由表中创建0.0.0.0/0的默认路由指向该网关。

NAT网关 NAT

NAT网关 NAT-购买私网NAT网关:约束与限制

约束与限制用户需要在VPC下手动添加私网路由，即通过创建对等连接或开通云专线/VPN连接远端私网。 SNAT规则和DNAT规则不能共用同一个中转IP。私网NAT网关支持添加的DNAT规则和SNAT规则的数量如下：小型：DNAT规则和SNAT规则的总数不超过20个。中型：DNAT规则和SNAT规则的总数不超过50个。大型：DNAT规则和SNAT规则的总数不超过200个。超大型：DNAT规则和SNAT规则的总数不超过500个。

NAT网关 NAT 购买私网NAT网关

NAT网关 NAT-私网NAT网关简介:应用场景

应用场景重叠网段VPC间互通私网NAT网关提供私网地址转换服务，利用两个私网NAT网关，配置SNAT、DNAT规则，可同时将源、目的网段地址转换为中转IP，通过使用中转IP实现两VPC间互通。私网NAT网关解决了两个重叠网段虚拟私有云中的云主机互相访问的问题。如下图所示，创建一个中转VPC，然后使用两个私网NAT网关将VPC A中IP地址为192.168.0.1的弹性云服务器地址转化为10.0.0.11、将VPC B中IP地址为192.168.0.1的弹性云服务器地址转化为10.0.0.22，通过转化后的IP地址相互访问。图2 重叠网段VPC间互通企业网络上云及指定IP接入大企业等机构上云，希望迁移上云保持组网不变，使用私网NAT网关无需对网络做任何更改即可保持原有方式互通。同时，行业监管部门要求指定地址接入，使用私网NAT网关将各部门的IP地址映射为指定地址接入行业监管部门，满足企业安全规范。如下图所示，企业部门间存在网段重叠，使用私网NAT网关，实现企业各部门迁移上云后组网不变，部门间保持原有方式互通，简化了IDC上云的网络规划；使用私网NAT网关，配置SNAT规则，将各部门的IP地址映射为符合要求的10.0.0.33地址接入行业监管部门，提升企业的安全性。

NAT网关 NAT 私网NAT网关

NAT网关 NAT-私网NAT网关简介:公网NAT网关与私网NAT网关对比

公网NAT网关与私网NAT网关对比公网NAT网关通过配置SNAT规则将私有IP映射为弹性公网IP，实现VPC内的云主机通过共享弹性公网IP访问互联网；配置DNAT规则共享弹性公网IP为公网提供服务。私网NAT网关通过配置SNAT规则将私有IP映射为中转IP，实现VPC内的云主机访问私网中的用户数据中心或其他VPC；配置DNAT规则共享中转IP为私网提供服务。表1概括了公网NAT网关和私网NAT网关间的差异：表1 公网NAT网关与私网NAT网关对比功能项公网NAT网关私网NAT网关功能私网和公网间互通私网和私网间互通 SNAT功能访问公网访问私网中的IDC或其他VPC DNAT功能为公网提供服务为私网中的IDC或其他VPC提供服务互通媒介弹性公网IP 中转IP

NAT网关 NAT 私网NAT网关

NAT网关 NAT-私网NAT网关简介:什么是私网NAT网关？

什么是私网NAT网关？私网NAT网关（Private NAT Gateway），能够为虚拟私有云内的云主机（弹性云服务器、裸金属服务器）提供私网地址转换服务。您可以在私网NAT网关上配置SNAT、DNAT规则，可将源、目的网段地址转换为中转IP，通过使用中转IP实现VPC内的云主机与其他VPC、云下IDC互访。私网NAT网关分为SNAT和DNAT两个功能： SNAT功能通过绑定中转IP，可实现VPC内跨可用区的多个云主机共享中转IP，访问外部数据中心或其他VPC。 DNAT功能通过绑定中转IP，可实现IP映射或端口映射，使VPC内跨可用区的多个云主机共享中转IP，为外部私网提供服务。中转子网中转子网相当于一个中转网络，您可以在中转子网中创建私网IP，即中转IP，使本端VPC中的云主机可以共享该中转IP访问用户IDC或其他远端VPC。中转VPC 中转子网所在VPC。图1 私网NAT网关

NAT网关 NAT 私网NAT网关

NAT网关 NAT-NAT网关自定义策略:策略样例

策略样例示例1：授权用户创建和删除NAT网关 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "nat:natGateways:create", "nat:natGateways:delete" ] } ] } 示例2：拒绝用户删除NAT网关拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。如果您给用户授予NAT FullAccess的系统策略，但不希望用户拥有NAT FullAccess中定义的删除NAT网关权限，您可以创建一条拒绝删除NAT网关的策略，然后同时将NAT FullAccess和拒绝策略授予用户，根据Deny优先原则，则用户可以对NAT网关执行除了删除NAT网关外的所有操作。拒绝策略示例如下： { "Version": "1.1", "Statement": [ { "Action": [ "nat:natGateways:delete" ], "Effect": "Deny" } ] } 示例3：多个授权项策略一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是项目级服务或都是全局级服务。多个授权语句策略描述如下: { "Version": "1.1", "Statement": [ { "Action": [ "nat:natGateways:update", "nat:natGateways:create" ], "Effect": "Allow" }, { "Action": [ "vpc:vpcs:update" ], "Effect": "Allow" } ] }

NAT网关 NAT

NAT网关 NAT-创建用户并授权使用NAT网关:示例流程

示例流程图1 给用户授权NAT网关权限流程创建用户组并授权在 IAM 控制台创建用户组，并授予NAT网关服务权限“NATReadOnlyAccess”。创建用户并加入用户组在IAM控制台创建用户，并将其加入1.创建用户组并授权中创建的用户组。用户登录并验证权限。新创建的用户登录控制台，切换至授权区域，验证权限：在“服务列表”中选择NAT网关，进入NAT网关主界面，单击右上角“购买NAT网关”，如果无法购买NAT网关（假设当前权限仅包含NATReadOnlyAccess），表示“NATReadOnlyAccess”已生效。在“服务列表”中选择除NAT网关外（假设当前策略仅包含NATReadOnlyAccess）的任一服务，若提示权限不足，表示“NATReadOnlyAccess”已生效。

NAT网关 NAT 权限管理

NAT网关 NAT-支持审计的关键操作列表

支持审计的关键操作列表通过云审计服务，您可以记录与NAT网关相关的操作事件，便于日后的查询、审计和回溯。云审计支持的公网NAT网关操作事件列表如表1所示。云审计支持的私网NAT网关操作事件列表如表2所示。表1 云审计服务支持的公网NAT网关操作列表操作名称资源类型事件名称创建公网NAT网关 natgateway createNatGateway 修改公网NAT网关 natgateway updateNatGateway 删除公网NAT网关 natgateway deleteNatGateway 创建公网NAT网关DNAT规则 dnatrule createDnatRule 修改公网NAT网关DNAT规则 dnatrule updateDnatRule 删除公网NAT网关DNAT规则 dnatrule deleteDnatRule 创建公网NAT网关SNAT规则 snatrule createSnatRule 修改公网NAT网关SNAT规则 snatrule updateSnatRule 删除公网NAT网关SNAT规则 snatrule deleteSnatRule 表2 云审计服务支持的私网NAT网关操作列表操作名称资源类型事件名称创建私网NAT网关 privateNat createPrivateNat 修改私网NAT网关 privateNat updatePrivateNat 删除私网NAT网关 privateNat deletePrivateNat 创建私网NAT网关DNAT规则 privateDnatRule createPrivateDnatRule 修改私网NAT网关DNAT规则 privateDnatRule updatePrivateDnatRule 删除私网NAT网关DNAT规则 privateDnatRule deletePrivateDnatRule 创建私网NAT网关SNAT规则 privateSnatRule createPrivateSnatRule 修改私网NAT网关SNAT规则 privateSnatRule updatePrivateSnatRule 删除私网NAT网关SNAT规则 privateSnatRule deletePrivateSnatRule 创建中转子网 transitSubnet createTransitSubnet 修改中转子网 transitSubnet updateTransitSubnet 删除中转子网 transitSubnet deleteTransitSubnet 创建中转IP transitIp createTransitIp 删除中转IP transitip deleteTransitIp 父主题：审计

NAT网关 NAT 审计

云服务器内容精选

NAT网关 NAT

7*24

备案

专业服务

退订

建议反馈

售前咨询热线