NAT 网关：创建和管理VPC NAT网关实例

前提条件

• 您已经创建了专有网络VPC。具体操作，请参见创建和管理专有网络。

• 您已经创建了交换机。具体操作，请参见创建和管理交换机。

创建VPC NAT网关

1. 登录NAT网关管理控制台。
2. 在左侧导航栏，选择NAT网关 > VPC NAT网关。
3. 在VPC NAT网关页面，单击创建VPC NAT网关。

4. 在VPC NAT网关（按量付费）页面，配置以下参数信息，然后单击立即购买。

   参数	说明
   地域	选择需要创建VPC NAT网关实例的地域。
   VPC ID	选择VPC NAT网关实例所属的VPC。创建VPC NAT网关实例后，不能修改其所属的VPC。
   可用区	选择VPC NAT网关实例所属的可用区。
   交换机ID	选择VPC NAT网关实例所属的交换机，建议选择独立的交换机。
   实例名称	设置VPC NAT网关实例的名称。
   服务关联角色	显示是否已有VPC NAT网关的服务关联角色。 首次使用NAT网关（包含公网NAT网关和VPC NAT网关），需要单击创建服务关联角色完成创建。

5. 在确认订单页面，确认参数配置信息并选中服务协议，然后单击立即开通。

   当出现恭喜，开通成功！的提示后，说明您创建成功。

6. 返回VPC NAT网关页面，查看已创建的VPC NAT网关。

   • 单击VPC NAT网关的实例ID，在基本信息页签，查看VPC NAT网关的VPC、交换机等信息。

   • 单击NAT IP页签，查看默认NAT IP地址段和默认NAT IP地址。

     说明

     默认NAT IP地址段为该VPC NAT网关所属交换机的网段，默认NAT IP地址为系统在交换机网段中随机分配的一个IP地址。默认NAT IP地址段和默认NAT IP地址均不能删除。

新建NAT IP地址段

成功创建VPC NAT网关后，系统会使用VPC NAT网关所属交换机的网段作为默认NAT IP地址段供您使用。您也可以为VPC NAT网关新建NAT IP地址段，满足更多需求。

1. 登录NAT网关管理控制台。
2. 在左侧导航栏，选择NAT网关 > VPC NAT网关。
3. 在顶部菜单栏，选择VPC NAT网关的地域。
4. 在VPC NAT网关页面，找到目标VPC NAT网关实例，单击VPC NAT网关的实例ID。

5. 单击NAT IP页签，再单击新建地址段。

6. 在新建地址段对话框，输入地址段名称和地址段，然后单击确定。

   新建的地址段必须满足以下条件：

   • 属于10.0.0.0/8、172.16.0.0/12或192.168.0.0/16网段及其子网。

   • 支持的子网掩码位数范围为16至32位。

   • 不能与VPC NAT网关所属VPC的私网网段重叠。如果您需要将私网地址转换为VPC私网网段内的其他地址，请在对应的VPC私网网段内创建交换机，然后在该交换机中创建新的VPC NAT网关提供私网地址转换服务。

   • 支持使用VPC NAT网关所属VPC的用户网段作为NAT IP地址段。关于用户网段的更多信息，请参见什么是用户网段？。

   当出现地址段添加成功！提示后，说明地址段新建成功。

添加NAT IP地址

NAT IP地址可以用来创建SNAT条目或DNAT条目。为了满足更多的需求，您可以在NAT IP地址段中添加NAT IP地址，增加VPC NAT网关用于地址转换的私网IP地址。

1. 登录NAT网关管理控制台。
2. 在左侧导航栏，选择NAT网关 > VPC NAT网关。
3. 在顶部菜单栏，选择VPC NAT网关的地域。
4. 在VPC NAT网关页面，找到目标VPC NAT网关实例，单击VPC NAT网关的实例ID。

5. 单击NAT IP页签，单击添加NAT IP。

6. 在添加NAT IP对话框，配置以下参数信息，然后单击确定添加。

   参数	说明
   选择地址段	选择需要添加NAT IP地址的地址段。 您可以选择VPC NAT网关下任意的NAT IP地址段或者新建NAT IP地址段。
   分配方式	选择NAT IP地址的分配方式。 随机分配IP：系统会在所选地址段中随机分配一个IP地址。 手动分配IP：您可以在所选地址段中指定一个IP地址。
   IP地址	输入所选地址段中的一个IP地址。当分配方式选择为手动分配IP时，需要配置该参数。
   NAT IP名称	输入NAT IP的名称。

创建SNAT条目

通过创建SNAT条目，使VPC中的资源通过NAT IP地址访问其他VPC或IDC网络。

1. 登录NAT网关管理控制台。
2. 在左侧导航栏，选择NAT网关 > VPC NAT网关。
3. 在顶部菜单栏，选择VPC NAT网关的地域。
4. 在VPC NAT网关页面，找到目标VPC NAT网关实例，然后在操作列单击SNAT管理。
5. 在SNAT管理页签，单击创建SNAT条目。

6. 在创建SNAT条目页面，配置以下参数信息，然后单击确定创建。

   参数	说明
   SNAT条目粒度	选择SNAT条目的粒度。 VPC粒度：VPC NAT网关所属VPC下的所有地址段可以通过配置的SNAT规则访问外部私网。 交换机粒度：指定交换机下的ECS实例通过配置的SNAT规则访问外部私网。 选择交换机：在下拉列表中选择交换机。您可以在下拉列表选择已创建的交换机；也可以单击创建交换机跳转到VPC控制台创建交换机后选择。 如果您选择多个交换机，将会为您创建多条SNAT条目，使用相同的NAT IP地址。 交换机网段：显示所选交换机的网段。 ECS粒度：指定的ECS实例通过配置的SNAT规则访问外部私网。 选择ECS：在下拉列表中选择ECS。该ECS实例将通过配置的SNAT规则访问外部私网。请确保ECS实例处于正常运行中。您可以在下拉列表选择已创建的ECS实例；也可以单击创建ECS跳转到ECS控制台创建ECS实例后选择。如果您选择多个ECS实例，将会为您创建多条SNAT条目，使用相同的NAT IP地址。 ECS网段：显示所选ECS实例的网段。 自定义网段粒度：您可以在自定义网段配置任意网段。任意网段内的ECS实例都可以通过配置的SNAT规则访问外部私网。
   选择NAT IP地址	在下拉列表中选择一个或多个用来访问外部私网的NAT IP地址。 说明 您也可以在下拉列表单击新建NAT IP，在添加NAT IP对话框中完成操作。
   NAT IP亲和性	当您选择多个NAT IP地址时，您可以选择是否开启EIP亲和性能力。 默认情况下同一个私网IP访问单一目的IP可能使用不同的NAT IP。但当您打开亲和性能力后，同一个私网IP访问单一目的IP时只会使用相同的NAT IP。
   条目名称	SNAT条目的名称。 名称长度为2~128个字符，以大小写字母或中文开头， 可包含数字、下划线（_）和短划线（-）。

创建DNAT条目

通过创建DNAT条目，将VPC NAT网关上的NAT IP地址映射给VPC内的ECS实例使用，使ECS实例可以对外部私网提供服务。

1. 登录NAT网关管理控制台。
2. 在左侧导航栏，选择NAT网关 > VPC NAT网关。
3. 在顶部菜单栏，选择VPC NAT网关的地域。
4. 在VPC NAT网关页面，找到目标VPC NAT网关实例，然后在操作列单击DNAT管理。
5. 在DNAT管理页签，单击创建DNAT条目。

6. 在创建DNAT条目页面，配置以下参数，然后单击确定创建。

   配置	说明
   选择NAT IP地址	选择供外部私网访问的NAT IP地址。 说明 VPC NAT网关支持将一个NAT IP地址同时用于DNAT条目（端口映射方式）和SNAT条目。
   选择私网IP地址	选择要通过DNAT规则进行通信的私网IP地址。您可以通过以下两种方式指定私网IP地址。 通过ECS或弹性网卡进行选择：从ECS实例或弹性网卡列表中选择私网IP地址。 通过手动输入：输入目标私网IP地址。
   端口设置	选择DNAT映射的方式，DNAT支持端口映射和IP映射两种方式。 任意端口：该方式属于IP映射，任何访问该NAT IP地址的请求都将转发到目标ECS实例上，目标ECS实例也可以使用该NAT IP地址主动访问外部私网。 说明 DNAT条目中配置了IP映射方式的NAT IP地址不能再被其他DNAT条目或SNAT条目使用。 如果NAT网关既配置了DNAT IP映射方式，又配置了SNAT条目，则ECS实例会优先通过DNAT IP映射方式的NAT IP地址访问外部私网。 具体端口：该方式属于端口映射，VPC NAT网关会将以指定协议和端口访问该NAT IP地址的请求转发到目标ECS实例的指定端口上。 选择具体端口后，请根据业务需求设置以下参数。 前端端口：NAT IP地址被外部私网访问的端口。 当选择的NAT IP已创建了SNAT条目，且需要设置的端口号大于1024，因SNAT默认分配端口范围在1025~65535之间，请单击开启端口突破并在弹出的对话框单击确定。 警告 开启端口突破操作会导致部分存量SNAT的连接闪断，重连即可恢复，请您谨慎操作。 后端端口：映射的目标ECS实例端口。输入的端口范围需要在1~65535之间。 协议类型：转发端口的协议类型。
   条目名称	输入DNAT条目的名称。 名称长度为2~128个字符，以大小写字母或中文开头， 可包含数字、下划线（_）和短划线（-），不能以http://或https://开头。

配置路由

您需要参考以下操作配置路由来管理网络流量。

• 使用默认NAT IP地址段作为VPC NAT网关的私网转换地址段。

  • 在VPC NAT网关所在VPC的系统路由表中添加目标网段为对端网段，下一跳指向VPC NAT网关的自定义路由条目。具体操作，请参见创建和管理路由表。

  • 为VPC NAT网关所在交换机自定义一张路由表，然后在自定义路由表中查看是否学习到对端网段的动态路由条目（例如，从CEN学习到的动态路由）。

    • 如果已经学习到对端网段的动态路由条目，则不需要手动添加指向对端网络的自定义路由条目。

    • 如果没有学习到对端网段的动态路由条目，则需要手动添加目标网段为对端网段，下一跳指向对端设备（例如VBR、CEN等）的自定义路由条目。具体操作，请参见子网路由。

• 使用自定义NAT IP地址段作为VPC NAT网关的私网转换地址段。

  • 在VPC NAT网关所在VPC的系统路由表中添加目标网段为自定义NAT IP地址段，下一跳指向VPC NAT网关的自定义路由条目。

  • 在VPC NAT网关所在VPC的系统路由表中添加目标网段为对端网段，下一跳指向VPC NAT网关的自定义路由条目。

  • 为VPC NAT网关所在交换机自定义一张路由表，并添加目标网段为对端网段，下一跳指向对端设备（例如，路由器接口、转发路由器）的自定义路由条目。

  • 使用自定义NAT IP地址段与云下资源或云上其他VPC资源互访时，需要使用企业版转发路由器组网。关于企业版转发路由器的更多信息，请参见转发路由器工作原理和创建转发路由器。

更多操作

相关文档

• CreateNatGateway：创建VPC NAT网关。

• CreateNatIpCidr：新建NAT IP地址段。

• CreateNatIp：添加NAT IP地址。

• ModifyNatGatewayAttribute：编辑VPC NAT网关。

• DeleteNatIp：删除NAT IP地址。

• DeleteNatIpCidr：删除NAT IP地址段。

• DeleteNatGateway：删除VPC NAT网关。