VPC里的ECS实例默认不能直接访问公网，也不能被公网直接访问——这是阿里云网络安全的基本设计。那怎么让VPC里的服务器既能上网下载更新、又能对外提供服务？答案就是NAT网关。摩尔狮教育在阿里云认证机构培训中，这块经常有人搞混，今天把SNAT和DNAT两种场景讲透。
先搞清楚两个概念。SNAT叫源地址转换，作用是让VPC内部的ECS能主动访问公网。比如你的服务器需要调外部API、下载yum包、推送日志到外部SaaS平台，这些场景都需要SNAT。DNAT叫目的地址转换，作用是让公网用户能访问VPC内部的ECS服务。比如你在VPC里跑了一个Web应用，想让外部用户通过公网IP访问，就需要DNAT。
很多人会问：ECS绑个弹性公网IP不就行了？能用，但不推荐。每台ECS单独绑EIP，IP地址分散管理，安全策略不好统一，费用也比共享NAT网关高。NAT网关的核心价值就是一个公网出口管所有ECS，统一管控、统一计费、统一安全策略。如果你还没配过VPC，可以先看看VPC专有网络的配置方法。
配置NAT网关分5步。第一步，创建NAT网关实例。在VPC控制台找到NAT网关，选规格。小型够用的话选"小型"就行，支持最大1万并发连接。如果是生产环境跑大流量业务，建议直接上"大型"或"超大型"，并发能力差10倍。
第二步，绑定弹性公网IP。NAT网关本身不带公网IP，需要单独申请EIP绑上去。SNAT场景建议绑定多个EIP做负载分担，DNAT场景绑一个就够。EIP的带宽根据你的业务量来选，后面会讲怎么省这笔钱。
第三步，配置SNAT规则。在NAT网关控制台找到"SNAT管理"，创建SNAT条目。选择源网段（可以是整个VPC的172.16.0.0/12，也可以是某个交换机的子网段），绑定刚才申请的EIP。配完之后，这个网段内的所有ECS就都能主动访问公网了，不需要每台机器单独配置。
第四步，配置DNAT规则。在"DNAT管理"里创建条目。需要填3个信息：外部端口（公网端口）、内部IP（VPC里ECS的私网地址）、内部端口（ECS上的服务端口）。比如公网80端口映射到ECS的172.16.0.100的8080端口。支持端口映射和IP映射两种模式，端口映射更灵活，同一个EIP的不同端口可以映射到不同ECS。
第五步，配置安全策略。NAT网关本身不做访问控制，你需要配合安全组来限制流量。建议DNAT规则只开放必要的端口，SNAT出方向如果需要限制目标地址，可以用网络ACL来做。
重点说一下成本控制。NAT网关的费用由三部分组成：实例费、EIP带宽费、数据传输费。实例费不多，一个月几十块。大头在EIP带宽费。如果你选择按固定带宽计费，1M带宽一个月大概23块，100M就是2300块。对于流量不均匀的业务（比如白天高峰晚上低谷），选按使用流量计费更划算，1GB流量大概0.8元。但如果是持续高带宽的业务，固定带宽反而更便宜。具体怎么选，可以先跑一个月看监控数据再决定。这块和企业云成本优化的思路是一样的。
一个容易踩的坑：SNAT和DNAT不能同时映射到同一个EIP的同一个端口。如果你需要既让ECS主动访问外网的某个端口，又让外部通过同端口访问这台ECS，需要用两个不同的EIP。规划阶段就要把这个因素考虑进去。
最后说一下高可用。NAT网关本身是多可用区部署的，单点故障的概率很低。但如果你对可用性要求极高，可以在两个可用区各创建一个NAT网关，通过路由表做主备切换。这种架构成本高一些，但能做到RTO接近于零。
NAT网关是云上网络的基础组件，配好了能让你的VPC网络架构清爽很多。搞不清楚什么时候用SNAT什么时候用DNAT的，记住一句话：内部出去用SNAT，外部进来用DNAT。更多网络产品的配置方法，阿里云认证机构的培训体系里都有覆盖。
更多阿里云认证资讯，请关注公众号：摩尔狮云证通