使用 NAT 网关 - Amazon Virtual Private Cloud
控制 NAT 网关的使用创建 NAT 网关编辑辅助 IP 地址关联标记 NAT 网关删除 NAT 网关API 和 CLI 概述

使用 NAT 网关

您可以使用 Amazon VPC 控制台创建和管理 NAT 网关。

控制 NAT 网关的使用

默认情况下，用户无权使用 NAT 网关。您可以创建一个 IAM 角色，并向该角色附加一个向用户授予 NAT 网关创建、描述和删除权限的策略。有关更多信息，请参阅 适用于 Amazon VPC 的 Identity and Access Management。

创建 NAT 网关

请按照以下过程创建 NAT 网关。

相关限额

  • 如果您已耗尽分配给账户的 EIP 数量，则将无法创建公有 NAT 网关。有关 EIP 配额以及如何调整配额的更多信息，请参阅 弹性 IP 地址。

  • 私有 NAT 网关最多可以分配 8 个私有 IPv4 地址。此限制不可调整。

  • 默认情况下，公有 NAT 网关只能关联 2 个弹性 IP 地址。您可以通过请求调整限额来提高此限制。有关更多信息，请参阅 弹性 IP 地址。

创建 NAT 网关

  1. 通过以下网址打开 Amazon VPC 控制台：https://console.aws.amazon.com/vpc/。

  2. 在导航窗格中，选择 NAT 网关。

  3. 选择创建 NAT 网关。

  4. （可选）指定 NAT 网关的名称。这将创建一个标签，其中键为 Name，值是您指定的名称。

  5. 选择要在其中创建 NAT 网关的子网。

  6. 对于连接类型，保持默认的公有选择不变，以创建公有 NAT 网关，或者选择私有，以创建私有 NAT 网关。有关公有和私有 NAT 网关之间差异的更多信息，请参阅 NAT 网关。

  7. 如果您选择公有，请执行以下操作；否则，请跳至第 8 步：

    1. 选择弹性 IP 分配 ID，为 NAT 网关分配 EIP，或者选择分配弹性 IP，为公有 NAT 网关自动分配弹性 EIP。默认情况下，公有 NAT 网关只能关联 2 个弹性 IP 地址。您可以通过请求调整限额来提高此限制。有关更多信息，请参阅 弹性 IP 地址。

      重要

      当您为公有 NAT 网关分配 EIP 时，EIP 的网络边界组必须与您启动公有 NAT 网关的可用区（AZ）的网络边界组相匹配。如果不匹配，NAT 网关将无法启动。可以通过查看子网的详细信息来了解子网可用区的网络边界组。同样，可以通过查看 EIP 地址的详细信息来了解 EIP 的网络边界组。有关网络边界组和 EIP 的更多信息，请参阅 1. 分配弹性 IP 地址。

    2. （可选）选择其他设置，然后在私有 IP 地址 – 可选下，为 NAT 网关输入私有 IPv4 地址。如果不输入地址，AWS 会自动从 NAT 网关所在的子网中为 NAT 网关随机分配一个私有 IPv4 地址。

    3. 跳至步骤 11。

  8. 如果您选择私有，请选择其他设置，然后在私有 IP 地址分配方法下，选择下列选项中的一种：

    • 自动分配：AWS 将为 NAT 网关选择主私有 IPv4 地址。对于自动分配的私有 IPv4 地址数量，您可以选择为 NAT 网关指定辅助私有 IPv4 地址的数量。AWS 将从 NAT 网关的子网中随机选择这些 IP 地址。

    • 自定义：对于主私有 IPv4 地址，选择 NAT 网关的主私有 IPv4 地址。对于辅助私有 IPv4 地址，您可以选择为 NAT 网关指定最多 7 个辅助私有 IPv4 地址。

  9. 如果您在步骤 8 中选择了自定义，请跳过此步骤。如果您选择了自动分配，请在自动分配的私有 IP 地址数量下，选择您希望 AWS 分配给该私有 NAT 网关的辅助 IPv4 地址数量。最多可以选择 7 个 IPv4 地址。

    注意

    辅助 IPv4 地址是可选的，如果使用 NAT 网关的工作负载与单个目标的并发连接超过 55000 个（相同的目标 IP、目标端口和协议），则应当分配辅助 IPv4 地址。辅助 IPv4 地址可以增加可用的端口数量，从而提高了工作负载使用 NAT 网关建立连接的并发连接数量限制。

  10. 如果您在步骤 9 中选择了自动分配，请跳过此步骤。如果您选择了自定义，请执行以下操作：

    1. 在主要私有 IPv4 地址下，输入私有 IPv4 地址。

    2. 在辅助私有 IPv4 地址下，输入辅助私有 IPv4 地址，不超过 7 个。

  11. （可选）若要向 NAT 网关添加标签，请选择 Add new tag（添加新标签），然后输入该标签的键和值。最多可以添加 50 个标签。

  12. 选择创建 NAT 网关。

  13. NAT 网关的初始状态为 Pending。状态更改为 Available 后，NAT 网关即可供您使用。请务必按需新路由表。有关示例，请参阅NAT 网关使用案例。

如果 NAT 网关的状态变成 Failed，则表示在创建过程中发生了错误。有关更多信息，请参阅 NAT 网关创建失败。

编辑辅助 IP 地址关联

对于每个唯一目标，每个 IPv4 地址最多可以支持 55000 个并发连接。唯一目标由目标 IP 地址、目标端口和协议（TCP/UDP/ICMP）的唯一组合标识。您可以通过将最多 8 个 IPv4 地址（1 个主要 IPv4 地址和 7 个辅助 IPv4 地址）关联到 NAT 网关来提高此限制。默认情况下，公有 NAT 网关只能关联 2 个弹性 IP 地址。您可以通过请求调整限额来提高此限制。有关更多信息，请参阅 弹性 IP 地址。

您可以使用 NAT 网关 CloudWatch 指标 ErrorPortAllocation 和 PacketsDropCount 来确定 NAT 网关是否正在生成端口分配错误或丢弃数据包。要解决此问题，请将辅助 IPv4 地址添加到 NAT 网关。

注意事项

  • 您可以在创建私有 NAT 网关时或在使用本部分中的步骤创建 NAT 网关后添加辅助私有 IPv4 地址。只有在使用本部分中的步骤创建 NAT 网关后，才能将辅助 EIP 地址添加到公有 NAT 网关。

  • NAT 网关最多可以关联 8 个 IPv4 地址（1 个主要 IPv4 地址和 7 个辅助 IPv4 地址）。私有 NAT 网关最多可以分配 8 个私有 IPv4 地址。默认情况下，公有 NAT 网关只能关联 2 个弹性 IP 地址。您可以通过请求调整限额来提高此限制。有关更多信息，请参阅 弹性 IP 地址。

编辑辅助 IPv4 地址关联

  1. 通过以下网址打开 Amazon VPC 控制台：https://console.aws.amazon.com/vpc/。

  2. 在导航窗格中，选择 NAT 网关。

  3. 选择要编辑其辅助 IPv4 地址关联的 NAT 网关。

  4. 选择操作，然后选择编辑辅助 IP 地址关联。

  5. 如果要编辑私有 NAT 网关的辅助 IPv4 地址关联，请在操作下，选择分配新 IPv4 地址或取消分配现有 IPv4 地址。如果要编辑公有 NAT 网关的辅助 IPv4 地址关联，请在操作下，选择关联新 IPv4 地址或取消关联现有 IPv4 地址。

  6. 请执行以下操作之一：

    • 如果您选择分配或关联新 IPv4 地址，请执行以下操作：

      1. 这个步骤为必填项。您必须选择一个私有 IPv4 地址。选择私有 IPv4 地址分配方法：

        • 自动分配：AWS 会自动选择主要私有 IPv4 地址。如果您希望 AWS 将最多 7 个辅助私有 IPv4 地址分配给 NAT 网关，则可以选择该选项。AWS 会自动从 NAT 网关所在的子网中随机选择并进行分配。

        • 自定义：选择要分配给 NAT 网关的主要私有 IPv4 地址和最多 7 个辅助私有 IPv4 地址。

      2. 在弹性 IP 分配 ID 下，选择要添加为辅助 IPv4 地址的 EIP。这个步骤为必填项。您必须选择一个 EIP 以及一个私有 IPv4 地址。如果您为私有 IP 地址分配方法选择了自定义，则还必须为您添加的每个 EIP 输入一个私有 IPv4 地址。

        重要

        当您为公有 NAT 网关分配辅助 EIP 时，该 EIP 的网络边界组必须与公有 NAT 网关所在可用区（AZ）的网络边界组匹配。如果不匹配，EIP 将无法分配。可以通过查看子网的详细信息来了解子网可用区的网络边界组。同样，可以通过查看 EIP 地址的详细信息来了解 EIP 的网络边界组。有关网络边界组和 EIP 的更多信息，请参阅 1. 分配弹性 IP 地址。

      NAT 网关最多可以关联 8 个 IP 地址。如果这是公有 NAT 网关，则每个区域的 EIP 都有默认限额限制。有关更多信息，请参阅 弹性 IP 地址。

    • 如果您选择取消分配或取消关联新 IPv4 地址，请完成以下操作：

      1. 在要取消分配的现有辅助 IP 地址下，选择要取消分配的辅助 IP 地址。

      2. （可选）在连接耗尽持续时间下，输入连接仍在进行时强制释放 IP 地址之前的最长等待时间（以秒为单位）。如果不输入值，则默认值为 350 秒。

  7. 选择 Save changes（保存更改）。

如果 NAT 网关的状态变成 Failed，则表示在创建过程中发生了错误。有关更多信息，请参阅 NAT 网关创建失败。

标记 NAT 网关

您可以对 NAT 网关进行标记，以帮助您识别它或根据组织的需要对其进行分类。有关使用标签的信息，请参阅《Amazon EC2 用户指南》中的标记您的 Amazon EC2 资源。

对于 NAT 网关支持成本分配标签。因此，您还可以使用标签来整理 AWS 账单并反映您自己的成本结构。有关更多信息，请参阅 AWS Billing 用户指南中的使用成本分配标签。有关设置包含标签的成本分配报告的更多信息，请参阅关于 AWS 账户账单中的月度成本分配报告。

标记 NAT 网关

  1. 通过以下网址打开 Amazon VPC 控制台：https://console.aws.amazon.com/vpc/。

  2. 在导航窗格中，选择 NAT Gateways（NAT 网关）。

  3. 选择要标记的 NAT 网关，然后选择操作。然后选择管理标签。

  4. 选择添加新标签，并定义标签的键和值。最多可以添加 50 个标签。

  5. 选择保存。

删除 NAT 网关

您可以删除不再需要的 NAT 网关。删除 NAT 网关之后，其条目在一小时左右在 Amazon VPC 控制台中保持可见，在此之后自动删除。您无法自己删除此条目。

删除 NAT 网关会解除其弹性 IP 地址关联，但不会从您的账户释放该地址。如果删除 NAT 网关，则 NAT 网关路由会保留为 blackhole 状态，直到您删除或更新这些路由。

删除 NAT 网关

  1. 通过以下网址打开 Amazon VPC 控制台：https://console.aws.amazon.com/vpc/。

  2. 在导航窗格中，选择 NAT Gateways（NAT 网关）。

  3. 选择 NAT 网关对应的单选按钮，然后选择 Actions（操作）、Delete NAT gateway（删除 NAT 网关）。

  4. 提示进行确认时，输入 delete，然后选择 Delete（删除）。

  5. 如果您不再需要与公有 NAT 网关关联的弹性 IP 地址，建议您释放该地址。有关更多信息，请参阅 5. 释放弹性 IP 地址。

API 和 CLI 概述

您可以使用命令行或 API 执行此页面上介绍的任务。有关命令行界面的更多信息以及可用 API 操作的列表，请参阅 使用 Amazon VPC。

将私有 IPv4 地址分配给私有 NAT 网关
将弹性 IP 地址（EIP）和私有 IPv4 地址与公有 NAT 网关相关联
创建 NAT 网关
删除 NAT 网关
描述 NAT 网关
将辅助弹性 IP 地址（EIP）与公有 NAT 网关取消关联
标记 NAT 网关
从私有 NAT 网关取消分配辅助 IPv4 地址