公網(wǎng)NAT網(wǎng)關(guān)后臺(tái)已通過(guò)雙機(jī)熱備實(shí)現(xiàn)自動(dòng)容災(zāi)，同時(shí)為用戶(hù)提供云監(jiān)控和告警服務(wù)，降低風(fēng)險(xiǎn)提高可用性。

出于安全因素考慮，部分運(yùn)營(yíng)商會(huì)對(duì)下列端口進(jìn)行攔截，導(dǎo)致無(wú)法訪(fǎng)問(wèn)。建議避免使用下列端口：

1、公網(wǎng)NAT網(wǎng)關(guān)提供SNAT和DNAT功能，可允許多臺(tái)彈性云服務(wù)器共享彈性公網(wǎng)IP。

2、彈性云服務(wù)器直接綁定彈性公網(wǎng)IP為獨(dú)占IP的方式。

3、當(dāng)同一個(gè)彈性云服務(wù)器同時(shí)設(shè)置了SNAT和彈性公網(wǎng)IP時(shí)，會(huì)優(yōu)先使用彈性公網(wǎng)IP進(jìn)行轉(zhuǎn)發(fā)。

4、當(dāng)同一個(gè)彈性云服務(wù)器同時(shí)設(shè)置了DNAT和彈性公網(wǎng)IP時(shí)，入云方向的彈性公網(wǎng)IP取決于客戶(hù)端用戶(hù)的自主選擇（DNAT規(guī)則綁定的彈性公網(wǎng)IP或ECS直接綁定的彈性公網(wǎng)IP），而出云方向優(yōu)先使用彈性云服務(wù)器直接綁定的彈性公網(wǎng)IP，所以如果入云和出云使用的彈性公網(wǎng)IP不一致，流量會(huì)不通。

5、不建議彈性云服務(wù)器同時(shí)使用公網(wǎng)NAT網(wǎng)關(guān)和直接綁定彈性公網(wǎng)IP。

用戶(hù)通過(guò)公網(wǎng)NAT網(wǎng)關(guān)訪(fǎng)問(wèn)Internet失敗，可能是由于VPC路由表配置錯(cuò)誤引起的，可以通過(guò)以下方法重新配置VPC路由表。

1、找到VPC對(duì)應(yīng)的子網(wǎng)關(guān)聯(lián)的路由表。

2、查看路由表是否有到NAT網(wǎng)關(guān)的路由，如果不包含，請(qǐng)?zhí)砑訉?duì)應(yīng)的路由。

3、如果用戶(hù)自行修改到公網(wǎng)NAT網(wǎng)關(guān)的路由，請(qǐng)確保路由的目的地址包含待訪(fǎng)問(wèn)的目的地址。

不支持。

公網(wǎng)NAT網(wǎng)關(guān)在購(gòu)買(mǎi)時(shí)選定VPC，不支持后續(xù)進(jìn)行更換。

目前公網(wǎng)NAT網(wǎng)關(guān)不支持IPV6協(xié)議。

基于公網(wǎng)NAT網(wǎng)關(guān)的用戶(hù)網(wǎng)絡(luò)，可以通過(guò)配置安全組和網(wǎng)絡(luò)ACL實(shí)現(xiàn)訪(fǎng)問(wèn)限制。

安全組是一個(gè)邏輯上的分組，為具有相同安全保護(hù)需求并相互信任的云服務(wù)器提供訪(fǎng)問(wèn)策略。安全組創(chuàng)建后，用戶(hù)可以在安全組中定義各種訪(fǎng)問(wèn)規(guī)則，當(dāng)云服務(wù)器加入該安全組后，即受到這些訪(fǎng)問(wèn)規(guī)則的保護(hù)。

網(wǎng)絡(luò)ACL是一個(gè)子網(wǎng)級(jí)別的可選安全層，通過(guò)與子網(wǎng)關(guān)聯(lián)的出方向/入方向規(guī)則控制出入子網(wǎng)的數(shù)據(jù)流。

安全組對(duì)彈性云服務(wù)器進(jìn)行防護(hù)，網(wǎng)絡(luò)ACL對(duì)子網(wǎng)進(jìn)行防護(hù)，兩者結(jié)合起來(lái)，可以實(shí)現(xiàn)更精細(xì)、更復(fù)雜的安全訪(fǎng)問(wèn)控制。

安全組與網(wǎng)絡(luò)ACL的詳情，請(qǐng)參見(jiàn)《VPC用戶(hù)指南》安全性章節(jié)。

問(wèn)題描述

您創(chuàng)建了一個(gè)公網(wǎng)NAT網(wǎng)關(guān)，并按照步驟配置了SNAT、DNAT規(guī)則，但是您的云主機(jī)不能訪(fǎng)問(wèn)互聯(lián)網(wǎng)或不能為互聯(lián)網(wǎng)提供服務(wù)。配置了公網(wǎng)NAT網(wǎng)關(guān)的網(wǎng)絡(luò)是否可以連通互聯(lián)網(wǎng)與路由表配置、安全組配置、網(wǎng)絡(luò)ACL配置等多個(gè)環(huán)節(jié)相關(guān)聯(lián)。任意一個(gè)環(huán)節(jié)出現(xiàn)問(wèn)題，都會(huì)導(dǎo)致網(wǎng)絡(luò)不通。本節(jié)操作介紹公網(wǎng)NAT網(wǎng)關(guān)配置完成后，網(wǎng)絡(luò)不通時(shí)的排查思路。

排查思路

以下排查思路根據(jù)原因的出現(xiàn)概率進(jìn)行排序，建議您從高頻率原因往低頻率原因排查，從而幫助您快速找到問(wèn)題的原因。

如果解決完某個(gè)可能原因仍未解決問(wèn)題，請(qǐng)繼續(xù)排查其他可能原因。

路由表配置不正確

請(qǐng)?jiān)诼酚杀碇刑砑又赶蚬W(wǎng)NAT網(wǎng)關(guān)的默認(rèn)路由或路由，詳細(xì)操作請(qǐng)參考檢查路由表是否配置指向公網(wǎng)NAT網(wǎng)關(guān)網(wǎng)關(guān)的默認(rèn)路由。

彈性云服務(wù)器綁定了彈性公網(wǎng)IP

請(qǐng)為彈性云服務(wù)器解綁彈性公網(wǎng)IP，詳細(xì)操作請(qǐng)參考檢查彈性云服務(wù)器是否綁定了彈性公網(wǎng)IP。

安全組規(guī)則未放通

請(qǐng)放通彈性云服務(wù)器對(duì)應(yīng)的安全組規(guī)則，詳細(xì)操作請(qǐng)參考檢查安全組規(guī)則。

網(wǎng)絡(luò)ACL配置不正確

請(qǐng)配置網(wǎng)絡(luò)ACL規(guī)則放通子網(wǎng)流量，詳細(xì)操作請(qǐng)參考檢查網(wǎng)絡(luò)ACL是否放通子網(wǎng)流量。

彈性公網(wǎng)IP的帶寬超限

請(qǐng)擴(kuò)大EIP帶寬，詳細(xì)操作請(qǐng)參考檢查彈性公網(wǎng)IP的帶寬是否超限。

公網(wǎng)NAT網(wǎng)關(guān)業(yè)務(wù)量超過(guò)規(guī)格上限

請(qǐng)?zhí)嵘W(wǎng)NAT網(wǎng)關(guān)規(guī)格，詳細(xì)操作請(qǐng)參考檢查公網(wǎng)NAT網(wǎng)關(guān)業(yè)務(wù)量是否超過(guò)規(guī)格上限。

公網(wǎng)NAT網(wǎng)關(guān)的狀態(tài)異常

請(qǐng)確保公網(wǎng)NAT網(wǎng)關(guān)資源狀態(tài)為“運(yùn)行中”，詳細(xì)操作請(qǐng)參考檢查公網(wǎng)NAT網(wǎng)關(guān)狀態(tài)是否異常。

彈性云服務(wù)器端口未監(jiān)聽(tīng)

請(qǐng)重新開(kāi)啟彈性云服務(wù)器端口，詳細(xì)操作請(qǐng)參考檢查彈性云服務(wù)器端口。

當(dāng)前單個(gè)VPC最多支持購(gòu)買(mǎi)10個(gè)私網(wǎng)NAT。

可以，需要通過(guò)提交工單來(lái)解決。工單提交請(qǐng)參見(jiàn)提交工單。

私網(wǎng)NAT目前暫不支持SNAT規(guī)則和DNAT規(guī)則共用一個(gè)中轉(zhuǎn)IP。

支持。在創(chuàng)建DNAT規(guī)則時(shí)，選擇自定義模式，可添加通過(guò)云專(zhuān)線(xiàn)接入的客戶(hù)云下IP。

私網(wǎng)NAT是實(shí)現(xiàn)私網(wǎng)IP與私網(wǎng)IP之間的地址轉(zhuǎn)換。

私網(wǎng)NAT的作用有：

通過(guò)私網(wǎng)IP地址轉(zhuǎn)換，解決私網(wǎng)IP地址沖突的問(wèn)題。

通過(guò)私網(wǎng)IP地址轉(zhuǎn)換，滿(mǎn)足指定地址接入的需求。

公網(wǎng)NAT是實(shí)現(xiàn)私網(wǎng)IP與公網(wǎng)IP之間的地址轉(zhuǎn)換。

公網(wǎng)NAT的作用有：

更安全：避免云主機(jī)公網(wǎng)IP直接暴露在外。

省成本：共享EIP，共享帶寬，節(jié)約EIP資源。

私網(wǎng)NAT本身不支持跨帳號(hào)使用，但可以通過(guò)VPC對(duì)等連接實(shí)現(xiàn)跨帳戶(hù)通信，VPC對(duì)等連接打通兩個(gè)帳號(hào)的中轉(zhuǎn)VPC，實(shí)現(xiàn)兩個(gè)私網(wǎng)NAT轉(zhuǎn)換IP后的跨帳號(hào)通信。

DNAT規(guī)則支持更新操作。公網(wǎng)NAT網(wǎng)關(guān)和私網(wǎng)NAT網(wǎng)關(guān)均支持修改DNAT規(guī)則。

ECS變更規(guī)格時(shí)，會(huì)導(dǎo)致已配置的NAT規(guī)則失效，需要?jiǎng)h除已配置的NAT規(guī)則后重新配置。

由源IP地址、源端口、目的IP地址、目的端口、傳輸層協(xié)議這五個(gè)元素組成的集合視為一條連接。連接能夠區(qū)分不同會(huì)話(huà)，并且對(duì)應(yīng)的會(huì)話(huà)是唯一的。其中源IP地址和源端口指SNAT轉(zhuǎn)換之后的IP和它的端口。

由于SNAT支持TCP、UDP和ICMP三種協(xié)議，每一個(gè)目的IP和目的端口，NAT網(wǎng)關(guān)最多可支持55000個(gè)并發(fā)連接。如果目的IP、端口或者協(xié)議（TCP/UDP/ICMP）發(fā)生變化，則可以再創(chuàng)建55000個(gè)連接。彈性云服務(wù)器中通過(guò)netstat命令看到ESTABLISHED狀態(tài)的連接數(shù)和實(shí)際SNAT連接數(shù)有時(shí)會(huì)不一致。假設(shè)一個(gè)彈性云服務(wù)器平均每秒鐘創(chuàng)建100個(gè)與固定目的的連接，不考慮連接老化的話(huà)，大約10分鐘會(huì)將55000個(gè)連接耗盡導(dǎo)致連接無(wú)法新建。

NAT網(wǎng)關(guān)中SNAT連接如果長(zhǎng)時(shí)間沒(méi)有數(shù)據(jù)報(bào)文，會(huì)超時(shí)斷開(kāi)。因此為防止連接中斷您需要發(fā)起更多的數(shù)據(jù)包或使用TCP保持連接。同時(shí)，為避免出現(xiàn)因連接數(shù)規(guī)格用滿(mǎn)而出現(xiàn)的影響業(yè)務(wù)的情況，建議經(jīng)常關(guān)注CES監(jiān)控中的NAT網(wǎng)關(guān)SNAT連接數(shù)并合理設(shè)置告警。

公網(wǎng)NAT網(wǎng)關(guān)的SNAT功能通過(guò)綁定彈性公網(wǎng)IP，實(shí)現(xiàn)云主機(jī)私有IP到公網(wǎng)IP的轉(zhuǎn)換。云主機(jī)通過(guò)公網(wǎng)NAT網(wǎng)關(guān)訪(fǎng)問(wèn)外網(wǎng)時(shí)，其帶寬大小和您購(gòu)買(mǎi)彈性公網(wǎng)IP時(shí)選擇的帶寬大小有關(guān)。

帶寬大小調(diào)整操作請(qǐng)參考修改帶寬大小。

通過(guò)NAT網(wǎng)關(guān)上網(wǎng)的服務(wù)器出現(xiàn)丟包或連接不通的情況時(shí)，可以通過(guò)云監(jiān)控查看NAT網(wǎng)關(guān)的SNAT連接數(shù)。若SNAT連接數(shù)超過(guò)NAT網(wǎng)關(guān)規(guī)格上限，則會(huì)導(dǎo)致使用NAT網(wǎng)關(guān)的服務(wù)器出現(xiàn)丟包或者連接不通的現(xiàn)象。請(qǐng)參考查看監(jiān)控指標(biāo)，查看SNAT的連接數(shù)是否超過(guò)NAT網(wǎng)關(guān)的規(guī)格上限。如果超過(guò)NAT網(wǎng)關(guān)規(guī)格上限，可修改NAT網(wǎng)關(guān)規(guī)格，增大NAT網(wǎng)關(guān)規(guī)格數(shù)。

彈性云服務(wù)器通過(guò)SNAT訪(fǎng)問(wèn)公網(wǎng)上服務(wù)器，出現(xiàn)TCP建鏈?zhǔn)〉那闆r，可通過(guò)以下方法進(jìn)行排查。

1、執(zhí)行以下命令，查看遠(yuǎn)端服務(wù)器是否開(kāi)啟了“tcp_tw_recycle”。

sysctl -a|grep tcp_tw_recycle

tcp_tw_recycle取值為1時(shí)，表示開(kāi)啟。

2、查看遠(yuǎn)端服務(wù)器內(nèi)核丟包數(shù)量。

如果ListenDrops數(shù)值非0，表示存在丟包，即存在網(wǎng)絡(luò)問(wèn)題。

處理方法：

方法一：修改遠(yuǎn)端服務(wù)器的內(nèi)核參數(shù)

臨時(shí)修改參數(shù)方法（重啟遠(yuǎn)端服務(wù)器后該設(shè)置失效），設(shè)置如下：

sysctl -w net.ipv4.tcp_tw_recycle=0

永久修改參數(shù)方法：

1、執(zhí)行以下命令，修改“/etc/sysctl.conf”文件。

vi /etc/sysctl.conf

在該文件中添加以下內(nèi)容：

net.ipv4.tcp_tw_recycle=0

2、按“Esc”輸入“:wq!”，保存后退出文件。

3、執(zhí)行以下命令，生效配置。

sysctl -p

方法二：修改本地客戶(hù)端的內(nèi)核參數(shù)

臨時(shí)修改參數(shù)方法（重啟本地客戶(hù)端后該設(shè)置失效），設(shè)置如下：

sysctl -w net.ipv4.tcp_timestamps=0

永久修改參數(shù)方法：

1、執(zhí)行以下命令，修改“/etc/sysctl.conf”文件。

vi /etc/sysctl.conf

在該文件中添加以下內(nèi)容：

net.ipv4.tcp_timestamps=0

2、按“Esc”輸入“:wq!”，保存后退出文件。

3、執(zhí)行以下命令，生效配置。

sysctl -p

NAT網(wǎng)關(guān)里的網(wǎng)段是在創(chuàng)建NAT網(wǎng)關(guān)時(shí)必須指定NAT網(wǎng)關(guān)所在VPC及子網(wǎng)網(wǎng)段。此網(wǎng)段僅用于系統(tǒng)后臺(tái)使用，并非SNAT使用的網(wǎng)段。

創(chuàng)建SNAT規(guī)則且當(dāng)場(chǎng)景是虛擬私有云時(shí)，需要配置對(duì)應(yīng)VPC的子網(wǎng)網(wǎng)段，使該網(wǎng)段中的云主機(jī)通過(guò)SNAT方式進(jìn)行訪(fǎng)問(wèn)。

創(chuàng)建SNAT規(guī)則且當(dāng)場(chǎng)景是云專(zhuān)線(xiàn)/云連接時(shí)，需要配置云專(zhuān)線(xiàn)/云連接對(duì)應(yīng)的本地?cái)?shù)據(jù)中心的某個(gè)網(wǎng)段或另一VPC的網(wǎng)段，使該網(wǎng)段中的云主機(jī)通過(guò)SNAT方式進(jìn)行訪(fǎng)問(wèn)。