Todos los productos
Search

Este producto

    NAT Gateway:FAQ

    Centro de documentos

    NAT Gateway:FAQ

    Última actualización: Sep 03, 2026

    Este tema enumera las preguntas frecuentes para ayudarle a solucionar problemas al utilizar NAT Gateway.

    Uso y configuración

    Configuración de instancias

    ¿Por qué no puedo crear un NAT gateway en algunas zonas?

    Debido a la planificación de recursos, los NAT gateways no se despliegan en todas las zonas. Llame a ListEnhancedNatGatewayAvailableZones para consultar las zonas que admiten la creación de NAT Gateway.

    Un NAT gateway en cualquier zona disponible puede atender instancias en toda la VPC.

    ¿Puedo cambiar el vSwitch o la IP privada de un NAT gateway?

    No. Para cambiar el vSwitch, cree un nuevo NAT gateway y actualice las entradas de ruta.

    ¿Puede un NAT gateway procesar paquetes fragmentados?

    Sí. Los NAT gateways admiten paquetes TCP, UDP e ICMP fragmentados.

    ¿Se puede usar un NAT gateway sin una VPC?

    No. Un NAT gateway debe estar asociado con una VPC. Al crear un NAT gateway de Internet o de VPC, debe especificar la VPC. El gateway trabaja con recursos como vSwitches e instancias ECS dentro de la VPC para proporcionar traducción de direcciones.

    Configuración de SNAT

    ¿Cómo se priorizan las entradas SNAT cuando los bloques CIDR de origen se superponen?

    El sistema utiliza la coincidencia de prefijo más largo para determinar la prioridad:

    • Entradas a nivel de ECS: La máscara CIDR de origen es /32 (máscara más larga, mayor prioridad, coincide primero).

    • Otras entradas: Las máscaras de subred más largas tienen mayor prioridad.

    ¿Cuál es el tiempo de espera de inactividad de SNAT?

    • TCP: 900 segundos.

    • UDP: 60 segundos.

    ¿Puede una ECS usar SNAT para acceder a un servicio DNAT en el mismo NAT gateway?

    Sí, después de cambiar el NAT gateway al modo NAT y configurar tanto entradas SNAT como DNAT en la misma instancia.

    • ¿Cómo compruebo si el NAT gateway está en modo NAT?

      Llame a DescribeNatGateways y verifique si el campo EipBindMode devuelve NAT.

    • ¿Cómo cambio al modo NAT?

      Llame a ModifyNatGatewayAttribute y establezca el campo EipBindMode en NAT.

    ¿Qué determina el ancho de banda de salida de SNAT?

    El ancho de banda de salida lo determina la EIP vinculada al NAT gateway, no el propio ancho de banda de Internet de la instancia ECS. Por ejemplo, si la ECS tiene 1 Mbps de ancho de banda de Internet pero la EIP tiene 100 Mbps, la ECS puede alcanzar 100 Mbps a través de SNAT.

    El ancho de banda de Internet de la ECS solo aplica cuando esta accede directamente a Internet mediante su propia IP pública. Cuando varias instancias ECS comparten la misma EIP a través de una entrada SNAT, también comparten el ancho de banda; cada instancia obtiene menos capacidad conforme las demás generan tráfico.

    Configuración de DNAT

    ¿Puedo crear una entrada DNAT para una ECS que ya tiene una EIP?

    Sí, pero los usuarios externos no pueden acceder a la ECS a través de la entrada DNAT mientras la EIP esté vinculada. Desvincule primero la EIP para habilitar el acceso por DNAT.

    ¿Admite DNAT el enrutamiento basado en dominios?

    No. DNAT opera en la capa de transporte (capa 4) y realiza la traducción de direcciones de destino únicamente en direcciones IP y puertos, asignando IPs públicas y puertos a IPs privadas y puertos. DNAT no analiza el tráfico de la capa de aplicación y no puede identificar nombres de dominio, encabezados HTTP Host ni información SNI de TLS, por lo que no puede implementar enrutamiento de solicitudes basado en dominios. Network Load Balancer (NLB) también opera en la capa 4 y no logra realizar enrutamiento de solicitudes basado en dominios.

    Para el enrutamiento de capa 7 basado en dominios, considere las siguientes opciones:

    • Utilice Application Load Balancer (ALB). ALB opera en la capa 7 y admite reglas de enrutamiento basadas en dominios y rutas. También proporciona hosting de certificados multidominio SNI para HTTPS.

    • Despliegue un proxy inverso como Nginx en la ECS para enrutar solicitudes por dominio.

    DNAT frente a vincular directamente una EIP a una ECS: ¿cuál es la diferencia?

    Con DNAT, la EIP se vincula al NAT gateway y el tráfico fluye a través de él. Con una EIP vinculada directamente, la EIP reside en la ECS y el tráfico evita el NAT gateway. Diferencias clave:

    • Ruta del tráfico: DNAT — el tráfico entrante pasa por el NAT gateway (EIP → NAT gateway → ECS). El tráfico de respuesta regresa por la misma vía. El acceso de salida requiere una entrada SNAT independiente. EIP directa — la ECS envía y recibe tráfico directamente (EIP → ECS).

    • Exposición de puertos: DNAT admite puerto específico (solo se exponen los puertos asignados) o cualquier puerto (todos los puertos se reenvían a una ECS). La EIP directa expone todos los puertos permitidos por el security group.

    • Gestión: DNAT requiere vincular una EIP al NAT gateway y luego configurar entradas en la pestaña DNAT Management. Para el acceso de salida, agregue entradas SNAT en la pestaña SNAT Management. La EIP directa se vincula desde la consola de ECS, lo cual es más sencillo.

    • Costo: DNAT — varias instancias ECS pueden compartir una EIP mediante multiplexación de puertos, lo que reduce los costos de EIP. EIP directa — cada ECS necesita su propia EIP.

    • Exclusión mutua: Una ECS no puede usar ambos métodos simultáneamente. Si una EIP está vinculada a la ECS, el acceso por DNAT falla; desvincule primero la EIP.

    • Enrutamiento por dominio: Ninguno admite enrutamiento basado en dominios (ambos son de capa 4). Utilice ALB o un proxy inverso para el enrutamiento a nivel de dominio.

    Escenarios recomendados:

    • Varias instancias ECS que comparten un punto de entrada público con multiplexación de puertos: se recomienda DNAT.

    • Una sola instancia ECS que proporciona servicios de forma independiente: se recomienda vincular directamente una EIP.

    • Control detallado a nivel de puerto (exposición solo de puertos específicos): se recomienda DNAT.

    • Varias instancias ECS que comparten un punto de salida público (acceso de salida): se recomienda NAT Gateway con SNAT.

    ¿Puede una sola instancia ECS vincular múltiples EIPs mediante DNAT?

    Sí. Puede crear varias entradas DNAT para la misma instancia ECS, cada una vinculando una EIP y un puerto diferentes, para lograr una asignación DNAT de múltiples EIPs. Al configurarlas, asegúrese de que las combinaciones de asignación de puertos (puerto público + puerto privado + protocolo) de las distintas entradas DNAT no entren en conflicto dentro del mismo NAT Gateway. Cada NAT Gateway admite hasta 100 entradas DNAT.

    Por ejemplo, en la misma instancia ECS (IP privada: 10.20.1.243), puede configurar dos entradas DNAT: la Entrada 1 usa el puerto 80 de EIP-A asignado al puerto privado 80 (TCP), y la Entrada 2 usa el puerto 443 de EIP-B asignado al puerto privado 443 (TCP). Las combinaciones de asignación de puertos no entran en conflicto, por lo que ambas entradas pueden surtir efecto simultáneamente.

    Además, la misma EIP puede utilizarse tanto para entradas SNAT como DNAT sin que se afecten entre sí.

    Configuración de EIP

    ¿Por qué no encuentro mi EIP al crear una entrada NAT?

    La EIP y el NAT gateway se encuentran en regiones diferentes. Seleccione una EIP en la misma región o cree una nueva en la región del NAT gateway.

    ¿Puedo usar la misma EIP o NAT IP tanto para DNAT como para SNAT?

    Sí. Sin embargo, si la entrada DNAT está configurada para cualquier puerto, esa EIP o NAT IP no podrá usarse en otras entradas DNAT o SNAT. Si la entrada DNAT utiliza un puerto específico mayor que 1024, podría entrar en conflicto con los puertos SNAT y provocar caídas transitorias de conexión.

    ¿Una instancia ECS con una EIP sigue utilizando el NAT Gateway?

    Si una instancia ECS tiene una EIP asociada, la instancia utiliza esa EIP para el tráfico de salida a Internet en lugar del NAT Gateway. Para usar el NAT Gateway para el tráfico de salida, desvincule la EIP de la instancia.

    ¿Cuáles son las diferencias entre los dos modos de vinculación de EIP?

    Los Internet NAT Gateways creados a través de la consola utilizan el modo NAT de forma predeterminada. El modo multi-EIP visible solo puede crearse llamando a CreateNatGateway y especificando el parámetro EipBindMode.

    • Para usar el NAT Gateway con un IPv4 Gateway, debe utilizar el modo NAT.

    • Para una mayor flexibilidad en la gestión de EIPs, puede elegir el modo multi-EIP visible.

    Dimensión

    Modo NAT

    Modo multi-EIP visible

    Cambio de modo de vinculación

    No se puede cambiar al modo multi-EIP visible.

    • Consola: Siga this guide para realizar el cambio.

    • OpenAPI: Llame a ModifyNatGatewayAttribute.

      Establezca EipBindMode en NAT.

      • Cuando el número de EIPs vinculadas al NAT Gateway es ≤ 5, puede cambiar directamente a través de la API.

      • Cuando el número de EIPs vinculadas al NAT Gateway es > 5, contacte a su gerente de cuenta para solicitarlo.

    Nota

    • Durante el cambio de modo de vinculación de EIP, las conexiones de red pueden experimentar interrupciones breves (la duración aumenta conforme crece el número de EIPs). Realice el cambio en horas de baja demanda.

    • Antes de cambiar, asegúrese de que el vSwitch donde se despliega el NAT Gateway tenga suficientes direcciones IP disponibles.

    ¿Agregar EIPs consume direcciones IP disponibles en el vSwitch?

    1. Cada EIP adicional consume una dirección IP privada del vSwitch. La IP privada se vincula a la EIP.

    2. Cuando una instancia ECS utiliza entradas SNAT/DNAT para el reenvío, los datos se reciben primero a través de la IP privada vinculada a la EIP y luego se reenvían a la EIP correspondiente.

    1. Agregar EIPs no consume direcciones IP disponibles en el vSwitch.

    2. Cuando una instancia ECS utiliza entradas SNAT/DNAT para el reenvío, los datos se reenvían directamente a través de la EIP correspondiente.

    Compatibilidad con IPv4 Gateway

    Compatible.

    No compatible.

    ECS que accede a DNAT en la misma instancia de NAT Gateway mediante SNAT

    Compatible.

    No compatible.

    Método de creación

    • Se crea de forma predeterminada a través de la consola.

    • Llame a CreateNatGateway y especifique EipBindMode como NAT.

    Llame a CreateNatGateway y especifique EipBindMode como MULTI_BINDED.

    Solución de problemas de conectividad de red

    No se puede acceder a Internet mediante SNAT

    • Compruebe la ruta predeterminada que apunta al NAT Gateway:

      En la página de detalles de la instancia del NAT Gateway, consulte VPC routes that point to the NAT gateway y confirme si existe una entrada de ruta que apunte al NAT Gateway. Si falta, configure una ruta con el destino establecido en 0.0.0.0/0 y el siguiente salto definido como el NAT Gateway en la tabla de rutas correspondiente.

    • Verifique la configuración de la regla SNAT:

      • En la pestaña SNAT de la página de detalles de la instancia del NAT Gateway, confirme que el estado de la entrada SNAT sea Available.

      • Confirme que la dirección de origen que accede a Internet se encuentre dentro del Source CIDR Block.

    • Solucione problemas ajenos a NAT:

      • Acceso transfronterizo: la ruta de red es inestable.

      • Acceso por dominio: compruebe si el registro ICP y la resolución DNS del dominio son normales.

      • Control de acceso: verifique si el destino ha configurado directivas de control de acceso o ha agregado la EIP a una lista de permitidos.

    • Revise la configuración del IPv4 Gateway: Al utilizar un IPv4 Gateway, asegúrese de que el NAT Gateway esté en modo NAT y que las rutas estén configuradas correctamente.

    Una nueva ECS no puede acceder a Internet mediante SNAT

    Una ECS en un vSwitch recién creado no puede acceder a Internet mediante SNAT, mientras que las instancias en otros vSwitches sí pueden hacerlo.

    • Confirme si las entradas SNAT incluyen el bloque CIDR del nuevo vSwitch:

      El NAT Gateway no configura automáticamente entradas SNAT para vSwitches recién creados. En la pestaña SNAT de la página de detalles de la instancia, verifique si el Source CIDR Block de las entradas SNAT existentes incluye el bloque CIDR del nuevo vSwitch. De lo contrario, manually configure a SNAT entry.

    • Si el nuevo vSwitch está asociado con una tabla de rutas personalizada, confirme si hay configurada una entrada de ruta con destino 0.0.0.0/0 y siguiente salto establecido en el NAT Gateway. Si no es así, manually add the route entry.

    La ECS no puede acceder a Internet con múltiples NAT gateways

    Esto ocurre cuando la VPC utiliza únicamente la tabla de rutas del sistema con una sola ruta 0.0.0.0/0 que apunta a un NAT gateway. Si la entrada SNAT de ese gateway no cubre un vSwitch específico, sus instancias ECS no podrán acceder a Internet.

    • Si no necesita múltiples NAT Gateways, elimine los innecesarios y agregue entradas SNAT al NAT Gateway restante para cubrir el bloque CIDR del vSwitch.

    • Si requiere múltiples NAT Gateways, consulte this guide para la configuración.

    No se puede acceder a un servidor FTP mediante SNAT

    Posibles causas:

    • Modo FTP activo: SNAT solo admite acceso de salida. El modo activo de FTP requiere conexiones de datos entrantes, las cuales SNAT no puede gestionar. Utilice el modo pasivo en su lugar.

    • Múltiples EIPs en la entrada SNAT: Las conexiones de control y datos de FTP pueden usar diferentes EIPs, lo que rompe la sesión. Habilite EIP affinity para que el mismo cliente siempre utilice la misma EIP. O bien, cree una regla SNAT independiente con una sola EIP para el cliente FTP.

    Servicio inaccesible después de configurar DNAT

    • Compruebe la ruta predeterminada que apunta al NAT Gateway:

      Cuando la instancia ECS configurada en la entrada DNAT responde al tráfico entrante, también necesita una ruta de regreso al NAT Gateway. Confirme si la tabla de rutas del sistema o la tabla de rutas personalizada tiene una ruta con destino 0.0.0.0/0 y siguiente salto establecido en el NAT Gateway. Si no es así, manually add the route entry.

    • Verifique la configuración de la regla DNAT:

      • En la pestaña DNAT de la página de detalles de la instancia del NAT Gateway, confirme que el estado de la entrada DNAT sea Available.

      • Confirme que los parámetros de puerto, protocolo y dirección de destino en la regla DNAT sean correctos.

    • Revise los security groups, firewalls y el estado del puerto de servicio:

      • Ejecute telnet <ECS private IP> <private port> en otra instancia ECS dentro de la misma VPC para comprobar si el puerto privado de la instancia ECS configurada en la entrada DNAT es accesible.

        • Si la salida muestra unable connect to remote host: Connection timed out, el puerto privado no es accesible desde dentro de la VPC, lo que significa que tampoco lo es desde Internet.

        • Si la salida muestra Connected to <ECS private IP>, el puerto privado es accesible.

      • Cuando el puerto privado es accesible, confirme que las reglas del security group de la instancia ECS permitan el acceso público al puerto correspondiente y que el firewall tenga el puerto abierto.

    • Solucione problemas de resolución de dominios: Si el acceso mediante el dominio falla pero el acceso directo por EIP funciona, compruebe la resolución DNS y el estado del registro ICP del dominio.

    • Revise la configuración del IPv4 Gateway: Al utilizar un IPv4 Gateway, asegúrese de que el NAT Gateway esté en modo NAT y que las rutas estén configuradas correctamente.

    • Verifique la consistencia de ENI: Cuando la ECS tiene múltiples ENIs, compruebe si las ENIs de entrada y salida son consistentes. Consulte this guide para la configuración.

    Uso con IPv4 Gateway

    Diferencia entre IPv4 gateway e Internet NAT gateway

    Un IPv4 gateway y un Internet NAT gateway pueden utilizarse conjuntamente. Consulte Internet access para obtener detalles sobre cómo se relacionan estos componentes de red entre sí.

    Componente

    IPv4 gateway

    Internet NAT gateway

    Propósito

    Componente perimetral de VPC que controla el tráfico IPv4 público

    Dispositivo de traducción de direcciones de red (NAT) dentro de la VPC

    Escenarios

    Control centralizado del tráfico de acceso a Internet

    Salida unificada para el tráfico dirigido a Internet

    Proporciona acceso a Internet

    No. Solo controla el tráfico.

    Proporciona acceso a Internet mediante la asociación de EIPs

    (Las EIPs proporcionan la conectividad; el NAT gateway por sí mismo no proporciona acceso a Internet.)

    Después de crear un IPv4 gateway, los vSwitches se dividen en dos categorías:

    • vSwitch público: La tabla de rutas asociada contiene una entrada de ruta con Destination CIDR Block establecido en 0.0.0.0/0 y Next Hop definido como el IPv4 gateway. Los recursos en este vSwitch pueden acceder a Internet después de asociar una dirección IP pública.

    • vSwitch privado: La tabla de rutas asociada no contiene una ruta que apunte al IPv4 gateway. Los recursos en este vSwitch no pueden acceder directamente a Internet incluso si tienen una dirección IP pública.

    Al utilizar un Internet NAT gateway junto con un IPv4 gateway, despliegue el Internet NAT gateway en un vSwitch público. Las instancias ECS en un vSwitch privado deben tener una ruta que apunte al Internet NAT gateway para que su tráfico dirigido a Internet fluya a través del NAT gateway, el cual utiliza su dirección IP pública asociada para alcanzar Internet. Tenga en cuenta lo siguiente:

    • Asegúrese de que el EipBindMode del Internet NAT gateway esté configurado en modo NAT para garantizar la compatibilidad con el IPv4 gateway.

      • Los Internet NAT gateways creados en la consola utilizan el modo NAT de forma predeterminada. Al llamar a CreateNatGateway, establezca EipBindMode en NAT. Después de la creación, llame a ModifyNatGatewayAttribute para cambiar el EipBindMode.

      • Si ya existe un Internet NAT gateway con EipBindMode configurado en modo MULTI_BINDED, será incompatible con el IPv4 gateway y no podrá crear un IPv4 gateway.

      • Si ya existe un IPv4 gateway y llama a CreateNatGateway para crear un Internet NAT gateway con EipBindMode configurado en modo MULTI_BINDED, no podrá asociar EIPs con ese NAT gateway.

    • Para evitar que los recursos en vSwitches privados pierdan el acceso a Internet después de activar el IPv4 gateway, complete la configuración de rutas antes de la activación.

    image

    ¿Qué sucede al cambiar al modo NAT?

    Después del cambio, el NAT gateway puede trabajar con un IPv4 gateway. Las instancias con entradas SNAT y DNAT pueden usar SNAT para acceder a un servicio DNAT en el mismo gateway.

    • Facturación: Gratuito, sin costos adicionales.

    • Servicio: Pueden ocurrir interrupciones breves de la red (segundos). La duración depende del número de EIPs vinculadas.

    • Configuración:

      • La IP de salida pública y las configuraciones existentes permanecen sin cambios.

      • Cada EIP consume una IP privada del vSwitch del NAT gateway. Asegúrese de contar con suficientes direcciones disponibles.

      • El cambio es irreversible; el modo de compatibilidad con IPv4 gateway no puede deshabilitarse posteriormente.

    Rendimiento y monitoreo

    Tiempos de espera de conexión o descargas lentas

    • Monitoree el tráfico

    • Optimice el kernel de Linux

      • Causa: Cuando varias instancias ECS de Linux acceden simultáneamente a un servidor Linux a través de SNAT, el kernel puede descartar paquetes TCP SYN, causando tiempos de espera.

      • Solución: Deshabilite net.ipv4.tcp_tw_recycle en el servidor, o deshabilite net.ipv4.tcp_timestamps en el cliente.

    ¿Qué significan los descartes por fallo en la asignación de puertos?

    Número de conexiones descartadas porque la asignación de puertos TCP/UDP falló debido a un exceso de conexiones simultáneas a través del NAT gateway.

    Causa: Una sola EIP o NAT IP proporciona una cantidad limitada de puertos SNAT. Cuando demasiadas sesiones apuntan al mismo destino con muy pocas EIPs o NAT IPs, la asignación de puertos falla.

    Solución: Agregue más EIPs o NAT IPs a la regla SNAT cuando los descartes sigan aumentando.

    Facturación y cuotas

    ¿Por qué aumentaron mis costos de NAT gateway?

    El NAT gateway utiliza el modelo pay-as-you-go. Costos más altos generalmente indican mayor tráfico. Pasos para solucionar problemas:

    • Consulte el monitoreo: En CloudMonitor, revise el tráfico entrante/saliente de la instancia de NAT Gateway, el recuento de conexiones y otras métricas para identificar picos de tráfico.

    • Consulte los detalles de facturación: Utilice la Consola de Facturación y Costos para ver los detalles de facturación por hora del NAT Gateway y determinar el momento exacto en que aumentaron los costos.

    • Habilite los registros de tráfico: Active los registros de tráfico del NAT Gateway (session log y flow log) y envíelos a Log Service para su análisis, con el fin de identificar con precisión el origen del tráfico.

    ¿Puedo obtener un reembolso por un paquete de recursos de NAT gateway?

    Los paquetes de recursos de NAT Gateway admiten reembolso por no uso en cinco días y reembolso parcial. Para más detalles, consulte Rules for unsubscribing from resources.

    ¿Por qué sigo recibiendo facturas después de eliminar un NAT gateway?

    Después de eliminar un NAT gateway, es posible que aún reciba facturas debido a la facturación diferida. Estas facturas cubren el uso anterior a la eliminación. Compruebe el periodo de uso en sus detalles de facturación para confirmarlo.

    ¿Cuántos NAT gateways puedo crear?

    Sin límite. Puede crear cualquier cantidad de NAT gateways por cuenta de Alibaba Cloud.