Todos os produtos
Search

Este produto

    NAT Gateway:FAQ

    Central de documentação

    NAT Gateway:FAQ

    Última atualização: Aug 26, 2026

    Este tópico lista as perguntas mais frequentes para ajudar na solução de problemas ao usar o NAT Gateway.

    Uso e configuração

    Configuração da instância

    Por que não consigo criar um NAT gateway em algumas zonas?

    Devido ao planejamento de recursos, os NAT gateways não estão disponíveis em todas as zonas. Chame ListEnhancedNatGatewayAvailableZones para consultar as zonas compatíveis com a criação de NAT Gateway.

    Um NAT gateway em qualquer zona disponível pode atender instâncias em toda a VPC.

    Posso alterar o vSwitch ou o IP privado de um NAT gateway?

    Não. Para alterar o vSwitch, crie um novo NAT gateway e atualize as entradas de rota.

    Um NAT gateway processa pacotes fragmentados?

    Sim. Os NAT gateways aceitam pacotes TCP, UDP e ICMP fragmentados.

    É possível usar um NAT gateway sem uma VPC?

    Não. Todo NAT gateway deve ser associado a uma VPC. Ao criar um NAT gateway de Internet ou de VPC, especifique a VPC. O gateway opera com recursos como vSwitches e instâncias ECS na VPC para fornecer tradução de endereços.

    Configuração de SNAT

    Como as entradas SNAT são priorizadas quando há sobreposição de blocos CIDR de origem?

    O sistema usa a correspondência de prefixo mais longo para determinar a prioridade:

    • Entradas no nível de ECS: A máscara CIDR de origem é /32 (máscara mais longa, maior prioridade, correspondida primeiro).

    • Demais entradas: Máscaras de sub-rede mais longas têm maior prioridade.

    Qual é o tempo limite de ociosidade do SNAT?

    • TCP: 900 segundos.

    • UDP: 60 segundos.

    Uma ECS pode usar SNAT para acessar um service DNAT no mesmo NAT gateway?

    Sim, desde que você alterne o NAT gateway para o modo NAT e configure entradas SNAT e DNAT na mesma instância.

    • Como verificar se o NAT gateway está no modo NAT?

      Chame DescribeNatGateways e verifique se o campo EipBindMode retorna NAT.

    • Como alternar para o modo NAT?

      Chame ModifyNatGatewayAttribute e defina o campo EipBindMode como NAT.

    O que determina a largura de banda de saída do SNAT?

    A largura de banda de saída depende do EIP vinculado ao NAT gateway, e não da largura de banda de internet da própria instância ECS. Por exemplo, se a ECS tiver 1 Mbps de largura de banda de internet, mas o EIP tiver 100 Mbps, a ECS poderá atingir 100 Mbps por meio do SNAT.

    A largura de banda de internet da ECS aplica-se apenas quando ela acessa a internet diretamente pelo próprio IP público. Quando várias instâncias ECS compartilham o mesmo EIP por meio de uma única entrada SNAT, elas também compartilham a largura de banda — cada instância recebe menos à medida que as outras geram tráfego.

    Configuração de DNAT

    Posso criar uma entrada DNAT para uma ECS que já possui um EIP?

    Sim, mas usuários externos não conseguem acessar a ECS pela entrada DNAT enquanto o EIP estiver vinculado. Desassocie o EIP primeiro para ative o acesso via DNAT.

    O DNAT aceita roteamento baseado em domínio?

    Não. O DNAT opera na camada de transporte (Camada 4) e realiza a tradução de endereços de destino apenas em endereços IP e portas, mapeando IPs e portas públicas para IPs e portas privadas. O DNAT não analisa o tráfego da camada de aplicação e não identifica nomes de domínio, cabeçalhos Host http ou informações SNI tls; portanto, não implementa roteamento de solicitações baseado em domínio. O Network Load Balancer (NLB) também opera na Camada 4 e não oferece suporte a esse tipo de roteamento.

    Para roteamento de Camada 7 baseado em domínio, considere as seguintes opções:

    • Use o Application Load Balancer (ALB). O ALB opera na Camada 7 e aceita regras de roteamento baseadas em domínio e caminho. Ele também fornece hospedagem de certificados multidomínio SNI para HTTPS.

    • Implante um proxy reverso, como o Nginx, na ECS para rotear solicitações por domínio.

    DNAT vs. vinculação direta de EIP a uma ECS — qual a diferença?

    No DNAT, o EIP é vinculado ao NAT gateway e o tráfego passa por ele. Na vinculação direta, o EIP fica na ECS e o tráfego ignora o NAT gateway. Principais diferenças:

    • Caminho do tráfego: No DNAT, o tráfego de entrada passa pelo NAT gateway (EIP → NAT gateway → ECS). O tráfego de resposta retorna pelo mesmo caminho. O acesso de saída requer uma entrada SNAT separada. Com EIP direto, a ECS envia e recebe tráfego diretamente (EIP → ECS).

    • Exposição de portas: O DNAT aceita porta específica (apenas portas mapeadas expostas) ou qualquer porta (todas as portas encaminhadas para uma ECS). O EIP direto expõe todas as portas permitidas pelo grupo de segurança.

    • Gerenciamento: O DNAT exige a vinculação de um EIP ao NAT gateway e, em seguida, a configuração de entradas na aba DNAT Management. Para acesso de saída, adicione entradas SNAT na aba SNAT Management. O EIP direto é vinculado no console ECS, sendo mais simples.

    • Custo: No DNAT, várias instâncias ECS podem compartilhar um único EIP via multiplexação de portas, reduzindo custos. Com EIP direto, cada ECS precisa de seu próprio EIP.

    • Exclusão mútua: Uma ECS não pode usar ambos simultaneamente. Se um EIP estiver vinculado à ECS, o acesso via DNAT falhará — desvincule o EIP primeiro.

    • Roteamento de domínio: Nenhum dos dois aceita roteamento baseado em domínio (ambos são Camada 4). Use ALB ou um proxy reverso para roteamento no nível de domínio.

    Cenários recomendados:

    • Várias instâncias ECS compartilhando um ponto de entrada público com multiplexação de portas: recomenda-se o DNAT.

    • Uma única instância ECS fornecendo services de forma independente: recomenda-se a vinculação direta de EIP.

    • Controle refinado no nível de porta (expor apenas portas específicas): recomenda-se o DNAT.

    • Várias instâncias ECS compartilhando uma saída pública comum (acesso de saída): recomenda-se NAT Gateway com SNAT.

    Uma única instância ECS pode vincular vários EIPs por meio de DNAT?

    Sim. É possível criar várias entradas DNAT para a mesma instância ECS, cada uma vinculando um EIP e uma porta diferentes, para obter mapeamento DNAT com múltiplos EIPs. Ao configurar, garanta que as combinações de mapeamento de portas (porta pública + porta privada + protocolo) das diferentes entradas DNAT não entrem em conflito dentro do mesmo NAT Gateway. Cada NAT Gateway aceita até 100 entradas DNAT.

    Por exemplo, na mesma instância ECS (IP privado: 10.20.1.243), você pode configurar duas entradas DNAT: a Entrada 1 usa a porta 80 do EIP-A mapeada para a porta privada 80 (TCP), e a Entrada 2 usa a porta 443 do EIP-B mapeada para a porta privada 443 (TCP). Como as combinações de mapeamento de portas não entram em conflito, ambas as entradas podem entrar em vigor simultaneamente.

    Além disso, o mesmo EIP pode ser usado tanto para entradas SNAT quanto DNAT sem que um afete o outro.

    Configuração de EIP

    Por que não encontro meu EIP ao criar uma entrada NAT?

    O EIP e o NAT gateway estão em regiões diferentes. Selecione um EIP na mesma região ou crie um novo na região do NAT gateway.

    Posso usar o mesmo EIP ou NAT IP para DNAT e SNAT?

    Sim. No entanto, se a entrada DNAT estiver configurada para qualquer porta, esse EIP ou NAT IP não poderá ser usado em outras entradas DNAT ou SNAT. Caso a entrada DNAT utilize uma porta específica maior que 1024, pode haver conflito com as portas SNAT, causando quedas transitórias de conexão.

    Uma instância ECS com EIP ainda usa o NAT Gateway?

    Se uma instância ECS possuir um EIP associado, ela usará esse EIP para o tráfego de saída para a internet em vez do NAT Gateway. Para utilizar o NAT Gateway no tráfego de saída, desassocie o EIP da instância.

    Quais são as diferenças entre os dois modos de vinculação de EIP?

    Os Internet NAT Gateways criados pelo console usam o modo NAT por padrão. O modo Multi-EIP visível só pode ser criado chamando CreateNatGateway e especificando o parâmetro EipBindMode.

    • Para usar o NAT Gateway com um IPv4 Gateway, é obrigatório utilizar o modo NAT.

    • Para maior flexibilidade no gerenciamento de EIPs, escolha o modo Multi-EIP visível.

    Dimensão

    Modo NAT

    Modo Multi-EIP visível

    Alternância do modo de vinculação

    Não é possível alternar para o modo Multi-EIP visível.

    • console: Siga este guia para alternar.

    • OpenAPI: Chame ModifyNatGatewayAttribute.

      Defina EipBindMode como NAT.

      • Quando o número de EIPs vinculados ao NAT Gateway for ≤ 5, a alternância pode ser feita diretamente pela API.

      • Quando o número de EIPs vinculados ao NAT Gateway for > 5, entre em contato com seu gerente de conta para solicitar.

    Nota

    • Durante a alternância do modo de vinculação de EIP, as conexões de rede podem sofrer breves interrupções (a duração aumenta conforme o número de EIPs). Realize a alternância em horários de baixa demanda.

    • Antes de alternar, certifique-se de que o vSwitch onde o NAT Gateway está implantado possui endereços ip disponíveis suficientes.

    Adicionar EIPs consome endereços ip disponíveis no vSwitch?

    1. Cada EIP adicional consome um endereço ip privado do vSwitch. O ip privado é vinculado ao EIP.

    2. Quando uma instância ECS usa entradas SNAT/DNAT para encaminhamento, os dados são recebidos primeiro pelo ip privado vinculado ao EIP e depois encaminhados para o EIP correspondente.

    1. Adicionar EIPs não consome endereços ip disponíveis no vSwitch.

    2. Quando uma instância ECS usa entradas SNAT/DNAT para encaminhamento, os dados são encaminhados diretamente pelo EIP correspondente.

    Suporte a IPv4 Gateway

    Compatível.

    Não compatível.

    ECS acessando DNAT na mesma instância de NAT Gateway via SNAT

    Compatível.

    Não compatível.

    Método de criação

    • Criado por padrão pelo console.

    • Chame CreateNatGateway e especifique EipBindMode como NAT.

    Chame CreateNatGateway e especifique EipBindMode como MULTI_BINDED.

    Solução de problemas de conectividade de rede

    Impossibilidade de acessar a internet via SNAT

    • Verifique a rota padrão apontando para o NAT Gateway:

      Na página de detalhes da instância do NAT Gateway, visualize VPC routes that point to the NAT gateway e confirme se existe uma entrada de rota apontando para o NAT Gateway. Se estiver ausente, configure uma rota com destino 0.0.0.0/0 e próximo salto definido como o NAT Gateway na tabela de rotas relevante.

    • Valide a configuração da regra SNAT:

      • Na aba SNAT da página de detalhes da instância do NAT Gateway, confirme se o status da entrada SNAT é Available.

      • Confirme se o endereço de source que acessa a internet está dentro do Source CIDR Block.

    • Investigue problemas não relacionados ao NAT:

      • Acesso transfronteiriço: o caminho de rede é instável.

      • Acesso por domínio: verifique se o registro ICP e a resolução dns do domínio estão normais.

      • Controle de acesso: verifique se o destino configurou políticas de controle de acesso ou adicionou o EIP a uma lista de permissões.

    • Verifique a configuração do IPv4 Gateway: Ao usar um IPv4 Gateway, garanta que o NAT Gateway esteja no modo NAT e que as rotas estejam configuradas corretamente.

    Nova ECS não consegue acessar a internet via SNAT

    Uma ECS em um vSwitch recém-criado não consegue acessar a internet via SNAT, enquanto instâncias em outros vSwitches conseguem.

    • Confirme se as entradas SNAT incluem o bloco CIDR do novo vSwitch:

      O NAT Gateway não configura automaticamente entradas SNAT para vSwitches recém-criados. Na aba SNAT da página de detalhes da instância, verifique se o Source CIDR Block das entradas SNAT existentes inclui o bloco CIDR do novo vSwitch. Caso contrário, configure manualmente uma entrada SNAT.

    • Se o novo vSwitch estiver associado a uma tabela de rotas personalizada, confirme se há uma entrada de rota com destino 0.0.0.0/0 e próximo salto definido como o NAT Gateway. Se não houver, adicione manualmente a entrada de rota.

    ECS não acessa a internet com múltiplos NAT gateways

    Isso ocorre quando a VPC usa apenas a tabela de rotas do sistema com uma única rota 0.0.0.0/0 apontando para um único NAT gateway. Se a entrada SNAT desse gateway não cobrir um vSwitch específico, suas instâncias ECS não conseguirão acessar a internet.

    • Se você não precisar de múltiplos NAT Gateways, exclua os desnecessários e adicione entradas SNAT ao NAT Gateway restante para cobrir o bloco CIDR do vSwitch.

    • Caso precise de múltiplos NAT Gateways, consulte este guia para configuração.

    Impossibilidade de acessar um servidor FTP via SNAT

    Possíveis causas:

    • Modo FTP ativo: O SNAT aceita apenas acesso de saída. O modo ativo do FTP requer conexões de dados de entrada, que o SNAT não consegue gerenciar. Use o modo passivo.

    • Múltiplos EIPs na entrada SNAT: As conexões de controle e dados do FTP podem usar EIPs diferentes, quebrando a sessão. Ative afinidade de EIP para que o mesmo cliente sempre use o mesmo EIP. Ou crie uma regra SNAT separada com um único EIP para o cliente FTP.

    service inacessível após configuração do DNAT

    • Verifique a rota padrão apontando para o NAT Gateway:

      Quando a instância ECS configurada na entrada DNAT responde ao tráfego de entrada, ela também precisa de uma rota de volta para o NAT Gateway. Confirme se a tabela de rotas do sistema ou personalizada possui uma rota com destino 0.0.0.0/0 e próximo salto definido como o NAT Gateway. Se não houver, adicione manualmente a entrada de rota.

    • Valide a configuração da regra DNAT:

      • Na aba DNAT da página de detalhes da instância do NAT Gateway, confirme se o status da entrada DNAT é Available.

      • Confirme se os parâmetros de porta, protocolo e endereço de destino na regra DNAT estão corretos.

    • Verifique grupos de segurança, firewalls e status da porta de service:

      • Execute telnet <ECS private IP> <private port> em outra instância ECS na mesma VPC para verificar se a porta privada da instância ECS configurada na entrada DNAT está acessível.

        • Se a saída mostrar unable connect to remote host: Connection timed out, a porta privada não está acessível de dentro da VPC, o que significa que também não está acessível pela internet.

        • Se a saída mostrar Connected to <ECS private IP>, a porta privada está acessível.

      • Quando a porta privada estiver acessível, confirme se as regras do grupo de segurança da instância ECS permitem acesso público à porta correspondente e se o firewall tem a porta aberta.

    • Solucione problemas de resolução de domínio: Se o acesso pelo domínio falhar, mas o acesso direto por EIP funcionar, verifique a resolução dns e o status do registro ICP do domínio.

    • Verifique a configuração do IPv4 Gateway: Ao usar um IPv4 Gateway, garanta que o NAT Gateway esteja no modo NAT e que as rotas estejam configuradas corretamente.

    • Valide a consistência das ENIs: Quando a ECS possui múltiplas ENIs, verifique se as ENIs de entrada e saída são consistentes. Consulte este guia para configuração.

    Uso com IPv4 Gateway

    Diferença entre IPv4 gateway e Internet NAT gateway

    Um IPv4 gateway e um Internet NAT gateway podem ser usados juntos. Consulte Acesso à Internet para detalhes sobre como esses componentes de rede se relacionam.

    Componente

    IPv4 gateway

    Internet NAT gateway

    Finalidade

    Componente de limite da VPC que controla o tráfego IPv4 público

    Dispositivo de Tradução de Endereços de Rede (NAT) dentro da VPC

    Cenários

    Controle centralizado do tráfego de acesso à Internet

    Saída unificada para tráfego destinado à Internet

    Fornece acesso à Internet

    Não. Apenas controla o tráfego.

    Fornece acesso à Internet associando EIPs

    (Os EIPs fornecem a conectividade; o NAT gateway em si não fornece acesso à Internet.)

    Após criar um IPv4 gateway, os vSwitches se enquadram em duas categorias:

    • vSwitch público: A tabela de rotas associada contém uma entrada de rota com Destination CIDR Block definido como 0.0.0.0/0 e Next Hop definido como o IPv4 gateway. Recursos neste vSwitch podem acessar a Internet após associar um endereço ip público.

    • vSwitch privado: A tabela de rotas associada não contém uma rota apontando para o IPv4 gateway. Recursos neste vSwitch não podem acessar a Internet diretamente, mesmo que possuam um endereço ip público.

    Ao usar um Internet NAT gateway junto com um IPv4 gateway, implante o Internet NAT gateway em um vSwitch público. Instâncias ECS em um vSwitch privado devem ter uma rota apontando para o Internet NAT gateway para que seu tráfego destinado à Internet flua através do NAT gateway, que usa seu endereço ip público associado para alcançar a Internet. Observe o seguinte:

    • Certifique-se de que o EipBindMode do Internet NAT gateway esteja definido como modo NAT para compatibilidade com o IPv4 gateway.

      • Internet NAT gateways criados no console usam o modo NAT por padrão. Ao chamar CreateNatGateway, defina EipBindMode como NAT. Após a criação, chame ModifyNatGatewayAttribute para alterar o EipBindMode.

      • Se já existir um Internet NAT gateway com EipBindMode definido como modo MULTI_BINDED, ele será incompatível com o IPv4 gateway e você não poderá criar um IPv4 gateway.

      • Se já existir um IPv4 gateway e você chamar CreateNatGateway para criar um Internet NAT gateway com EipBindMode definido como modo MULTI_BINDED, não será possível associar EIPs a esse NAT gateway.

    • Para evitar que recursos em vSwitches privados percam o acesso à Internet após a ativação do IPv4 gateway, conclua a configuração de rotas antes da ativação.

    image

    O que acontece ao alternar para o modo NAT?

    Após a alternância, o NAT gateway pode trabalhar com um IPv4 gateway. Instâncias com entradas SNAT e DNAT podem usar SNAT para acessar um service DNAT no mesmo gateway.

    • Faturamento: Gratuito, sem custos adicionais.

    • service: Podem ocorrer breves interrupções de rede (segundos). A duração depende do número de EIPs vinculados.

    • Configuração:

      • O ip de saída pública e as configurações existentes permanecem inalterados.

      • Cada EIP consome um ip privado do vSwitch do NAT gateway. Garanta que haja endereços disponíveis suficientes.

      • A alternância é irreversível — o modo de compatibilidade com IPv4 gateway não pode ser desativado posteriormente.

    Desempenho e monitoramento

    Tempos limite de conexão ou downloads lentos

    • Monitore o tráfego

    • Otimize o kernel Linux

      • Causa: Quando várias instâncias ECS Linux acessam simultaneamente um servidor Linux via SNAT, o kernel pode descartar pacotes TCP SYN, causando tempos limite.

      • Solução: Desative net.ipv4.tcp_tw_recycle no servidor ou desative net.ipv4.tcp_timestamps no cliente.

    O que significam as quedas por falha na alocação de portas?

    Número de conexões descartadas porque a alocação de portas TCP/UDP falhou devido ao excesso de conexões simultâneas através do NAT gateway.

    Causa: Um único EIP ou NAT IP fornece portas SNAT limitadas. Quando muitas sessões têm o mesmo destino com poucos EIPs ou NAT IPs, a alocação de portas falha.

    Solução: Adicione mais EIPs ou NAT IPs à regra SNAT quando as quedas continuarem aumentando.

    Faturamento e cotas

    Por que meus custos com NAT gateway aumentaram?

    O NAT gateway utiliza o modelo de pagamento conforme o uso. Custos mais altos geralmente indicam maior tráfego. Solucione o problema:

    • Visualize o monitoramento: No CloudMonitor, verifique o tráfego de entrada/saída da instância do NAT Gateway, contagem de conexões e outras métricas para identificar picos de tráfego.

    • Visualize detalhes de faturamento: Use Billing and Cost console para visualizar detalhes de faturamento horário do NAT Gateway e identificar o momento exato em que os custos aumentaram.

    • Ative logs de tráfego: Habilite os logs de tráfego do NAT Gateway (log de sessão e log de fluxo) e envie-os para o Log service para análise, identificando com precisão a source do tráfego.

    Posso obter reembolso de um pacote de recursos do NAT gateway?

    Pacotes de recursos do NAT Gateway aceitam reembolso por não utilização em cinco dias e reembolso parcial. Para detalhes, consulte Regras para cancelamento de assinatura de recursos.

    Por que ainda sou cobrado após excluir um NAT gateway?

    Após excluir um NAT gateway, você ainda pode receber faturas devido ao faturamento atrasado. Essas faturas cobrem o uso anterior à exclusão. Verifique o período de uso nos detalhes de faturamento para confirmar.

    Quantos NAT gateways posso criar?

    Sem limite. Você pode criar quantos NAT gateways desejar por conta Alibaba Cloud.