NAT Gateway限速 - NAT Gateway

為避免資料分析、日誌下載等業務產生的突發流量佔滿公網出口頻寬，影響核心業務的穩定性，可基於源 IP 位址段（CIDR），為 NAT Gateway配置限速規則，限制 NAT Gateway的出方向頻寬。

當前 NAT Gateway新增限速僅在英國（倫敦）地區開放，如需開通請聯絡您的客戶經理申請。

工作原理

NAT Gateway採用分布式叢集架構處理網路流量，限速策略在每個轉寄節點上獨立執行。限速效果無法絕對精確，實際最大頻寬受多個因素影響，基本邏輯可參考以下公式：

單條串連的實際限速 ≈ (規則限速值 / 轉寄節點數) × 1.33
- 轉寄節點數：由系統根據 NAT Gateway的規格、負載和串連數等因素動態調整。
- 突發係數：系統為應對流量波動預留的冗餘空間。
- 誤差範圍：在流量平穩時，實際限速值通常在配置值的 80%～140% 之間波動。
  例如，NAT 規則限速值設定為 1200 Mbps，叢集有 4 個轉寄節點，單條串連的流量頻寬上限約為 (1200 / 4) × 1.33 ≈ 400 Mbps
只有當業務存在較多的並發串連、流量可均勻分散到所有轉寄節點時，整體流量頻寬才能接近規則限速值。並發串連數量較少時，建議您將規則限速值設定為略大於業務期望值。

被限速策略丟棄的資料包不會觸發 NAT Gateway的彈性擴容。如果業務對限速精度有嚴格要求，建議在 ECS 執行個體內部結合 tc 等工具進行補充流控。

當多個限速規則的源地址網段存在重疊時，系統遵循最長首碼匹配原則決定生效規則，即子網路遮罩最長（網段範圍最小）的規則優先順序最高。

例如，對於來自 192.168.1.100 的流量，如果同時存在兩條規則：

由於 /25 的子網路遮罩比 /24 更長，規則 B 的優先順序更高，系統將採用規則 B 的限速策略。

登入NAT Gateway控制台，單擊目標執行個體操作列的管理。
選擇限速規則頁簽，單擊建立限速規則。
- 限速值：設定規則允許的最大出方向頻寬，單位為 Mbps。最小值為 10 Mbps。
- 源地址網段：選擇需要限制流量的源 CIDR。
  - 下拉式清單中，系統預設列出當前 VPC 內所有交換器網段。支援輸入包含於交換器網段的 CIDR，例如配置 /32 的限速規則，即可對單個 IP 位址進行限速。
  - 單條規則最多支援 10 個 CIDR 地址塊。
- 規則名稱和描述：可結合使用，統一管理資源。
驗證限速效果：通過CloudMonitor查看 NAT Gateway執行個體的 OutInternetBandwidth（出方向公網頻寬），觀察其峰值是否被限制在規則值附近。
當前缺少因限速而丟棄的報文數的直接監控指標，建議通過觀察業務側的應用延遲或重傳率來間接判斷。

建立完成後，支援修改、刪除限速規則。

限速規則功能本身不產生額外費用。

限速功能通過丟棄超出閾值的資料包實現。被丟棄的資料包不計入公網流量費用，有助於控制按流量計費模式下的費用。

對於 TCP 等可靠傳輸協議，丟包會觸發用戶端重傳，可能導致應用程式層面的流量消耗略有增加。

若配置限速規則後未達到預期效果，可按以下步驟排查：

檢查規則狀態：在限速規則列表中，確認目標規則的狀態為可用。
檢查流量路徑：確保業務流量通過此 NAT Gateway作為公網出口。已指派固定公網 IP 的 ECS 執行個體預設通過內建公網 IP 訪問互連網，需要配置策略路由或輔助彈性網卡等方式，強制其流量通過 NAT Gateway。
檢查源地址匹配：確保發起訪問的執行個體或容器的私網 IP 位址，在配置的源地址網段範圍內。
檢查規則優先順序：檢查是否存在其他子網路遮罩更長（網段更精確）的規則覆蓋了當前規則。根據最長首碼匹配原則，更精確的規則會優先生效。
理解非精確性：檢查監控到的頻寬峰值。該功能為非精確限速，實際頻寬在配置值附近浮動是正常現象。具體參見工作原理。

不影響。限速規則僅對通過 NAT Gateway訪問互連網的出站流量生效。