用户指南
文档版本 01
发布日期 2022-01-19
版权所有 © 华为技术有限公司 2022。 保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传 播。
商标声明
和其他华为商标均为华为技术有限公司的商标。
本文档提及的其他所有商标或注册商标，由各自的所有人拥有。
注意
您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或 特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或暗示的声 明或保证。
由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文 档中的所有陈述、信息和建议不构成任何明示或暗示的担保。
目 录
1 公网 NAT 网关...1
1.1 公网 NAT 网关简介... 1
1.2 管理公网 NAT 网关... 1
1.2.1 购买公网 NAT 网关...2
1.2.2 查看公网 NAT 网关...4
1.2.3 修改公网 NAT 网关...4
1.2.4 删除/退订公网 NAT 网关... 5
1.3 管理 SNAT 规则...6
1.3.1 添加 SNAT 规则... 6
1.3.2 查看 SNAT 规则... 8
1.3.3 修改 SNAT 规则... 8
1.3.4 删除 SNAT 规则... 9
1.4 管理 DNAT 规则...9
1.4.1 添加 DNAT 规则... 9
1.4.2 查看 DNAT 规则... 12
1.4.3 修改 DNAT 规则... 12
1.4.4 删除 DNAT 规则... 13
1.4.5 批量删除 DNAT 规则... 13
1.4.6 DNAT 规则模板导入导出...14
2 私网 NAT 网关（公测）... 16
2.1 私网 NAT 网关简介...16
2.2 购买私网 NAT 网关...19
2.2.1 概述... 19
2.2.2 购买私网 NAT 网关... 20
2.2.3 创建中转子网和中转 IP... 22
2.2.4 添加 SNAT 规则...24
2.2.5 添加 DNAT 规则... 26
2.3 管理私网 NAT 网关...28
2.3.1 查看私网 NAT 网关... 28
2.3.2 修改私网 NAT 网关... 29
2.3.3 删除私网 NAT 网关... 29
2.4 管理 SNAT 规则... 30
2.4.1 查看 SNAT 规则...30
2.4.2 修改 SNAT 规则...30
2.4.3 删除 SNAT 规则...31
2.5 管理 DNAT 规则... 32
2.5.1 查看 DNAT 规则... 32
2.5.2 修改 DNAT 规则... 32
2.5.3 删除 DNAT 规则... 33
2.6 管理中转子网...33
2.6.1 创建中转子网... 33
2.6.2 查看中转子网... 34
2.6.3 修改中转子网... 34
2.6.4 删除中转子网... 35
2.7 管理中转 IP... 35
2.7.1 创建中转 IP... 36
2.7.2 查看中转 IP... 36
2.7.3 删除中转 IP... 37
2.8 连接 IDC 或其他虚拟私有云... 37
3 权限管理...38
3.1 创建用户并授权使用 NAT 网关... 38
3.2 NAT 网关自定义策略... 39
4 标签管理...41
5 敏感操作保护...43
6 监控管理...47
6.1 支持的监控指标... 47
6.2 创建告警规则...51
6.3 查看监控指标...53
7 审计... 55
7.1 支持审计的关键操作列表... 55
7.2 查看审计日志...55
A 修订记录... 58
用户指南 目 录
1 公网 NAT 网关
1.1 公网 NAT 网关简介
公网NAT网关（Public NAT Gateway）能够为虚拟私有云内的云主机（弹性云服务 器、裸金属服务器）或者通过云专线/VPN接入虚拟私有云的本地数据中心的服务器，
提供最高20Gbit/s能力的网络地址转换服务，使多个云主机可以共享弹性公网IP访问 Internet或使云主机提供互联网服务。
公网NAT网关使用流程如下：
图1-1 公网 NAT 使用流程
1.2 管理公网 NAT 网关
1.2.1 购买公网 NAT 网关
操作场景
如果您要通过公网NAT网关访问公网或为公网提供服务，则需要购买公网NAT网关。
前提条件
● 购买公网NAT网关必须指定公网NAT网关所在VPC、子网。
● 由于需要放通到NAT网关的流量，因此在VPC中需要有指向NAT网关的路由。请 在创建公网NAT网关前，确认VPC默认路由表下是否存在0.0.0.0/0的默认路由。若 存在，请在公网NAT网关创建成功后为此网关添加一条不同的路由或在新路由表 中创建0.0.0.0/0的默认路由。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击购买公网NAT网关，进入公网NAT网关购买页面。
图1-2 购买公网 NAT 网关
5. 根据界面提示，配置公网NAT网关的基本信息，配置参数请参见表1-1。
表1-1 参数说明
参数 参数说明
计费模式 公网NAT网关支持按需计费、包年/包月。
区域 公网NAT网关所在的区域。
用户指南 1 公网 NAT 网关
参数 参数说明
名称 公网NAT网关名称。最大支持64个字符，仅支持数 字、字母、_（下划线）、-（中划线）。
虚拟私有云 公网NAT网关所属的VPC。需要确认VPC默认路由表 下是否存在0.0.0.0/0的默认路由。若已存在，请在网 关创建后为此网关添加一条不同的路由或在新路由表 中创建0.0.0.0/0的默认路由。
VPC仅在购买公网NAT网关时可以选择，后续不支持 修改。
子网 公网NAT网关所属VPC中的子网。
子网至少有一个可用的IP地址。
子网仅在购买公网NAT网关时可以选择，后续不支持 修改。
规格 公网NAT网关的规格。
公网NAT网关共有小型、中型、大型和超大型四种规 格类型，可通过“了解更多”查看各规格详情。
企业项目 配置公网NAT网关归属的企业项目。当公网NAT网关 配置企业项目时，该公网NAT网关将归属于该企业项 目。当没有指定企业项目时，将默认使用项目名称为 default的企业项目。
描述 公网NAT网关信息描述。最大支持255个字符。
标签 公网NAT网关的标识，包括键和值。可以创建10个标 签。
标签的命名规则请参考表1-2。
购买时长 公网NAT网关购买时长。
表1-2 标签命名规则 参数 规则
键 ● 不能为空。
● 对于同一NAT网关键值唯一。
● 长度不超过36个字符。
● 不能包含“=”、“*”、“<”、“>”、“\\”、“,”、“|”和
“/”，且首尾字符不能为空格。
值 ● 长度不超过43个字符。
● 不能包含“=”、“*”、“<”、“>”、“\\”、“,”、“|”和
“/”，且首尾字符不能为空格。
配置完成上述信息，会显示公网NAT网关配置费用，可通过“了解计费详情”查 看计费信息。
6. 单击“立即购买”，在“规格确认”页面，您可以再次核对公网NAT网关信息。
7. 确认无误后，单击“提交”，开始创建公网NAT网关。
公网NAT网关的创建过程一般需要1-5分钟。
8. 在“公网NAT网关”列表，查看公网NAT网关状态。
1.2.2 查看公网 NAT 网关
操作场景
公网NAT网关创建后，可以查看已经创建的公网NAT网关的详情。
操作前提
公网NAT网关创建成功。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击需要查看详情的公网NAT网关名称。
5. 系统跳转至目标公网NAT网关详情页面，即可查看目标公网NAT网关的详情。
1.2.3 修改公网 NAT 网关
操作场景
公网NAT网关创建后，如果您在使用过程中发现当前的公网NAT网关规格不能满足自 己的需求，可以修改公网NAT网关规格、名称和描述。
提升公网NAT网关规格不影响业务；降低公网NAT网关规格取决于当前的业务量是否 超过降档后规格的上限。
包年/包月的公网NAT网关不支持规格降级。
包年/包月的公网NAT网关转按需，需包年/包月资费模式到期后，按需的资费模式才会 生效；按需的公网NAT网关可以随时转包年/包月。
操作前提
公网NAT网关创建成功。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
用户指南 1 公网 NAT 网关
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击需要修改的公网NAT网关操作列中的“修改”。
5. 根据界面提示，修改公网NAT网关的名称、规格或者描述信息。
图1-3 修改 NAT 网关
6. 修改完成后，单击“确认”，完成公网NAT网关信息的修改，在公网NAT网关列 表可以看到修改后的信息。
1.2.4 删除/退订公网 NAT 网关
操作场景
公网NAT网关创建后，如果您不再需要使用公网NAT网关，可以通过删除/退订公网 NAT网关，释放资源，节省费用。
说明
● 对于按需计费模式的公网NAT网关，直接按照如下步骤删除公网NAT网关，即可完成退订。
● 对于包年/包月计费模式的公网NAT网关，请参考云服务退订完成退订。
操作前提
必须保证公网NAT网关下的SNAT规则和DNAT规则已全部删除。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击需要删除的公网NAT网关操作列中的“删除”。
5. 在弹出的对话框中单击“是”，完成公网NAT网关的删除。
1.3 管理 SNAT 规则
1.3.1 添加 SNAT 规则
操作场景
公网NAT网关创建成功后，您需要创建SNAT规则。通过创建SNAT规则，虚拟私有云 子网中全部或部分云主机可以通过共享弹性公网IP访问公网，或云专线/云连接用户侧 端该网段下的服务器可以通过共享弹性公网IP访问公网。
一个子网对应一条SNAT规则，如果VPC中有多个子网需要访问公网，则可以通过创建 多个SNAT规则实现共享一个或多个弹性公网IP资源。
前提条件
● 公网NAT网关创建成功。
● 云专线接入的用户，云专线的虚拟网关中，“VPC网段”参数建议设置为
"0.0.0.0/0"。具体配置请参考创建虚拟网关。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 图标，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击需要添加SNAT规则的公网NAT网关名称。
5. 在SNAT规则页签中，单击“添加SNAT规则”。
用户指南 1 公网 NAT 网关
图1-4 添加 SNAT 规则
6. 根据界面提示，配置添加SNAT规则参数，详情请参见表1-3。
表1-3 SNAT 规则参数说明
参数 说明
使用场景 SNAT规则使用的场景。
当虚拟私有云中的云主机需要访问公网时，选择虚拟私有 云。
当云专线/VPN本地数据中心端的服务器需要访问公网时，
选择云专线/云连接。
子网 当使用场景为虚拟私有云，需要配置此参数。
● 使用已有：选择现有子网，使云服务器通过SNAT方式 访问公网。
● 自定义：自定义一个网段或者填写某个主机地址，使云 服务器通过SNAT方式访问公网。
说明支持配置0.0.0.0/0的地址段，在多段地址配置时更方便。
可以配置32位主机地址，NAT网关只针对此地址起作用。
弹性公网IP 用来提供互联网访问的公网IP。
这里只能选择没有被绑定的弹性公网IP，或者被绑定在当 前公网NAT网关中非“所有端口”类型DNAT规则上的弹 性公网IP，或者被绑定到当前公网NAT网关中SNAT规则上 的弹性公网IP。
可选择多条EIP添加在SNAT规则中。一条SNAT规则最多 添加20个EIP。SNAT规则使用多个EIP时，业务运行时会 随机选取其中的一个。
参数 说明
监控 为SNAT连接数设置告警。
可通过设置告警及时了解SNAT连接数运行状况，从而起 到预警作用。
描述 SNAT规则信息描述。最大支持255个字符。
7. 配置完成后，单击确定，完成“SNAT规则”创建。
说明
根据您的业务需求，可以为一个公网NAT网关添加多条SNAT规则。
1.3.2 查看 SNAT 规则
操作场景
SNAT规则添加完成后，可以查看为目标公网NAT网关添加的SNAT规则。
操作前提
SNAT规则已经添加。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击目标公网NAT网关的名称。
5. 在SNAT页签的SNAT规则列表中，查看目标公网NAT网关已经创建的SNAT规则详 细信息。
1.3.3 修改 SNAT 规则
操作场景
添加SNAT规则后，如果SNAT规则设置有误，或者SNAT规则中的一些参数需要更新 时，可以修改SNAT规则。
操作前提
公网NAT网关下存在成功添加的SNAT规则。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
用户指南 1 公网 NAT 网关
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击目标公网NAT网关的名称。
5. 系统跳转至目标公网NAT网关详情页面，单击“SNAT规则”页签。
6. 在SNAT规则列表中，单击目标SNAT规则操作列中的“修改”。
7. 在弹出的对话框中，修改参数中的内容。
8. 单击“确定”，完成SNAT规则的修改。
1.3.4 删除 SNAT 规则
操作场景
添加SNAT规则后，如果不再需要此SNAT规则，您可以删除SNAT规则。
操作前提
公网NAT网关下存在成功添加的SNAT规则。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击目标公网NAT网关的名称。
5. 在SNAT页签的SNAT规则列表中，单击目标SNAT规则操作列中的“删除”。
图1-5 删除 SNAT 规则
6. 在弹出的对话框中单击“是”，完成SNAT规则的删除。
1.4 管理 DNAT 规则
1.4.1 添加 DNAT 规则
操作场景
公网NAT网关创建后，通过添加DNAT规则，则可以通过映射方式将您VPC内的云主机 对互联网提供服务。
一个云主机的一个端口对应一条DNAT规则，一个端口只能映射到一个EIP，不能映射 到多个EIP。如果您有多个云主机需要为互联网提供服务，则需要创建多条DNAT规 则。
操作前提
已成功创建公网NAT网关。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击需要添加DNAT规则的公网NAT网关名称。
5. 在公网NAT网关详情页面中，单击“DNAT规则”页签。
6. 在DNAT规则页签中，单击“添加DNAT规则”。
图1-6 添加 DNAT 规则
须知
配置DNAT规则后，需在对应的云主机中放通对应的安全组规则，否则DNAT规则 不能生效。具体操作步骤，请参见添加安全组规则。
7. 根据界面提示，配置添加DNAT规则参数，详情请参见表1-4。
用户指南 1 公网 NAT 网关
表1-4 DNAT 规则参数说明
参数 说明
使用场景 虚拟私有云表示虚拟私有云中的云主机将通过DNAT的方式 共享弹性公网IP，为公网提供服务。
云专线/云连接表示通过云专线/云连接方式接入虚拟私有云 的本地数据中心中的服务器，将通过DNAT的方式为公网提 供服务。
端口类型 分为所有端口和具体端口两种类型。
● 所有端口：属于IP映射方式。此方式相当于为云主机配置 了一个弹性公网IP，任何访问该弹性公网IP的请求都将转 发到目标云服务器实例上。
● 具体端口：属于端口映射方式。公网NAT网关会将以指定 协议和端口访问该弹性公网IP的请求转发到目标云主机实 例的指定端口上。
支持协议 协议类型分为TCP和UDP两种类型。端口类型为具体端口 时，可配置此参数，端口类型为所有端口时，此参数默认设 置为All。
弹性公网IP 弹性公网IP地址。
这里只能选择没有被绑定的弹性公网IP，或者被绑定在当前 公网NAT网关中非“所有端口”类型DNAT规则上的弹性公 网IP，或者被绑定到当前公网NAT网关中SNAT规则上的弹性 公网IP。
公网端口 弹性公网IP的端口。当端口类型为具体端口时，需要配置此 参数，有效数值为1-65535。
公网端口的范围可以为具体的数值，也可以为连续的数值范 围，例如端口可以为80，也可以为80-100。
私网IP ● 当使用场景为虚拟私有云时，指云主机的IP地址。表示此 IP地址的云主机将通过DNAT方式为公网提供服务。
● 当使用场景为云专线时，指用户本地数据中心中服务器的 IP地址或者用户的私有IP地址。表示通过云专线/云连接接 入到虚拟私有云的本地数据中心端的此私有IP服务器，可 以通过DNAT方式为公网提供服务。
● 端口类型为具体端口时，需要配置私网IP的端口。
私网端口 在使用DNAT为云主机面向公网提供服务场景下，指云主机 的端口号。当端口类型为具体端口时，需要配置此参数，有 效数值为1-65535。
私网端口的范围可以为具体的数值，也可以为连续的数值范 围，例如端口可以为80，也可以为80-100。
描述 DNAT规则信息描述。最大支持255个字符。
8. 配置完成后，单击“确定”，可在DNAT规则列表中查看详情，若“状态”为“运 行中”，表示创建成功。
1.4.2 查看 DNAT 规则
操作场景
DNAT规则添加完成后，可以查看为目标公网NAT网关添加的DNAT规则。
操作前提
DNAT规则已经添加。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击目标公网NAT网关的名称。
5. 系统跳转至目标公网NAT网关详情页面，单击“DNAT规则”页签。
6. 在DNAT规则列表中，查看目标公网NAT网关已经创建的DNAT规则详细信息。
1.4.3 修改 DNAT 规则
操作场景
添加DNAT规则后，如果DNAT规则设置有误，或者DNAT规则中的一些参数需要更新 时，可以修改DNAT规则。
操作前提
公网NAT网关下存在成功添加的DNAT规则。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击目标公网NAT网关的名称。
5. 系统跳转至目标公网NAT网关详情页面，单击“DNAT规则”页签。
6. 在DNAT规则列表中，单击目标DNAT规则操作列中的“修改”。
7. 在弹出的对话框中，修改参数中的内容。
8. 单击“确定”，完成DNAT规则的修改。
用户指南 1 公网 NAT 网关
1.4.4 删除 DNAT 规则
操作场景
添加DNAT规则后，如果不需要此DNAT规则，您可以删除DNAT规则。
操作前提
公网NAT网关下存在成功添加的DNAT规则。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击目标公网NAT网关的名称。
5. 系统跳转至目标公网NAT网关详情页面，单击“DNAT规则”页签。
6. 在DNAT规则列表中，单击目标DNAT规则操作列中的“删除”。
图1-7 删除 DNAT 规则
7. 在弹出的对话框中单击“是”，完成DNAT规则的删除。
1.4.5 批量删除 DNAT 规则
操作场景
添加DNAT规则后，如果不需要此DNAT规则，您可以删除DNAT规则。
操作前提
公网NAT网关下存在成功添加的DNAT规则。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击目标NAT网关的名称。
5. 系统跳转至目标公网NAT网关详情页面，单击“DNAT规则”页签。
6. 在DNAT规则列表中，勾选目标DNAT规则，单击“删除DNAT规则”。
7. 在弹出的对话框中单击“是”，完成DNAT规则的批量删除。
1.4.6 DNAT 规则模板导入导出
操作场景
公网NAT网关创建后，通过添加DNAT规则，则可以通过映射方式将您VPC内的云主机 对互联网提供服务。
一个云主机绑定一条DNAT规则，如果您有多个云主机需要为互联网提供服务，则需要 创建多条DNAT规则。
操作前提
已成功创建公网NAT网关。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入公网NAT网关页面。
4. 在公网NAT网关页面，单击需要添加DNAT规则的公网NAT网关名称。
5. 在公网NAT网关详情页面中，单击“DNAT规则”页签。
6. 在DNAT规则页签中，单击“导入DNAT规则列表”，下载模板。
7. 根据模板中的表头，填写DNAT规则参数，详情请参见表1-5。
表1-5 DNAT 规则参数说明
参数 说明
使用场景 分为虚拟私有云和云专线/云连接两种方式。
● 虚拟私有云：表示虚拟私有云中的云主机将通过DNAT的 方式共享弹性公网IP，为公网提供服务。
● 云专线/云连接：表示通过云专线/云连接方式接入虚拟私 有云的本地数据中心中的服务器，将通过DNAT的方式为 公网提供服务。
支持协议 协议类型分为TCP、UDP、全部三种类型。
弹性公网IP 弹性公网IP地址及公网端口。
只能使用未绑定的弹性公网IP或者被绑定在当前VPC中DNAT 规则上的弹性公网IP。
公网端口 弹性公网IP的端口。当端口类型为“全部”时，不需要配置 此参数。
公网端口的范围可以为具体的数值，也可以为连续的数值范 围，例如端口可以为80，也可以为80-100。
用户指南 1 公网 NAT 网关
参数 说明
私网IP ● 当使用场景为虚拟私有云时，指云主机的IP地址。表示此 IP地址的云主机将通过DNAT方式为公网提供服务。
● 当使用场景为云专线时，指用户本地数据中心中服务器的 IP地址或者用户的私有IP地址。表示通过云专线/云连接接 入到虚拟私有云的本地数据中心端的此私有IP服务器，可 以通过DNAT方式为公网提供服务。
● 协议类型为TCP、UDP时，需要配置私网IP的端口。
私网端口 ● 当使用场景为虚拟私有云时，指云主机的端口号。
● 当使用场景为云专线时，指用户本地数据中心中服务器的 端口号或私有端口号。
● 端口类型为“全部”时，不需要配置此参数。
私网端口需要与对应弹性公网IP的公网端口数量保持一致。
描述 DNAT规则信息描述。最大支持255个字符。
8. 模板填写完后，单击“导入DNAT规则列表”图标，选择本地模板，单击“导 入”。
图1-8 导入 DNAT 规则模板
9. 可在DNAT规则列表中查看详情，若“状态”为“运行中”，表示创建成功。
10. 在DNAT规则页签中，单击“导出DNAT规则列表”，可导出已配置好的DNAT规 则模板。
2 私网 NAT 网关（公测）
2.1 私网 NAT 网关简介
什么是私网 NAT 网关？
私网NAT网关（Private NAT Gateway），能够为虚拟私有云内的云主机（弹性云服务 器、裸金属服务器）提供私网地址转换服务。您可以在私网NAT网关上配置SNAT、
DNAT规则，可将源、目的网段地址转换为中转IP，通过使用中转IP实现VPC内的云主 机与其他VPC、云下IDC互访。
私网NAT网关分为SNAT和DNAT两个功能：
● SNAT功能通过绑定中转IP，可实现VPC内跨可用区的多个云主机共享中转IP，访 问外部数据中心或其他VPC。
● DNAT功能通过绑定中转IP，可实现IP映射或端口映射，使VPC内跨可用区的多个 云主机共享中转IP，为外部私网提供服务。
中转子网
中转子网相当于一个中转网络，您可以在中转子网中创建私网IP，即中转IP，使本端 VPC中的云主机可以共享该中转IP访问用户IDC或其他远端VPC。
中转VPC
中转子网所在VPC。
用户指南 2 私网 NAT 网关（公测）
图2-1 私网 NAT 网关
如图1所示：
● 重叠网段的VPC互访
两个本端VPC网段重叠，使用两个私网NAT网关，配置SNAT、DNAT规则，将本 端VPC私网地址转换为中转IP地址，实现两个本端VPC中云主机利用中转IP互访，
解决了VPC间网段重叠互访的问题。
● 指定IP接入远端私网
访问远端私网中的用户数据中心（IDC）和VPC被要求指定IP地址接入，远端私网 中的IDC通过云专线/VPN接入中转VPC，远端私网中的VPC通过对等连接接入中转 VPC。本端VPC1使用私网NAT网关，配置SNAT规则，将本端VPC私网地址转换为 指定IP地址，实现本端VPC1中的云主机以指定IP地址接入远端私网。
说明
私网NAT网关目前在“华北-北京四”、“华北-乌兰察布一”、“华东-上海一”、“华东-上海 二”、“华南-广州”、“西南-贵阳一”、“中国-香港”、“亚太-曼谷”、“亚太-新加坡”、
“拉美-圣保罗一”公测中。
产品优势
● 简规划
企业从线下IDC迁移部分业务上云后，希望保持原先企业内部网络通信方式，私网 NAT可将业务VPC下云主机的IP转换为中转VPC下的中转IP，并与远端IDC或其他 VPC进行三层通信，助力企业业务零改造、简化网络规划。
● 零冲突
利用两个私网NAT网关，可将两重叠网段的VPC进行地址转换，实现两个VPC下的 云主机互访，解决网段重叠互访问题。
● 高安全
私网NAT网关提供私网IP地址映射为满足企业安全规范的IP地址，接入指定部门，
提升安全性。
应用场景
● 重叠网段VPC间互通
私网NAT网关提供私网地址转换服务，利用两个私网NAT网关，配置SNAT、
DNAT规则，可同时将源、目的网段地址转换为中转IP，通过使用中转IP实现两 VPC间互通。私网NAT网关解决了两个重叠网段虚拟私有云中的云主机互相访问 的问题。
如下图所示，创建一个中转VPC，然后使用两个私网NAT网关将VPC A中IP地址为 192.168.0.1的弹性云服务器地址转化为10.0.0.11、将VPC B中IP地址为
192.168.0.1的弹性云服务器地址转化为10.0.0.22，通过转化后的IP地址相互访 问。
图2-2 重叠网段 VPC 间互通
● 企业网络上云及指定IP接入
大企业等机构上云，希望迁移上云保持组网不变，使用私网NAT网关无需对网络 做任何更改即可保持原有方式互通。同时，行业监管部门要求指定地址接入，使 用私网NAT网关将各部门的IP地址映射为指定地址接入行业监管部门，满足企业 安全规范。
如下图所示，企业部门间存在网段重叠，使用私网NAT网关，实现企业各部门迁 移上云后组网不变，部门间保持原有方式互通，简化了IDC上云的网络规划；使用 私网NAT网关，配置SNAT规则，将各部门的IP地址映射为符合要求的10.0.0.33地 址接入行业监管部门，提升企业的安全性。
用户指南 2 私网 NAT 网关（公测）
图2-3 企业网络上云及指定 IP 接入
公网 NAT 网关与私网 NAT 网关对比
公网NAT网关通过配置SNAT规则将私有IP映射为弹性公网IP，实现VPC内的云主机通 过共享弹性公网IP访问互联网；配置DNAT规则共享弹性公网IP为公网提供服务。
私网NAT网关通过配置SNAT规则将私有IP映射为中转IP，实现VPC内的云主机访问私 网中的用户数据中心或其他VPC；配置DNAT规则共享中转IP为私网提供服务。
表1概括了公网NAT网关和私网NAT网关间的差异：
表2-1 公网 NAT 网关与私网 NAT 网关对比
功能项 公网NAT网关 私网NAT网关
功能 私网和公网间互通 私网和私网间互通
SNAT功 能
访问公网 访问私网中的IDC或其他VPC
DNAT功 能
为公网提供服务 为私网中的IDC或其他VPC提供服务
互通媒
介 弹性公网IP 中转IP
相关链接
使用私网NAT网关为VPC内计算实例实现线上线下互通
2.2 购买私网 NAT 网关
2.2.1 概述
本章主要介绍购买私网NAT网关以及配置私网NAT网关。
私网NAT网关的使用流程如下：
图2-4 私网 NAT 使用流程
私网NAT网关配置完成，如果需要连接IDC或其他虚拟私有云，请参考连接IDC或其他 虚拟私有云。
2.2.2 购买私网 NAT 网关
操作场景
如果您的VPC中的资源要通过私网NAT网关访问用户本地数据中心（IDC）或其他虚拟 私有云，或面向私网提供服务，则需要购买私网NAT网关。
说明
私网NAT网关目前正在“华北-北京四”、“华北-乌兰察布一”、“华东-上海一”、“华东-上 海二”、“华南-广州”、“西南-贵阳一”、“中国-香港”、“亚太-曼谷”、“亚太-新加 坡”、“拉美-圣保罗一”公测中。
注意
购买私网NAT网关必须指定私网NAT网关所在VPC、子网、私网NAT网关规格。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击“购买私网NAT网关”，进入私网NAT网关购买页 面。
用户指南 2 私网 NAT 网关（公测）
6. 根据界面提示，配置私网NAT网关的基本信息，配置参数请参见表2-2。
图2-5 购买私网 NAT 网关
表2-2 参数说明
参数 参数说明
区域 私网NAT网关所在的区域。
名称 私网NAT网关名称。最大支持64个字符，仅支持中 文、数字、字母、_（下划线）、-（中划线）。
虚拟私有云 私网NAT网关所属的VPC。
VPC仅在购买私网NAT网关时可以选择，后续不支持 修改。
子网 私网NAT网关所属VPC中的子网。
子网至少有一个可用的IP地址。
子网仅在购买私网NAT网关时可以选择，后续不支持 修改。
规格 私网NAT网关的规格。
私网NAT网关共有小型、中型、大型和超大型四种规 格类型。规格详情参见产品规格。
企业项目 配置私网NAT网关归属的企业项目。当私网NAT网关 配置企业项目时，该私网NAT网关将归属于该企业项 目。
当没有指定企业项目时，将默认使用项目名称为 default的企业项目。
描述 私网NAT网关信息描述。最大支持255个字符。
7. 单击“立即购买”。
相关链接
管理私网NAT网关
2.2.3 创建中转子网和中转 IP
操作场景
私网NAT网关创建成功后，您需要创建中转子网与中转IP。
通过创建中转子网与中转IP，使虚拟私有云内多个云主机可以共享中转IP访问用户本地 数据中心（IDC）或其他虚拟私有云，或面向私网提供服务。
前提条件
● 中转VPC创建成功。
● 云专线接入的用户，云专线的虚拟网关中，“VPC网段”参数建议设置为
"0.0.0.0/0"。具体配置请参考创建虚拟网关。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在“中转子网”页签中，单击“创建中转子网”。
6. 根据界面提示，配置中转子网参数，详情请参见表2-3。
图2-6 创建中转子网
用户指南 2 私网 NAT 网关（公测）
表2-3 中转子网参数说明
参数 说明
名称 中转子网名称。最大支持64个字符，仅支持中文、数字、字 母、_（下划线）、-（中划线）。该参数为必填项。
虚拟私有云 中转子网所属的VPC。该参数为选填项。
子网 中转子网所在子网。该参数为选填项。
描述 中转子网信息描述。最大支持255个字符。该参数为选填 项。
7. 单击“确定”，完成中转子网创建。
8. 单击目标中转子网名称。
进入中转子网详情页。
9. 单击“创建中转IP”，根据界面提示，配置中转IP参数。
图2-7 创建中转 IP
表2-4 中转 IP 参数说明
参数 说明
分配方式 中转IP的分配方式。
● 自动分配
● 手动分配
IP地址 分配方式为手动分配时，需要填写。此IP地址需包含在中转 子网网段内。
10. 单击“确定”，完成中转IP创建。
相关链接
管理中转子网
2.2.4 添加 SNAT 规则
操作场景
私网NAT网关创建成功后，您需要创建SNAT规则。通过创建SNAT规则，VPC子网中 全部或部分云主机可以通过共享中转IP访问用户本地数据中心（IDC）或其他VPC。
一个子网对应一条SNAT规则，如果VPC中有多个子网需要访问用户IDC或其他VPC，则 可以通过创建多个SNAT规则实现共享一个或多个中转IP。
前提条件
● 私网NAT网关创建成功。
● 中转子网与中转IP创建成功。
● 云专线接入的用户，云专线的虚拟网关中，“VPC网段”参数建议设置为
"0.0.0.0/0"。具体配置请参考创建虚拟网关。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击需要添加SNAT规则的私网NAT网关名称。
6. 在SNAT规则页签中，单击“添加SNAT规则”。
7. 根据界面提示，配置添加SNAT规则参数，详情请参见表2-5。
用户指南 2 私网 NAT 网关（公测）
图2-8 添加 SNAT 规则
表2-5 SNAT 规则参数说明
参数 说明
子网 云主机访问IDC或其他VPC的方式。
● 选择已有：选择虚拟私有云中的子网，使该子网中全部云 主机通过SNAT方式访问IDC或其他VPC。
● 自定义：选择自定义，使该定义网段中的云主机通过 SNAT方式访问IDC或其他VPC。
自定义子网支持配置云专线的IP。
中转子网 选择中转VPC中创建的中转子网，非当前VPC的中转子网。
中转IP 通过该中转IP访问用户IDC或其他VPC。
这里只能选择没有被绑定的中转IP，或者被绑定到当前私网 NAT网关中SNAT规则上的中转IP。
描述 SNAT规则信息描述。最大支持255个字符。
8. 配置完成后，单击确定，完成“SNAT规则”创建。
说明
根据您的业务需求，可以为一个私网NAT网关添加多条SNAT规则。
相关链接
管理SNAT规则
2.2.5 添加 DNAT 规则
操作场景
私网NAT网关创建后，通过添加DNAT规则，则可以通过映射方式将您VPC内的云主机 实例对外部私网（IDC或其他VPC）提供服务。
云主机的每个端口分别对应一条DNAT规则，一个云主机的多个端口或者多个云主机需 要为外部私网提供服务，则需要创建多条DNAT规则。
前提条件
● 已成功创建私网NAT网关。
● 中转子网与中转IP创建成功。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击需要添加DNAT规则的私网NAT网关名称。
6. 在私网NAT网关详情页面中，单击“DNAT规则”页签。
7. 在DNAT规则页签中，单击“添加DNAT规则”。
须知
配置DNAT规则后，需在目标云主机实例中放通对应的安全组规则，否则DNAT规 则不能生效。具体操作步骤，请参见添加安全组规则。
8. 根据界面提示，配置添加DNAT规则参数，详情请参见表2-6。
用户指南 2 私网 NAT 网关（公测）
图2-9 添加 DNAT 规则
表2-6 DNAT 规则参数说明
参数 说明
端口类型 分为具体端口和所有端口两种类型。
● 具体端口：属于端口映射方式。私网NAT网关会将以指定 协议和端口访问该中转IP的请求转发到目标云主机实例的 指定端口上。
● 所有端口：属于IP映射方式。此方式相当于为云主机配置 了一个私网IP（中转IP），任何访问该中转IP的请求都将 转发到目标云服务器实例上。
支持协议 协议类型分为TCP和UDP两种类型。端口类型为所有端口 时，此参数默认设置为All。
端口类型为具体端口时，可配置此参数。
中转子网 选择中转VPC中创建的中转子网，非当前VPC的中转子网。
中转IP 通过该中转IP访问用户IDC或其他VPC。
这里只能选择没有被绑定的中转IP，或者被绑定在当前私网 NAT网关中非“所有端口”类型DNAT规则上的中转IP。
中转IP端口 中转IP对外提供服务的端口号。端口范围是1～65535。
端口类型为具体端口时，需要配置此参数。
参数 说明
实例类型 选择对外部私网提供服务的实例类型。
● 服务器
● 虚拟IP地址
● 负载均衡器
● 自定义
网卡 服务器网卡。实例类型为服务器时，需要配置此参数。
IP地址 对外部私网提供服务的云主机IP地址。实例类型为自定义 时，需要配置此参数。
业务端口 实例对外提供服务的协议端口号。端口范围是1～65535。
端口类型为具体端口时，需要配置此参数。
描述 DNAT规则信息描述。最大支持255个字符。
9. 配置完成后，单击“确定”，可在DNAT规则列表中查看详情，若“状态”为“运 行中”，表示创建成功。
相关链接
管理DNAT规则
2.3 管理私网 NAT 网关
2.3.1 查看私网 NAT 网关
操作场景
私网NAT网关创建后，可以查看已经创建的私网NAT网关的详情。
前提条件
私网NAT网关创建成功。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击需要查看详情的私网NAT网关名称。
6. 系统跳转至目标私网NAT网关详情页面，即可查看目标私网NAT网关的详情。
用户指南 2 私网 NAT 网关（公测）
2.3.2 修改私网 NAT 网关
操作场景
私网NAT网关创建后，如果您在使用过程中发现当前的NAT网关规格不能满足自己的 需求，可以修改私网NAT网关规格、名称和描述。
前提条件
私网NAT网关创建成功。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击需要修改的私网NAT网关操作列中的“修改”。
6. 根据界面提示，修改私网NAT网关的名称、规格或者描述等信息。
图2-10 修改私网 NAT 网关
7. 修改完成后，单击“确定”，完成私网NAT网关信息的修改。
在私网NAT网关列表可以看到修改后的信息。
2.3.3 删除私网 NAT 网关
操作场景
私网NAT网关创建后，如果您不再需要使用私网NAT网关，可以通过删除私网NAT网 关，释放资源，节省费用。
前提条件
必须保证私网NAT网关下的SNAT规则和DNAT规则已全部删除。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击目标私网NAT网关操作列中的“删除”。
6. 在弹出的对话框中单击“是”，完成私网NAT网关的删除。
2.4 管理 SNAT 规则
2.4.1 查看 SNAT 规则
操作场景
SNAT规则添加完成后，可以查看为目标私网NAT网关添加的SNAT规则。
前提条件
SNAT规则已经添加。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击目标私网NAT网关的名称。
6. 在SNAT规则页签的SNAT规则列表中，查看目标私网NAT网关已经创建的SNAT规 则详细信息。
2.4.2 修改 SNAT 规则
操作场景
添加SNAT规则后，如果SNAT规则设置有误，或者SNAT规则中的一些参数需要更新 时，可以修改SNAT规则。
用户指南 2 私网 NAT 网关（公测）
前提条件
私网NAT网关下存在成功添加的SNAT规则。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击目标私网NAT网关的名称。
6. 系统跳转至目标私网NAT网关详情页面，单击“SNAT规则”页签。
7. 在SNAT规则列表中，单击目标私网SNAT规则操作列中的“修改”。
8. 在弹出的对话框中，修改参数中的内容。
图2-11 修改 SNAT 规则
9. 单击“确定”，完成SNAT规则的修改。
2.4.3 删除 SNAT 规则
操作场景
添加SNAT规则后，如果不再需要此SNAT规则，您可以删除SNAT规则。
前提条件
私网NAT网关下存在成功添加的SNAT规则。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击目标私网NAT网关的名称。
6. 在SNAT页签的SNAT规则列表中，单击目标SNAT规则操作列中的“删除”。
7. 在弹出的对话框中单击“是”，完成SNAT规则的删除。
2.5 管理 DNAT 规则
2.5.1 查看 DNAT 规则
操作场景
DNAT规则添加完成后，可以查看为目标私网NAT网关添加的DNAT规则。
前提条件
DNAT规则已经添加。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击目标私网NAT网关的名称。
6. 系统跳转至目标私网NAT网关详情页面，单击“DNAT规则”页签。
7. 在DNAT规则列表中，查看目标私网NAT网关已经创建的DNAT规则详细信息。
2.5.2 修改 DNAT 规则
操作场景
添加DNAT规则后，如果DNAT规则设置有误，或者DNAT规则中的一些参数需要更新 时，可以修改DNAT规则。
前提条件
私网NAT网关下存在成功添加的DNAT规则。
用户指南 2 私网 NAT 网关（公测）
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击目标私网NAT网关的名称。
6. 系统跳转至目标私网NAT网关详情页面，单击“DNAT规则”页签。
7. 在DNAT规则列表中，单击目标DNAT规则操作列中的“修改”。
8. 在弹出的对话框中，修改参数中的内容。
9. 单击“确定”，完成DNAT规则的修改。
2.5.3 删除 DNAT 规则
操作场景
添加DNAT规则后，如果不需要此DNAT规则，您可以删除DNAT规则。
前提条件
私网NAT网关下存在成功添加的DNAT规则。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在私网NAT网关页面，单击目标私网NAT网关的名称。
6. 系统跳转至目标私网NAT网关详情页面，单击“DNAT规则”页签。
7. 在DNAT规则列表中，单击目标DNAT规则操作列中的“删除”。
8. 在弹出的对话框中单击“是”，完成DNAT规则的删除。
2.6 管理中转子网
2.6.1 创建中转子网
操作场景
通过创建中转子网与中转IP，使虚拟私有云内多个云主机可以共享中转IP访问用户本地 数据中心（IDC）或其他虚拟私有云，或面向私网提供服务。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在“中转子网”页签中，单击“创建中转子网”。
6. 根据界面提示，配置中转子网参数，详情请参见表2-7。
表2-7 中转子网参数说明
参数 说明
名称 中转子网名称。最大支持64个字符，仅支持中文、数字、字 母、_（下划线）、-（中划线）。
虚拟私有云 中转子网所属的VPC。
子网 中转子网IP所在子网。
描述 中转子网信息描述。最大支持255个字符。
2.6.2 查看中转子网
操作场景
中转子网创建完成后，您可以查看已创建的中转子网。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 切换至“中转子网”页签中。
6. 在中转子网列表中，单击目标中转子网名称，即可查看目标子网的详细信息。
2.6.3 修改中转子网
操作场景
您可以修改中转子网的IP总数、名称、描述。
用户指南 2 私网 NAT 网关（公测）
修改 IP 总数
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在“中转子网”页签中，单击目标中转子网操作列的“更多 > 申请修改IP总 数”。
6. 修改IP数量，单击“确定”。
修改中转子网的名称或描述
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在“中转子网”页签中，单击目标中转子网操作列的“修改”。
6. 修改中转子网名称或描述后，单击“确定”。
2.6.4 删除中转子网
操作场景
当您不需要某个中转子网时，可以进行删除操作。
删除中转子网后，对应VPC下云服务器将无法通过私网NAT网关进行访问或对外提供 服务。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在“中转子网”页签中，单击目标中转子网操作列的“删除”。
6. 单击“是”。
2.7 管理中转 IP
2.7.1 创建中转 IP
操作场景
通过创建中转子网与中转IP，使虚拟私有云内多个云主机可以共享中转IP访问用户本地 数据中心（IDC）或其他虚拟私有云，或面向私网提供服务。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在“中转子网”页签中，单击目标中转子网名称。
进入中转子网详情页。
6. 单击“创建中转IP”，根据界面提示，配置中转子网参数。
表2-8 中转 IP 参数说明
参数 说明
分配方式 中转IP的分配方式。
● 自动分配
● 手动分配
IP地址 分配方式为手动分配时，需要填写。此IP地址需包含在中转 子网网段内。
2.7.2 查看中转 IP
操作场景
中转IP创建完成后，您可以查看已创建的中转IP。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在“中转子网”页签中，单击目标中转子网名称。
进入中转子网详情页。
6. 在“中转IP”页签即可查看已创建的中转IP的详细信息。
用户指南 2 私网 NAT 网关（公测）
2.7.3 删除中转 IP
操作场景
当您不需要某个中转IP时，可以进行删除操作。
操作步骤
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 在系统首页，单击“网络 > NAT网关”。
进入NAT网关页面。
4. 在NAT网关页面，单击“NAT网关> 私网NAT网关”。
5. 在“中转子网”页签中，单击目标中转子网名称。
进入中转子网详情页。
6. 在“中转IP”页签，单击目标中转IP操作列的“释放”。
7. 单击“是”。
说明
当中转IP已关联SNAT或DNAT规则时，无法删除。此时，如果要删除中转IP，请先释放该 中转IP所关联的所有规则。
2.8 连接 IDC 或其他虚拟私有云
连接 IDC
当您需要VPC内的多个云主机与用户IDC进行连通时，可通过在中转VPC与用户IDC间 创建云专线/VPN来实现。
高质量连通选择云专线，具体请参见开通云专线。
低成本连通选择VPN，具体请参见开通VPN。
连接其他 VPC
当您需要VPC内的多个云主机与其他远端VPC进行连通时，可通过在中转VPC与其他远 端VPC间创建对等连接来实现。
对等连接内容请参见对等连接。
3 权限管理
3.1 创建用户并授权使用 NAT 网关
如果您需要对您所拥有的NAT网关（NAT Gateway，简称NAT网关）进行精细的权限 管理，您可以使用统一身份认证服务（Identity and Access Management，简称 IAM），通过IAM，您可以：
● 根据企业的业务组织，在您的华为云帐号中，给企业中不同职能部门的员工创建 IAM用户，让员工拥有唯一安全凭证，并使用NAT网关。
● 根据企业用户的职能，设置不同的访问权限，以达到用户之间的权限隔离。
● 将NAT网关委托给更专业、高效的其他华为云帐号或者云服务，这些账号或者云 服务可以根据权限进行代运维。
如果华为云帐号已经能满足您的要求，不需要创建独立的IAM用户，您可以跳过本章 节，不影响您使用NAT网关服务的其它功能。
本章节为您介绍对用户授权的方法，操作流程如图3-1所示。
前提条件
给用户组授权之前，请您了解用户组可以添加的NAT网关权限，并结合实际需求进行 选择，NAT网关支持的系统权限，请参见：NAT网关权限。若您需要对除NAT网关之 外的其它服务授权，IAM支持服务的所有策略请参见系统权限。
用户指南 3 权限管理
示例流程
图3-1 给用户授权 NAT 网关权限流程
1. 创建用户组并授权
在IAM控制台创建用户组，并授予NAT网关服务权限“NAT ReadOnlyAccess”。
2. 创建用户并加入用户组
在IAM控制台创建用户，并将其加入1.创建用户组并授权中创建的用户组。
3. 用户登录并验证权限
新创建的用户登录控制台 切换至授权区域，验证权限：
– 在“服务列表”中选择NAT网关，进入NAT网关主界面，单击右上角“购买 NAT网关”，如果无法购买NAT网关（假设当前权限仅包含NAT
ReadOnlyAccess），表示“NAT ReadOnlyAccess”已生效。
– 在“服务列表”中选择除NAT网关外（假设当前策略仅包含NAT ReadOnlyAccess）的任一服务，若提示权限不足，表示“NAT ReadOnlyAccess”已生效。
3.2 NAT 网关自定义策略
如果系统预置的NAT网关权限，不满足您的授权要求，可以创建自定义策略。自定义 策略中可以添加的授权项（Action）请参考策略及授权项说明。
目前华为云支持以下两种方式创建自定义策略：
● 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择云服 务、操作、资源、条件等策略内容，可自动生成策略。
● JSON视图创建自定义策略：可以在选择策略模板后，根据具体需求编辑策略内 容；也可以直接在编辑框内编写JSON格式的策略内容。
具体创建步骤请参见：创建自定义策略。本章为您介绍常用的NAT网关自定义策 略样例。
策略样例
● 示例1：授权用户创建和删除NAT网关
{ "Version": "1.1", "Statement": [ {
"Effect": "Allow", "Action": [
"nat:natGateways:create", "nat:natGateways:delete"
] } ] }
● 示例2：拒绝用户删除NAT网关
拒绝策略需要同时配合其他策略使用，否则没有实际作用。用户被授予的策略 中，一个授权项的作用如果同时存在Allow和Deny，则遵循Deny优先。
如果您给用户授予NAT FullAccess的系统策略，但不希望用户拥有NAT
FullAccess中定义的删除NAT网关权限，您可以创建一条拒绝删除NAT网关的策 略，然后同时将NAT FullAccess和拒绝策略授予用户，根据Deny优先原则，则用 户可以对NAT网关执行除了删除NAT网关外的所有操作。拒绝策略示例如下：
{ "Version": "1.1", "Statement": [ {
"Action": [
"nat:natGateways:delete"
],
"Effect": "Deny"
} ] }
● 示例3：多个授权项策略
一个自定义策略中可以包含多个授权项，且除了可以包含本服务的授权项外，还 可以包含其他服务的授权项，可以包含的其他服务必须跟本服务同属性，即都是 项目级服务或都是全局级服务。多个授权语句策略描述如下:
{ "Version": "1.1", "Statement": [ {
"Action": [
"nat:natGateways:update", "nat:natGateways:create"
],
"Effect": "Allow"
}, {
"Action": [
"vpc:vpcs:update"
],
"Effect": "Allow"
} ] }
用户指南 3 权限管理
4 标签管理
应用场景
NAT网关标签是NAT网关的标识。为NAT网关添加标签，可以方便用户识别和管理拥 有的NAT网关。您可以在创建NAT网关时增加标签或者在已经创建的NAT网关详情页 添加标签，最多可以给NAT网关添加10个标签。
说明
目前仅公网NAT网关支持标签管理功能。
标签共由两部分组成：“键”和“值”，其中，“键”和“值”的命名规则如表4-1所 示。
表4-1 标签命名规则 参数 规则
键 ● 不能为空。
● 对于同一NAT网关键值唯一。
● 长度不超过36个字符。
● 不能包含“=”、“*”、“<”、“>”、“\\”、“,”、“|”和
“/”，且首尾字符不能为空格。
值 ● 长度不超过43个字符。
● 不能包含“=”、“*”、“<”、“>”、“\\”、“,”、“|”和
“/”，且首尾字符不能为空格。
操作步骤
在公网NAT网关列表页，按标签的键或值搜索目标公网NAT网关。
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 选择“网络 > NAT网关”。
4. 单击公网NAT网关列表右上角的“标签搜索”，展开查询页。
5. 输入待查询公网NAT网关的标签值。键和值均不能为空。
6. 单击“+”，添加需查询的标签值。
系统支持添加10个标签值，并取各个标签值的交集，对目标公网NAT网关进行搜 索。
7. 单击“搜索”。
系统根据标签的键和值搜索公网NAT网关。
在公网NAT网关的标签页，执行标签的增、删、改、查操作。
1. 登录管理控制台。
2. 在管理控制台左上角单击 ，选择区域和项目。
3. 选择“网络 > NAT网关”。
4. 单击公网NAT网关列表中需要查看的公网NAT网关名称，进入公网NAT网关详情 页面。
5. 选择“标签”页签，对公网NAT网关的标签执行增、删、改、查。
– 查看
在“标签”页，可以查看当前公网NAT网关的标签详情，包括标签个数，以 及每个标签的键和值。
– 添加
单击左上角的“添加标签”，在弹出的“添加标签”窗口，输入新添加标签 的键和值，并单击“确定”。
说明
您可以根据界面提示，使用标签管理服务的预定义标签功能，简化添加标签的操作。
预定义标签操作请参见《标签管理服务用户指南》。
– 修改
单击标签所在行“操作”列下的“编辑”，在弹出的“编辑标签”窗口，输 入修改后标签的值，并单击“确定”。
– 删除
单击标签所在行“操作”列下的“删除”，如果确认删除，在弹出的“删除 标签”窗口，单击“是”。
用户指南 4 标签管理
5 敏感操作保护
操作场景
NAT网关支持敏感操作保护，在控制台进行敏感操作时，需要输入一种能证明身份的 凭证，身份验证通过后方可进行相关操作。为了帐号安全，建议开启操作保护功能，
该功能对帐号以及帐号下的用户都生效。
目前支持：删除NAT网关、删除SNAT规则和删除DNAT规则。
开启操作保护
操作保护默认关闭，您可以参考以下步骤开启操作保护。
1. 登录华为云控制台。
2. 在“控制台”页面，鼠标移动至右上方的用户名，在下拉列表中选择“安全设 置”。
图5-1 安全设置
3. 在“安全设置”页面中，选择“敏感操作 > 操作保护 > 立即启用”。
图5-2 敏感操作
4. 在“操作保护设置”页面中，选择“开启”，单击“确定”后，开启操作保护。
开启后，您以及帐号中的IAM用户进行敏感操作时，例如删除NAT网关资源，需 要输入验证码进行验证，避免误操作带来的风险和损失。
说明
● 用户如果进行敏感操作，将进入“操作保护”页面，选择认证方式，包括邮箱、手机和 虚拟MFA三种认证方式。
● 如果用户只绑定了手机，则认证方式只能选择手机。
● 如果用户只绑定了邮箱，则认证方式只能选择邮件。
● 如果用户未绑定邮箱、手机和虚拟MFA，进行敏感操作时，华为云将提示用户绑 定邮箱、手机或虚拟MFA。
● 如需修改验证手机、邮箱、虚拟MFA设备，请在帐号中修改。
验证操作保护
当您已经开启操作保护，在进行敏感操作时，系统会先进行操作保护验证：
● 若您绑定了邮箱，需输入邮箱验证码。
● 若您绑定了手机，需输入手机验证码。
● 若您绑定了虚拟MFA，需输入MFA设备上的6位动态验证码。
如图5-3所示，尝试删除NAT网关时，弹出以下验证框，选择一种验证方式：
用户指南 5 敏感操作保护
图5-3 操作保护身份验证
关闭操作保护
如需关闭操作保护，请参考以下步骤操作。
1. 登录华为云控制台。
2. 在“控制台”页面，鼠标移动至右上方的用户名，在下拉列表中选择“安全设 置”。
图5-4 安全设置
3. 在“安全设置”页面中，选择“敏感操作 > 操作保护 > 立即修改”。
图5-5 修改敏感操作
4. 在“操作保护设置”页面中，选择“关闭”，单击“确定”后，关闭操作保护。
相关链接
● 如何绑定虚拟MFA设备？
● 如何获取MFA验证码？
用户指南 5 敏感操作保护
6 监控管理
6.1 支持的监控指标
功能说明
本节定义了NAT网关上报云监控的监控指标的命名空间，监控指标列表和维度定义，
用户可以通过云监控提供的管理控制台或API接口来检索NAT网关产生的监控指标。
命名空间
SYS.NAT
监控指标
公网NAT网关监控指标：
指标 指标名
称 含义 取值
范围 测量对象&
维度 监控周期
（原始指 标）
snat_connec
tion SNAT 连接数
该指标用于统计测量 对象的SNAT连接数。
单位：个
≥ 0 个
测量对象：
公网NAT网 关实例 测量维度：
nat_gatewa y_id
1分钟
inbound_ban
dwidth 入方向 带宽
该指标用于统计入方 向带宽。
单位：比特/秒
≥0 bit/s
测量对象：
公网NAT网 关
测量维度：
nat_gatewa y_id
1分钟
