如何设置公有 NAT 网关以从 Amazon VPC 中的私有子网访问互联网？

简短描述

您可以使用 NAT 网关建立从您的 Amazon Elastic Compute Cloud (Amazon EC2) 实例到互联网资源的出站连接。EC2 实例无法使用其分配的私有 IP 地址通过互联网进行通信。NAT 网关使用弹性 IP 地址，以帮助私有资源与互联网通信。

解决方案

若要为私有 Amazon VPC 子网设置 NAT 网关，请完成以下步骤：

1. 创建公有子网，以托管您的 NAT 网关。
2. 创建互联网网关并将其连接到您的 Amazon VPC。
3. 为您的公有子网创建自定义路由表，其中包含指向互联网网关的路由。
4. 验证您的公有子网的网络访问控制列表 (ACL) 是否允许来自私有子网的入站流量。有关详细信息，请参阅使用网络访问控制列表控制子网流量。
5. 在公有子网中创建公有 NAT 网关。然后根据需要分配新的或现有的弹性 IP 地址并将其关联到您的实例。
6. 更新您的私有子网的路由表，以将互联网流量指向您的 NAT 网关。
7. 测试公有 NAT 网关。

**注意：**在同一可用区内的 Amazon EC2 和弹性网络接口之间传输数据时，无需付费。但是，对于在同一 AWS 区域的多个可用区之间传入和传出 Amazon EC2 和网络接口的数据，则需要付费。费用取决于该区域的数据传输速率。

最佳实践

如果您的资源跨越多个可用区，请为每个可用区创建一个 NAT 网关，以避免单点故障和区域数据传输费用。

使用 AWS Trusted Advisor 检查您的 NAT 网关是否配置了可用区独立性。对于特定可用区中的资源，请在同一可用区中使用 NAT 网关。有关详细信息，请参阅 NAT 网关可用区独立性。

相关信息

Monitor NAT gateways with Amazon CloudWatch