AWS NAT 网关与 NAT 实例的对比 对于希望在不影响应用程序可用性的前提下降低亚马逊VPC网络成本的企业而言，这是一项重要的考量。位于私有子网中的EC2实例通常需要出站互联网访问权限，以便进行软件更新、调用外部API以及下载软件包。网络地址转换（NAT）可在无需直接为这些实例分配公网IP地址的情况下，实现此类连接。
托管型 NAT 网关虽然简化了运维工作，但会产生按小时计费和数据处理费用。对于较小的工作负载，自主管理的 NAT 实例或许能降低基础设施支出，但维护和故障转移将由您负责。
什么是 AWS NAT 网关？
AWS NAT 网关是一项托管式网络转换服务，允许私有子网中的资源发起出站连接。它不允许未经请求的入站互联网连接通过该网关。
AWS 负责处理底层的 NAT 服务基础设施、扩展和维护。客户仍需负责路由、网络设计、安全策略和成本监控。
网关费用取决于可用性配置、运行时间、处理的流量，以及可能需要的额外网络资源。
什么是 AWS NAT 实例？
NAT 实例是指经过配置、用于为私有子网资源转发和转换网络流量的 EC2 虚拟机。
管理员需选择实例类型、配置操作系统、启用数据包转发，并维护NAT软件。此外，由于该实例会转发属于其他资源的流量，因此AWS还要求禁用源/目标检查。
与托管型 NAT 网关不同，NAT 实例需要进行操作系统更新、监控、安全配置以及更换操作。
AWS NAT 网关定价详解
托管 NAT 网关的定价通常包括按小时计费的可用性费用和数据处理费。相应的公共 IPv4 地址费用和数据传输费用可能会增加总费用。
例如，AWS公布的俄亥俄州区域费率为：每网关小时0.045美元，每处理1 GB数据0.045美元。
一台连续运行730小时并处理100 GB数据的网关，其成本约为：
- 每小时费用：730 × 0.045 美元 = 32.85 美元。
- 数据处理：100 × 0.045 美元 = 4.50 美元。
- 小计：每月 37.35 美元。
此示例不包括公共 IPv4 地址、相关传输费用及税费。价格因地区和配置而异。
NAT 实例定价与隐性费用
使用 NAT 实例可避免支付托管网关按 GB 计费的单独 NAT 处理费。取而代之的是，您只需为 EC2 计算资源、存储、公共 IPv4 地址以及相关的数据传输费用付费。
为了说明预算情况，假设一台小型实例的月费为 8 美元，公共 IPv4 地址的费用为 3.65 美元，存储费用为 1 美元。基础设施的小计为 12.65 美元。
这些只是假设数值，并非经过核实的 EC2 报价。管理、监控、备份以及冗余实例可能会大幅增加总体拥有成本。
请在我们的 AWS EC2 与 VPS 主机对比指南.
区域与分区 NAT 网关的可用性
AWS 现在同时支持区域和区域级别的 NAT 网关配置。
区域网关在各个可用区内运行。为了实现与区域无关的连接，管理员通常会在每个相关区域中部署一个网关，并配置相应的路由。
区域 NAT 网关会根据工作负载的分布情况，自动扩展到受支持的各个可用区。这简化了路由，并提供了托管的多可用区可用性。
不过，每个涵盖的可用区都会收取区域网关每小时费用。一个区域网关标识符并不一定意味着仅针对单个可用区的账单。
当工作负载出现在新区域时，区域扩展也可能需要一定时间。部署前请检查服务行为及支持的区域。
NAT 实例的高可用性挑战
单个 NAT 实例可能会成为网络故障点。如果 EC2 实例停止响应，依赖该实例的私有工作负载可能会失去出站连接。
要提高可用性，需要增加实例数量、进行健康状况监控、实现路由替换自动化以及进行故障转移测试。
发生故障时，现有连接可能会中断。因此，应在模拟实际应用流量的条件下对恢复自动化功能进行测试。
有关基础设施韧性概念，请参阅我们的 高可用性云服务器指南.
带宽、安全与维护
NAT 网关提供受管带宽扩展功能，而 NAT 实例的吞吐量则取决于 EC2 实例的网络容量、CPU 资源以及软件配置。
安全职责也各不相同。NAT 实例需要进行主机补丁更新、配置防火墙规则、设置访问限制以及进行监控。
NAT 网关在很大程度上减轻了服务器维护工作，尽管它们并不能取代安全组、网络访问控制列表（ACL）、应用程序控制或流量检查服务。
请根据测得的流量、运营专业知识以及可接受的故障风险进行选择。
VPC 端点：NAT 流量的替代方案
并非每个私有子网连接都需要互联网NAT。
网关端点可提供对受支持的 AWS 服务（如 Amazon S3 和 DynamoDB）的私有访问，而无需将该流量路由通过 NAT 网关。
接口端点支持额外服务，但会产生相应的端点使用费和数据处理费。
在部署 NAT 基础设施之前，请先审查流量目的地。将大量符合条件的 AWS 服务流量转移到合适的端点，可以降低网关处理成本。
四种云基础设施替代方案
正在重新评估 AWS 网络复杂性的企业，不妨将其他托管环境进行对比。这些服务商提供的是基础设施的替代方案，而非与亚马逊 VPC NAT 服务完全相同的替代品。
1. Kamatera：可配置的云基础设施
卡马特拉 对于希望获得可配置的云服务器并更直接地控制部署架构的团队而言，这非常适用。
在迁移工作负载之前，请比较可用的私有网络、公网 IP 选项、流量配额和管理要求。
2. VPSServer：云VPS托管
VPSServer 对于不需要采用 AWS 特定 VPC 架构、但需要可预测的虚拟服务器资源的应用场景，可对其进行评估。
审查内容包括带宽、网络配置、安全控制措施和备份策略。
3. Evoxt：经济实惠的VPS
Evoxt 可能适合那些不需要复杂托管云网络的小型应用。
请核实每项计划的资源分配、网络限制、位置可用性以及管理职责。
4. Cherry Servers：专用基础设施
Cherry 服务器 对于正在考虑采用专用计算资源并希望获得更大基础设施控制权的组织而言，这具有重要意义。
评估专用网络方案、冗余机制、流量计费以及替换托管型 AWS 服务所需的运维工作量。
降低 AWS NAT 成本的五种方法
- 在 AWS 计费报告中查看 NAT 网关的流量和每小时使用情况。
- 对符合条件的 AWS 服务流量，请使用合适的 VPC 端点。
- 比较各区域和各分区的网关可用性要求。
- 仅在运营成本节约足以抵消维护风险的情况下，才对 NAT 实例进行评估。
- 减少不必要的跨可用区路由，并审查整体网络架构。
有关相关转账费用，请参阅我们的 AWS EC2 数据传输费用指南.
常见问题解答
NAT 实例是否总是更便宜？
不。对于流量较小的场景，小型实例的成本可能较低，但冗余、管理以及网络性能方面的要求可能会抵消这些节省。
区域 NAT 网关是否覆盖多个可用区？
是的。区域 NAT 网关支持跨可用区自动扩展，每小时费用将根据所涵盖的可用区进行计算。
VPC 端点能否取代所有的 NAT 网关？
不。端点支持特定的服务和连接模式。一般的出站互联网流量可能仍需使用NAT或其他经批准的出站架构。
最终裁决
当操作简便性、可扩展性和可用性比额外的网络费用更为重要时，请选择托管型 NAT 网关。对于管理严格、需求较低且能够接受相关管理和故障转移责任的环境，请考虑使用 NAT 实例。
对于不需要 AWS 特定网络功能的工作负载，请比较 Kamatera、 VPSServer、Evoxt 以及 Cherry Servers，涵盖完整的基础设施和管理成本。
探索我们的 云托管与VPS对比 在选择其他部署模型之前。
