本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

NAT閘道使用案例

以下是公用和私有NAT閘道的範例使用案例。

從私有子網存取網際網路

您可以使用公用NAT閘道，讓私有子網路中的執行個體將輸出流量傳送至網際網路，同時防止網際網路建立與執行個體的連線。

概要

以下圖表說明此使用案例。有兩個可用區域，每個可用區域中皆有兩個子網。每個子網的路由表決定流量的路由方式。在可用區域 A 中，公有子網中的執行個體可以經由通往網際網路閘道的路由到達網際網路，而私有子網中的執行個體沒有通往網際網路的路由。在可用區域 B 中，公用子網路包含NAT閘道，而私有子網路中的執行個體可以透過通往公用子網路中NAT閘道的路由連線到網際網路。私有和公用NAT閘道都會將執行個體的來源私IPv4有位IPv4址對應到私有NAT閘道的私有位址，但是在公用NAT閘道的情況下，網際網路閘道會將公用閘道的私人位IPv4址對應至與NAT閘道關聯的NAT彈性 IP 位址。傳送回應流量至執行個體時，無論是公用或私有NAT閘道，NAT閘道都會將位址轉譯回原始來源 IP 位址。

請注意，如果可用區域 A 中的私有子網路中的執行個體也需要連線至網際網路，您可以建立從此子網路到可用區域 B 中NAT閘道的路由。或者，您也可以在每個可用區域中建立NAT閘道 (其中包含需要網際網路存取的資源) 來改善復原能力。如需範例圖表，請參閱範例：在私VPC有子網路中使用伺服器 NAT。

路由

以下是與可用區域 A 中的公用子網路相關聯的路由表格。第一個項目是區域路由；它可讓子網路中的執行個體與VPC使用私有 IP 位址的其他執行個體通訊。第二個項目會將所有其他子網流量傳送到網際網路閘道，使子網中的執行個體能夠存取網際網路。

以下是與可用區域 A 中的私有子網路相關聯的路由表。項目為區域路由，可讓子網路中的執行個體與VPC使用私有 IP 位址的其他執行個體進行通訊。此子網中的執行個體無法存取網際網路。

以下是與可用區域 B 中公用子網路相關聯的路由表格。第一個項目是區域路由，可讓子網路中的執行個體與VPC使用私有 IP 位址的其他執行個體進行通訊。第二個項目會將所有其他子網路流量傳送至網際網路閘道，讓子網路中的NAT閘道能夠存取網際網路。

以下是與可用區域 B 中私有子網路相關聯的路由表格。第一個項目是區域路由；它可讓子網路中的執行個體與VPC使用私有 IP 位址的其他執行個體通訊。第二個項目會將所有其他子網路流量傳送至NAT閘道。

如需詳細資訊，請參閱變更子網路路由表。

測試公用NAT閘道

建立NAT閘道並更新路由表之後，您可以從私有子網路中的執行個體偵測網際網路上的遠端位址，以測試它是否可以連線到網際網路。如需如何執行此作業的範例，請參閱 測試網際網路連線。

如果您可以連線到網際網路，您也可以測試網際網路流量是否透過NAT閘道路由：

如果這些測試失敗，請參閱疑難排解 NAT 閘道。

測試網際網路連線

以下範例會示範私有子網中的執行個體可否連線到網際網路的測試方式。

若要設定 Windows 的SSH代理程式轉送

您可以使用 Windows 中可用的「開啟」用SSH戶端，或安裝偏好的用SSH戶端 (例如，PuTTY)。

OpenSSH

如本文所述安裝 Windows 開SSH啟：開始使SSH用 Windows 開啟。然後將您的金鑰新增到身分驗證代理程式。如需詳細資訊，請參閱 Windows 開啟SSH中的金鑰型驗證。

PuTTY

1. 如果尚未安裝，請從 P u 下TTY載頁面下載並安裝 Pageant。

2. 將您的私有金鑰轉換成 .ppk 格式。如需詳細資訊，請參閱 Amazon 使用EC2者指南uTTYgen中的使用 P 轉換私密金鑰。

3. 啟動 Pageant，在任務列的 Pageant 圖示 (可能隱藏) 上按一下滑鼠右鍵，然後選擇 Add Key (新增金鑰)。選取您建立的 .ppk 檔案，如需要則輸入密碼短語，然後選擇 Open (開啟)。

4. 啟動 Pu TTY 工作階段，並使用公有 IP 位址連線至公有子網路中的執行個體。如需詳細資訊，請參閱連線至 Linux 執行個體。在 Auth (身分驗證) 類別中，確認您已選取 Allow agent forwarding (允許代理程式轉送) 選項，並將 Private key file for authentication (身分驗證的私有金鑰檔案) 方塊維持空白。

使用允許清單中的 IP 地址存取您的網路

您可以使用私有NAT閘道，使用允許列出的VPCs位址集區啟用內部部署網路之間的通訊。您可以透過具有允許列出 IP 位址範圍內 IP 位址的私人閘道，透過具有允許列出 IP 位址範圍內的私人NAT閘道，從目的地到內部部署網路的子網路路由流量，而不是為每個執行個體指派個別的 IP 位址。

概要

下圖顯示執行個體如何透過存取內部部署資源 AWS VPN。來自執行個體的流量會透過VPN連線路由至虛擬私有閘道，路由至客戶閘道，然後路由至內部部署網路中的目的地。但是，假設目的地僅允許來自特定 IP 地址範圍 (例如 100.64.1.0/28) 的流量，此將阻止來自這些執行個體的流量到達內部部署網路。

下圖顯示此案例組態的重要元件。VPC具有其原始 IP 位址範圍加上允許的 IP 位址範圍。VPC具有來自允許 IP 位址範圍的子網路，並具有私有NAT閘道。來自目的地進入內部部署網路之執行個體的流量會先傳送至NAT閘道，然後再路由傳送至VPN連線。內部部署網路會從具有NAT閘道來源 IP 位址 (來自允許的 IP 位址範圍) 的執行個體接收流量。

資源

建立或更新資源，如下所示：

路由

以下為與第一個子網相關聯的路由表。每個都有當地路線VPCCIDR。本機路由可讓子網路中的資源與VPC使用私有 IP 位址中的其他資源進行通訊。第三個項目會將目的地用於內部部署網路的流量傳送至私人NAT閘道。

以下為與第二個子網相關聯的路由表。每個都有當地路線VPCCIDR。本機路由可讓子網路中的資源與VPC使用私有 IP 位址中的其他資源進行通訊。第三個條目將以內部部署網路為目的地的流量發送至虛擬私有閘道。

實現重疊網路之間的通訊

您可以使用私有NAT閘道來啟用網路之間的通訊，即使它們的CIDR範圍重疊也是如此。例如，假設 A 中的執行VPC個體需要存取 VPC B 中執行個體所提供的服務。

概要

下圖顯示此案例組態的重要元件。首先，IP 管理團隊要決定哪些地址範圍可以重疊 (不可路由地址範圍)，而哪些範圍不能重疊 (可路由地址範圍)。IP 管理團隊根據請求，從可路由地址範圍的集區中將地址分配給專案。

每個範圍都VPC有其原始 IP 位址範圍 (不可路由)，以及由 IP 管理團隊指派給它的可路由 IP 位址範圍。VPC一個具有私有網關的可路由範圍內的子NAT網。私有NAT閘道從其子網路取得其 IP 位址。VPCB 具有 Application Load Balancer 的可路由範圍內的子網路。Application Load Balancer 從其子網取得其 IP 地址。

來自 A 不可路由子網路中執行個體的執行VPC個體的流量 (目的地是 VPC B 的非路由子網路中的執行個體) 會透過私有NAT閘道傳送，然後路由至傳輸閘道。傳輸閘道會將流量傳送至 Application Load Balancer，該應用程式負載平衡器會將流量路由至 VPC B 的非路由子網路中的其中一個目標執行個體。從傳輸閘道到 Application Load Balancer 的流量具有私有NAT閘道的來源 IP 位址。因此，來自負載平衡器的回應流量會使用私有NAT閘道的位址做為其目的地。回應流量會傳送至傳輸閘道，然後路由至私有閘NAT道，該專用閘道會將目的地轉譯為 A 的非路由子網路中的執行個體。VPC

資源

建立或更新資源，如下所示：

路由

以下是 A 中VPC不可路由子網路的路由表。

以下是 VPC A 中可路由子網路的路由表。

以下是 B 中VPC不可路由子網路的路由表。

以下是 VPC B 中可路由子網路的路由表。

以下為傳輸閘道路由表。