本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

NAT 閘道使用案例

以下是公有和私有NAT閘道的範例使用案例。

從私有子網存取網際網路

您可以使用公有NAT閘道來啟用私有子網路中的執行個體，將傳出流量傳送至網際網路，同時防止網際網路建立與執行個體的連線。

概要

以下圖表說明此使用案例。有兩個可用區域，每個可用區域中皆有兩個子網。每個子網的路由表決定流量的路由方式。在可用區域 A 中，公有子網中的執行個體可以經由通往網際網路閘道的路由到達網際網路，而私有子網中的執行個體沒有通往網際網路的路由。在可用區域 B 中，公有子網路包含NAT閘道，而私有子網路中的執行個體可以透過路由到達公有子網路中的NAT閘道。私有和公有NAT閘道都會將執行個體的來源私有IPv4地址映射到私有NAT閘道的私有IPv4地址，但在公有NAT閘道的情況下，網際網路閘道接著會將公有NAT閘道的私有IPv4地址映射到與NAT閘道相關聯的彈性 IP 地址。傳送回應流量至執行個體時，無論其為公有或私有NAT閘道，NAT閘道都會將地址轉譯回原始來源 IP 地址。

請注意，如果可用區域 A 中的私有子網路中的執行個體也需要連線到網際網路，您可以在可用區域 B 中建立從此子網路到NAT閘道的路由。或者，您可以在包含需要網際網路存取之資源的每個可用區域中建立NAT閘道，以改善復原能力。如需範例圖表，請參閱範例：在私VPC有子網路中使用伺服器 NAT。

路由

以下是與可用區域 A 中的公有子網路相關聯的路由表。第一個項目是本機路由；它可讓子網路中的執行個體VPC使用私有 IP 地址與 中的其他執行個體通訊。第二個項目會將所有其他子網流量傳送到網際網路閘道，使子網中的執行個體能夠存取網際網路。

以下是與可用區域 A 中的私有子網路相關聯的路由表。 項目是本機路由，可讓子網路中的執行個體VPC使用私有 IP 地址與 中的其他執行個體通訊。此子網中的執行個體無法存取網際網路。

以下是與可用區域 B 中的公有子網路相關聯的路由表。第一個項目是本機路由，可讓子網路中的執行個體VPC使用私有 IP 地址與 中的其他執行個體通訊。第二個項目會將所有其他子網路流量傳送到網際網路閘道，讓子網路中的NAT閘道能夠存取網際網路。

以下是與可用區域 B 中的私有子網路相關聯的路由表。第一個項目是本機路由；它可讓子網路中的執行個體VPC使用私有 IP 地址與 中的其他執行個體通訊。第二個項目會將所有其他子網路流量傳送至NAT閘道。

如需詳細資訊，請參閱變更子網路路由表。

測試公有NAT閘道

建立NAT閘道並更新路由表後，您可以從私有子網路中的執行個體 ping 網際網路上的遠端地址，以測試是否可以連線至網際網路。如需如何執行此作業的範例，請參閱 測試網際網路連線。

如果您可以連線至網際網路，也可以測試網際網路流量是否透過NAT閘道路由：

如果這些測試失敗，請參閱疑難排解 NAT 閘道。

測試網際網路連線

以下範例會示範私有子網中的執行個體可否連線到網際網路的測試方式。

設定 Windows 的SSH代理程式轉送

您可以使用 Windows 中可用的 OpenSSH 用戶端，或安裝您偏好的SSH用戶端 （例如 Pu TTY）。

OpenSSH

如本文所述安裝 OpenSSH for Windows：Open for Windows 入門SSH。然後將您的金鑰新增到身分驗證代理程式。如需詳細資訊，請參閱 OpenSSH for Windows 中的金鑰型身分驗證。

PuTTY

1. 如果尚未安裝，請從 PuTTY 下載頁面 下載並安裝 Pageant。

2. 將您的私有金鑰轉換成 .ppk 格式。如需詳細資訊，請參閱 Amazon EC2使用者指南 中的使用 P 轉換私有金鑰uTTYgen。

3. 啟動 Pageant，在任務列的 Pageant 圖示 (可能隱藏) 上按一下滑鼠右鍵，然後選擇 Add Key (新增金鑰)。選取您建立的 .ppk 檔案，如需要則輸入密碼短語，然後選擇 Open (開啟)。

4. 啟動 PuTTY 工作階段，並使用其公有 IP 地址連線到公有子網路中的執行個體。如需詳細資訊，請參閱連線至 Linux 執行個體。在 Auth (身分驗證) 類別中，確認您已選取 Allow agent forwarding (允許代理程式轉送) 選項，並將 Private key file for authentication (身分驗證的私有金鑰檔案) 方塊維持空白。

使用允許清單中的 IP 地址存取您的網路

您可以使用私有NAT閘道，使用允許列出的地址集區，從 啟用VPCs與內部部署網路的通訊。您可以將來自目的地為內部部署網路之子網路的流量，透過來自允許清單 IP 地址範圍的 IP 地址私有NAT閘道，來路由來自允許清單 IP 地址範圍的每個執行個體 IP 地址。

概要

下圖顯示執行個體如何透過 存取內部部署資源 AWS VPN。來自執行個體的流量會透過VPN連線路由至虛擬私有閘道、客戶閘道，然後路由至內部部署網路中的目的地。但是，假設目的地僅允許來自特定 IP 地址範圍 (例如 100.64.1.0/28) 的流量，此將阻止來自這些執行個體的流量到達內部部署網路。

下圖顯示此案例組態的重要元件。VPC 具有其原始 IP 地址範圍加上允許的 IP 地址範圍。VPC 具有來自允許 IP 地址範圍的子網路和私有NAT閘道。來自目的地為內部部署網路之執行個體的流量會在路由至VPN連線之前傳送到NAT閘道。內部部署網路接收來自執行個體的流量，其NAT閘道的來源 IP 地址位於允許的 IP 地址範圍內。

資源

建立或更新資源，如下所示：

路由

以下為與第一個子網相關聯的路由表。每個 VPC 都有一個本機路由CIDR。本機路由可讓子網路中的資源VPC使用私有 IP 地址與 中的其他資源通訊。第三個項目會將目的地為內部部署網路的流量傳送到私有NAT閘道。

以下為與第二個子網相關聯的路由表。每個 VPC 都有一個本機路由CIDR。本機路由可讓子網路中的資源VPC使用私有 IP 地址與 中的其他資源通訊。第三個條目將以內部部署網路為目的地的流量發送至虛擬私有閘道。

實現重疊網路之間的通訊

您可以使用私有NAT閘道來啟用網路之間的通訊，即使網路具有重疊CIDR的範圍。例如，假設 VPC A 中的執行個體需要存取 VPC B 中的執行個體所提供的服務。

概要

下圖顯示此案例組態的重要元件。首先，IP 管理團隊要決定哪些地址範圍可以重疊 (不可路由地址範圍)，而哪些範圍不能重疊 (可路由地址範圍)。IP 管理團隊根據請求，從可路由地址範圍的集區中將地址分配給專案。

每個 VPC 都有其原始 IP 地址範圍，這是不可路由的，加上 IP 管理團隊指派給它的可路由 IP 地址範圍。VPC 具有來自其可路由範圍的子網路，並具有私有NAT閘道。私有NAT閘道會從其子網路取得其 IP 地址。VPC B 具有可路由範圍的子網路，並具有 Application Load Balancer 。Application Load Balancer 從其子網取得其 IP 地址。

來自不可路由子網路 VPC A 中執行個體的流量，其目的地為不可路由子網路 VPC B 中的執行個體，會透過私有NAT閘道傳送，然後路由至傳輸閘道。傳輸閘道會將流量傳送至 Application Load Balancer ，此 會將流量路由至 VPC B 不可路由子網路中的其中一個目標執行個體。從傳輸閘道到 Application Load Balancer 的流量具有私有NAT閘道的來源 IP 地址。因此，來自負載平衡器的回應流量會使用私有NAT閘道的地址作為其目的地。回應流量會傳送至傳輸閘道，然後路由至私有NAT閘道，將目的地轉譯為 A 不可路由子網路中的執行個體VPC。

資源

建立或更新資源，如下所示：

路由

以下是 VPC A 中不可路由子網路的路由表。

以下是 VPC A 中可路由子網路的路由表。

以下是 VPC B 中不可路由子網路的路由表。

以下是 VPC B 中可路由子網路的路由表。

以下為傳輸閘道路由表。