NAT实例 vs NAT网关 vs 堡垒机

什么是NAT

NAT的全程是“Network Address Translation”，中文解释是“网络地址转换”，它可以让整个机构只使用一个公有的IP地址出现在Internet上。

NAT是一种把内部私有地址（192.168.1.x，10.x.x.x等）转换为Internet公有地址的协议，它一定程度上解决了公网地址不足的问题。

NAT实例（NAT Instance）

• 创建NAT实例之后，一定要关闭源/目标检查（Source/Destination Check）
• NAT实例需要创建在公有子网内
• 私有子网需要创建一条默认路由（0.0.0.0/0），指到NAT实例
• NAT实例的瓶颈在于实例的大小，如果遇到了网络吞吐瓶颈，你可以加大实例类型
• 需要自己创建弹性伸缩组（Auto Scaling Group），自定义脚本来达到NAT实例的高可用（比如部署在多个可用区）
• 需要关联一个安全组（Security Group）

NAT网关（NAT Gateway）

• 网络吞吐可以达到10Gbps
• 不需要为NAT的操作系统和程序打补丁
• 不需要关联安全组
• 自动分配一个公网IP地址（EIP）
• 私有子网需要创建一条默认路由（0.0.0.0/0）到NAT网关
• 不需要更改源/目标检查（Source/Destination Check）

堡垒机

堡垒机（Bastion Host）又叫做跳板机（Jump Box），主要用于运维人员远程登陆服务器的集中管理。运维人员首先登陆到这台堡垒机（公网），然后再通过堡垒机管理位于内网的所有服务器。

堡垒机可以对运维人员的操作行为进行控制和审计，同时可以结合Token等技术达到更加安全的效果。

更多阅读材料

NAT 实例与 NAT 网关的比较