# 

大部分机器在私有子网里靠 NAT 统一出网，有几台要对外提供服务，单独绑了 EIP。两件事各自都对，放在一起出了问题。

绑了 EIP 的那几台，入站完全正常：能连进来，端口通，延迟正常。但它们主动访问外部服务全部失败，对方返回 403，理由是「源 IP 不在白名单」。

最容易走偏的一步是查 EIP 是不是掉了。EIP 没掉，还在网卡上，入站也确实是它。问题在出站：**出站流量没走 EIP，走了 NAT 网关。**

## 有 EIP 为什么还会走 NAT？

这是 VPC 路由表里明确写着的优先级，藏在「路由策略优先级」一节：

> 私有网络内流量：私有网络内流量最优先匹配。

> 最精确路由（最长前缀匹配）：当路由表中有多条条目可以匹配目的 IP 时，采用掩码最长（最精确）的一条路由作为匹配项并确定下一跳。

> 公网 IP：路由策略均匹配失效时，通过公网 IP 对 Internet 进行外访。

三条的顺序是：**先看是不是 VPC 内部（是就走 Local），再看有没有路由能匹配（有就按最长前缀走），最后才轮到公网 IP。**

关键在于第三条的措辞——「路由策略均匹配失效时」。公网 IP 是**兜底**，不是**优先**。只要路由表里有一条能匹配目的地址，公网 IP 就没机会。

挂了 NAT 的子网，路由表里通常有一条默认路由指向 NAT，它能匹配几乎所有外网地址，于是它赢了。

文档紧接着给了一个场景举例，说的就是这个情况：

> 当一个子网关联了 NAT 网关，且子网内云服务器有公网 IP（或弹性公网 IP）时，会默认通过 NAT 网关访问 Internet（因为最精确路由的优先级高于公网 IP），但您可以设置路由策略，实现通过云服务器公网 IP 访问 Internet

「会默认通过 NAT 网关访问 Internet」，就是那次故障的全部原因。

## 为什么入站能通、出站不通？

因为入站和出站走的是两套逻辑。

**入站**靠的是 EIP 绑在网卡上这个事实，流量直接投递到机器，不经过选路。

**出站**是有多个候选出口的选路问题：EIP 直出、NAT 网关、对等连接、专线。系统按优先级选一个，而优先级站在 NAT 这边。

于是现象变成一个别扭的组合：**别人能连进来，它连不出去。** 用 ping 测外部会以为「网络通」，通的其实是入站方向；一旦主动发起连接，源地址就换了。

这种「半通」比完全不通更难查，因为第一反应是「网络没问题，是对方的事」。

## 路由表的优先级到底怎么排？

把文档里的规则和实际情况合起来，选路顺序可以画成一张表：

| 顺序 | 判断 | 命中后 |
| --- | --- | --- |
| 1 | 目的地址在 VPC 网段内 | 走 Local 路由，内网互通 |
| 2 | 路由表中有条目匹配目的地址 | 走掩码最长的那条，下一跳按条目定 |
| 3 | 以上都没有 | 走公网 IP 直出 |

两个容易忽略的约束：

**目的端不能写成 VPC 自己的网段。** 文档原文：

> 目的端不能为路由表所在私有网络内的 IP 段，原因是 Local 路由已表示此私有网络内默认内网互通。

意思是：VPC 内互通是系统内置的 Local 路由，不能用自定义路由覆盖。有人想「加一条指向 VPC 网段的路由走某个网关」，加不上去，Local 已经赢了。

**容器网段和 VPC 路由重叠时，容器优先。** 文档原文：

> 如容器网络和 VPC 已有路由重叠时，则优先在容器网络内转发。

跑容器的集群会因此出现一个隐蔽现象：同一个 IP，从宿主机访问和从容器里访问路径不一样。排查时不区分发起方在哪一侧，结论会互相矛盾。

## 想让它从 EIP 出网，该怎么改？

文档给的方法是「设置路由策略，实现通过云服务器公网 IP 访问 Internet」，细节在另一篇《调整 NAT 网关和 EIP 的优先级》里。具体操作不展开，只说判断顺序，因为改之前先要确认：**这台机器该不该走 EIP 出去。**

三种情况处理不同：

| 场景 | 该走哪个出口 | 做法方向 |
| --- | --- | --- |
| 只是想让白名单生效 | 固定一个出口即可 | 把 EIP 加进对方白名单，不改路由 |
| 出站流量大，不想占 NAT 带宽 | NAT | 保持不变，改对方白名单或加代理 |
| 必须用固定源 IP 做双向认证 | EIP | 按文档调整 EIP 与 NAT 的优先级 |

那次我们选第一种：把 NAT 的地址加进对方白名单。这个子网的设计意图就是「统一从 NAT 出去」，单独做一台例外，会让下次排查的人再踩一遍。

真需要例外，要意识到：**路由是子网级的，改一条规则影响这个子网里所有机器。** 单台想走不同出口，做法是把它挪到另一个子网、关联另一张路由表，而不是在共享表里加一条只对某台生效的规则——路由表里没有这个概念。

## 对等连接、专线、云联网能不能多路径分摊？

能否形成等价路由（ECMP）取决于下一跳类型，文档给了完整表：

| 下一跳类型 | 同类型能否形成 ECMP | 最大数量 |
| --- | --- | --- |
| NAT 网关 | 是 | 不限 |
| 云服务器公网 IP | 否 | — |
| 云服务器 | 是 | 同类型最多 8 个 |
| 对等连接 | 否 | — |
| 专线网关 | 否 | — |
| 云联网 | 否 | — |
| 高可用虚拟 IP | 是 | 同类型最多 8 个 |
| VPN 网关 | 是 | 同类型最多 8 个 |
| 云联网（自定义路由） | 否 | — |

表里最反直觉的是对等连接、专线、云联网三行：**都是「带宽型」连接，但同类型不能做 ECMP。** 想用两条专线叠带宽，加路由条目做不到。

能做 ECMP 的是云服务器、HAVIP、VPN 网关，同类型上限都是 8 个。文档给的典型用法也是 VPN：

> 某用户在云上 VPC 和云下 IDC 业务通信带宽需要2000Mbps，但目前 VPN 带宽最大为1000Mbps，那么可以创建两个1000Mbps规格的 VPN 网关，建立两条 VPN 隧道来实现流量分担

两个 1000M 的 VPN 叠成 2000M 是 ECMP 的标准场景；两条 1000M 的专线加进同一张表只会变主备。

## 主备路由的默认优先级是什么？

主备路由指同一目的地址配多条路径、只有一条活跃。默认优先级是：

> VPC 路由表中根据不同的下一跳类型定义了不同的优先级，目前默认路由优先级为：云联网 > 专线网关 > VPN 网关 > 其他。

注意最后一个词是「其他」，不是「云服务器」或者「NAT 网关」。也就是说，云服务器、HAVIP 这些类型统一排在 VPN 网关之后。

这条还标了状态：

> VPC 默认没有路由优先级功能，该功能目前处于内测中，如需使用，请联系在线咨询。

所以主备路由要看是否已开通，不能按「文档写了就能用」来规划，最好提前确认。

## 出站不通，按什么顺序查？

路由问题的排查顺序和网络问题的常规顺序不一样。常规顺序是先 ping、再看端口，路由问题的第一跳应该看「流量从哪出去」。

| 步骤 | 看什么 | 判断 |
| --- | --- | --- |
| 1 | 子网关联的是哪张路由表 | 路由表是子网级的，先确认对象 |
| 2 | 路由表里有没有能匹配目的的条目 | 有就走条目，公网 IP 不参与 |
| 3 | 命中的是哪一条（掩码最长） | 多条候选时只有最长的那条生效 |
| 4 | 下一跳的实例是否正常 | NAT 网关的规格、带宽是否打满 |
| 5 | 对方看到的源 IP 是什么 | 和预期出口对不上就是选路问题 |

第五步最关键也最容易被跳过。让对方在日志里打个源 IP，比在本机猜半天有用——我们那次就是靠 403 日志里那个地址五分钟定位到 NAT。

在本机也可以先看一眼选路结果：

```bash
# 默认路由指向哪个网关
ip route show default

# 到某个外部地址时，实际使用的下一跳
ip route get 203.0.113.1
```

第二条命令输出里的 via 后面那个地址，就是这台机器认为的下一跳。如果它不是你以为的网关，说明选路和预期不一致，不用再往下猜。

## 上线前该核对哪几项？

这类配置的问题特点是「每项都对，组合起来错」，所以核对要按组合看：

| 核对项 | 具体看什么 |
| --- | --- |
| 路由表关联关系 | 子网关联哪张表，一张表下挂了哪些子网 |
| NAT 与 EIP 共存 | 同一子网里有没有既有 NAT 又有 EIP 的机器 |
| 目的端写法 | 是否试图用自定义路由覆盖 VPC 内网段 |
| 容器网段 | 是否与 VPC 路由有重叠，发起方在容器内还是宿主机 |
| 出口白名单 | 对方白名单登记的是 EIP 还是 NAT 的地址 |
| ECMP 预期 | 想叠加带宽的连接类型是否支持同类型 ECMP |

这套核对表整理进了一份网络变更文档，和子网划分、安全组那几项放在一起，用 AI墨衍 把几次变更记录归拢成「现象 / 原因 / 怎么确认」三列。但路由有一条交不出去：**每条规则的掩码是多少、命中的是哪条，只能拿具体的源和目的去算。** 三层里最容易错的就是第二层，也恰恰是最需要动笔的那层。

顺便问一句：你们子网里那些绑了 EIP 的机器，实际出网用的是 EIP 还是 NAT？如果没有专门看过，那大概率是后者。


大部分机器在私有子网里靠 NAT 统一出网，有几台要对外提供服务，单独绑了 EIP。两件事各自都对，放在一起出了问题。

子网挂了 NAT 网关，服务器的 EIP 就不出网了

云计算

网络与通信

运维

EIP入站正常但出站失败，源于路由表优先匹配NAT网关，EIP仅作兜底。VPC内流量走Local，最长前缀路由优先，默认路由指向NAT使出站源IP被替换。排查需查路由表关联、命中条目及源IP日志，可通过调整路由策略或白名单解决。

云服务器

私有网络

对等连接

代码解释

云联网

服务器

容器

路由

让每一个 Agent，都跑在云上

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

子网挂了 NAT 网关，服务器的 EIP 就不出网了-腾讯云开发者社区-腾讯云

子网挂了 NAT 网关，服务器的 EIP 就不出网了

子网挂了 NAT 网关，服务器的 EIP 就不出网了

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐