如何在已有公网NAT网关的VPC中开启IPv4网关

场景示例

某公司在新加坡地域拥有一个VPC，在该VPC内的交换机VSW1上的云服务器ECS（Elastic Compute Service）集群部署了云服务。现已通过公网NAT网关（名称为NATGW1）的DNAT功能实现了ECS可以面向公网提供服务。因业务发展，ECS集群中的部分ECS实例已经拥有了固定公网IP或者弹性公网IP（Elastic IP Address，简称EIP）地址，这些有公网IP地址的ECS实例可以直接访问公网而不受VPC路由表的控制。

方式一：新建公网NAT网关

通过方式一实现对VPC中的ECS访问公网行为进行约束时，您需要创建一个名为VSW2的新交换机，将VSW1交换机中已有公网IP的ECS2实例迁移到VSW2交换机中，在VSW2交换机中新建一个公网NAT网关（名称为NATGW2），将指向VSW1交换机中NATGW1网关的路由条目切换为指向VSW2交换机中的公网NAT2网关，并且删除VSW1交换机中的NATGW1网关。

通过以上操作，VSW1交换机中无公网IP的ECS1可以经由NATGW2网关和IPv4网关访问公网，VSW1交换机中的ECS1即使有公网IP也不能访问公网，VSW2交换机中有公网IP的ECS2实例经由IPv4网关访问公网，从而实现对VPC中的ECS访问公网行为的约束。

方式二：保留原有的公网NAT网关

通过方式二实现对VPC中的ECS访问公网行为进行约束时，首先您需要在VPC中创建IPv4网关，然后创建一个名为VSW2的新交换机并关联新的子网路由表-2，将VSW1交换机中无公网IP的ECS1实例迁移到VSW2交换机中，在VSW1关联的子网路由表-1中将指向NATGW1网关的路由条目切换为指向IPv4网关的路由，将VSW2中关联的子网路由表2中配置默认路由下一跳指向NATGW1，最后激活IPv4网关。

通过以上操作，VSW2交换机中无公网IP的ECS1可以经由NATGW1网关和IPv4网关访问公网，VSW2中的ECS1即使有公网IP也不能访问公网，VSW1交换机中有公网IP的ECS2实例可以经由IPv4网关直接访问公网，从而实现对VPC中的ECS访问公网行为的约束。

配置流程

前提条件

• 您已经在新加坡地域创建VPC，且在该VPC中创建了两个交换机，分别为VSW1和VSW2。具体操作，请参见搭建IPv4专有网络。

• 您已经在VSW1交换机中创建了一台名称为ECS1的无公网IP的ECS实例，在VSW2交换机中创建了一台名称为ECS2的有公网IP的ECS实例。具体操作，请参见自定义购买实例。

• 您已在VSW2交换机中创建了一台名为NATGW2的公网NAT网关，且该公网NAT网关已绑定了EIP。具体操作，请参见创建和管理公网NAT网关实例。

• 您已在VSW1交换机中创建了一台名为NATGW1网关的公网NAT网关，且该公网NAT网关已绑定了EIP。同时已删除了系统路由表中指向该NATGW1网关的自定义路由条目。具体操作，请参见删除自定义路由表。

步骤一：创建IPv4网关

创建IPv4网关时，VPC下的公网NAT网关兼容IPv4网关，则会创建成功；VPC下的公网NAT网关不兼容IPv4网关，则会创建失败。您可以通过切换公网NAT网关的模式，使公网NAT网关兼容IPv4网关，然后再重新创建IPv4网关。关于如何切换公网NAT网关的模式，请参见切换公网NAT网关模式。

1. 登录专有网络管理控制台。

2. 在顶部菜单栏处，选择要创建IPv4网关的地域。本文选择新加坡。

   说明

   IPv4网关支持的地域信息，请参见功能发布及地域支持情况。

3. 在左侧导航栏，单击IPv4网关。

4. 在IPv4网关页面，单击创建IPv4网关。

5. 在创建IPv4网关对话框中，配置以下参数信息，然后单击创建。

   配置	说明
   地域	显示创建IPv4网关的地域。
   专有网络	选择IPv4网关关联的VPC。
   名称	输入IPv4网关的名称。
   描述	输入IPv4网关的描述信息。

6. 在IPv4网关页面，查看已创建的IPv4网关。

   创建成功的IPv4网关的状态为可用。

步骤二：创建自定义路由表

您需要创建自定义路由表并绑定VSW2交换机，创建完成后，您可以在该路由表中添加指向IPv4网关的路由条目。

1. 登录专有网络管理控制台。
2. 在左侧导航栏，单击路由表。

3. 在顶部菜单栏处，选择自定义路由表所属的地域。 本文选择新加坡。

4. 在路由表页面，单击创建路由表。

5. 在创建路由表页面，根据以下信息配置路由表，然后单击确定。

   配置	说明
   资源组	选择自定义路由表所属的资源组。
   专有网络	选择自定义路由表所属的VPC。 说明 该VPC需与创建IPv4网关时选择的VPC相同。
   绑定对象类型	选择路由表绑定的对象类型。本文选择交换机。
   名称	输入自定义路由表的名称。
   描述	输入自定义路由表的描述。

6. 在路由表页面，找到目标路由表，单击路由表的ID。

7. 在路由表详情页面，单击已绑定交换机页签，然后单击绑定交换机。

8. 在绑定交换机对话框中，选择要绑定的交换机VSW2，然后单击确定。

步骤三：为自定义路由表添加路由条目

1. 登录专有网络管理控制台。
2. 在左侧导航栏，单击路由表。

3. 在顶部菜单栏处，选择自定义路由表所属的地域。 本文选择新加坡。

4. 在路由表页面，找到目标路由表，单击路由表的ID。

5. 在路由表详情页面，选择路由条目列表 > 自定义路由条目。

6. 单击添加路由条目，在添加路由条目面板，根据以下信息配置路由条目，然后单击确定。

   配置	说明
   名称	输入自定义路由条目的名称。
   目标网段	输入要转发到的目标IPv4网段。本文输入目标网段为0.0.0.0/0。
   下一跳类型	选择下一跳类型。本文选择IPv4网关。
   IPv4网关	选择IPv4网关的实例ID。

步骤四：为VSW2交换机中的NATGW2网关创建SNAT条目

您需要为VSW2交换机中的NATGW2网关创建SNAT条目，以实现VSW1交换机中无公网IP的ECS可以通过VSW2交换机中的NATGW2网关访问互联网。

1. 登录NAT网关管理控制台。

2. 在顶部菜单栏，选择公网NATGW2网关的地域。本文选择新加坡。

3. 在公网NAT网关页面，找到目标公网NAT网关实例，然后在操作列单击设置SNAT。

4. 在SNAT管理页签，单击创建SNAT条目。

5. 在创建SNAT条目页面，配置以下参数，然后单击确定创建。

   配置	说明
   SNAT条目粒度	选择SNAT条目的粒度。本文选择交换机粒度。
   选择交换机	选择指定交换机下的ECS实例通过配置的SNAT条目规则访问互联网。本文选择VSW1交换机。
   交换机网段	系统自动显示VSW1交换机的网段。
   选择公网IP地址	选择用来提供互联网访问的公网IP。 本文选择使用单IP，然后在下拉列表中选择已绑定至NATGW2网关的EIP。
   条目名称	输入SNAT条目的名称。

步骤五：为系统路由表添加自定义路由条目

您需要为VSW1交换机绑定的系统路由表添加指向VSW2中的NATGW2网关的自定义路由条目，使VSW1交换机中无公网IP的ECS可以通过该路由条目配置的下一跳地址找到NATGW2网关，以实现地址转换能力。

1. 登录专有网络管理控制台。
2. 在左侧导航栏，单击路由表。

3. 在顶部菜单栏处，选择自定义路由表所属的地域。 本文选择新加坡。

4. 在路由表页面，找到VPC的系统路由表，单击路由表的ID。

5. 在路由表详情页面，选择路由条目列表 > 自定义路由条目。

6. 单击添加路由条目，在添加路由条目面板，根据以下信息配置路由条目，然后单击确定。

   配置	说明
   名称	输入自定义路由条目的名称。
   目标网段	输入要转发到的目标IPv4网段。本文输入目标网段为0.0.0.0/0。
   下一跳类型	选择下一跳类型。本文选择NAT网关。
   NAT网关	选择公网NATGW2网关的实例ID。

步骤六：删除VSW1交换机中的NATGW1网关

• 公网NAT网关没有绑定EIP，如有绑定请解绑。具体操作，请参见解绑EIP。

• SNAT列表中没有SNAT条目，如有请删除。具体操作，请参见移除SNAT条目。

• 公网NAT网关实例基本信息页面默认未开启删除保护。如开启，请关闭删除保护。

1. 登录NAT网关管理控制台。

2. 在顶部菜单栏，选择公网NATGW1网关的地域。本文选择新加坡。

3. 在公网NAT网关页面，找到目标公网NAT网关，然后在操作列选择 > 删除。

4. 在删除网关对话框，单击确定。

   当您需要强制删除公网NATGW1网关及其资源时，请在删除网关对话框，选中强制删除（删除 NAT 网关及其包含资源）。强制删除公网NATGW1网关时，系统会自动解绑EIP、删除该公网NATGW1网关下的SNAT条目，请您谨慎操作。

步骤七：激活IPv4网关

您需要激活IPv4网关，使IPv4网关的能力生效。只有通过激活IPv4网关，才能使该IPv4网关关联的VPC内的ECS具有访问公网的能力。

1. 登录专有网络管理控制台。

2. 在顶部菜单栏，选择目标IPv4网关。本文选择新加坡。

3. 在左侧导航栏，单击IPv4网关。

4. 在IPv4网关页面，找到目标IPv4网关，然后在操作列单击激活。

步骤八：连通性测试

完成上述操作后，VSW1交换机中的ECS1可以经由公网NATGW2网关和IPv4网关访问目标网段；VSW2交换机中的ECS2可以经由IPv4网关访问目标网段。本文中的ECS1和ECS2均为Linux操作系统。

1. 测试ECS1访问目标网段的能力。

   1. 远程登录ECS1。具体操作，请参见ECS远程连接操作指南。

   2. 在ECS1实例中执行curl www.aliyun.com命令，测试网络连通性。

   3. 收到如下图所示的回复报文，则表示网络已连通。

2. 测试ECS2访问目标网段的能力。

   1. 远程登录ECS2。

   2. 在ECS2实例中执行curl www.aliyun.com命令，测试网络连通性。

   3. 收到如下图所示的回复报文，则表示网络已连通。