详解SLB、EIP、NAT网关：云上公网入口选择指南

一、核心概念与功能定位

在云原生架构中，SLB（Server Load Balancer）、EIP（Elastic IP）和NAT网关（Network Address Translation Gateway）是三种核心的公网访问组件，其功能定位存在本质差异：

1. SLB：负载均衡与流量分发

SLB作为反向代理设备，通过虚拟IP（VIP）接收外部请求，并根据预设算法（轮询、加权轮询、最小连接数等）将流量分发至后端服务器池。其核心价值在于：

• 高可用性：通过健康检查自动剔除故障节点，确保服务连续性
• 横向扩展：支持动态扩容后端服务器，应对突发流量
• 协议支持：兼容HTTP/HTTPS/TCP/UDP等协议，满足多样化应用需求

典型场景：电商大促期间，SLB可将用户请求均匀分配至多台Web服务器，避免单点过载。

2. EIP：弹性公网IP

EIP是可动态绑定的静态公网IP地址，其核心特性包括：

• 资源解耦：独立于云服务器存在，支持跨实例、跨可用区迁移
• 按需使用：按小时计费，未绑定时不产生费用
• 灵活配置：支持与ECS、SLB、NAT网关等资源绑定

典型场景：需要临时暴露服务的测试环境，可通过EIP快速绑定/解绑测试服务器。

3. NAT网关：私有网络出站管理

NAT网关通过地址转换实现私有网络（VPC）内实例访问公网，其设计目标为：

• 安全隔离：隐藏内网真实IP，降低暴露风险
• 带宽共享：集中管理出站流量，避免每个实例单独申请公网带宽
• SNAT/DNAT支持：支持源网络地址转换（SNAT）和目的网络地址转换（DNAT）

典型场景：数据库集群需要定期同步外部数据，但无需暴露服务端口，可通过NAT网关实现安全出站。

二、技术架构与实现原理

1. SLB实现机制

• 四层负载均衡：基于TCP/UDP协议，通过VIP+端口接收流量，直接转发至后端
• 七层负载均衡：解析HTTP/HTTPS报文，支持基于域名、URL路径的精细路由
• 会话保持：通过Cookie或源IP实现用户会话粘性

技术参数对比：
| 指标 | SLB（四层） | SLB（七层） |
|———————|——————|——————|
| 协议支持 | TCP/UDP | HTTP/HTTPS |
| 转发延迟 | 低（ms级） | 较高（10ms+） |
| 功能扩展性 | 有限 | 支持WAF、流量镜像等 |

2. EIP绑定流程

1. 申请EIP资源（可选择BGP多线或单线）
2. 绑定至目标资源（ECS/SLB/NAT网关）
3. 配置安全组规则放行所需端口
4. 测试网络连通性

关键限制：

• 单账号默认配额：20个EIP（可申请扩容）
• 绑定间隔：解绑后需等待5分钟方可重新绑定

3. NAT网关带宽模型

NAT网关采用共享带宽模式，支持两种计费方式：

• 按流量计费：适合波动较大的出站流量
• 按带宽计费：适合稳定高带宽需求

性能指标：

• 最大并发连接数：50万（可扩展）
• 新建连接速率：3万/秒
• 带宽上限：5Gbps（可叠加多NAT网关）

三、选型决策矩阵

1. 需求匹配模型

维度	SLB适用场景	EIP适用场景	NAT网关适用场景
流量方向	入站流量分发	双向流量（需绑定实例）	出站流量管理
协议需求	支持四/七层	依赖绑定资源协议	任意协议（L3层转换）
规模需求	千级并发以上	单实例或少量实例	百级实例以上出站需求
安全要求	需DDoS防护（可组合WAF）	暴露服务端口	隐藏内网IP

2. 成本优化策略

• SLB成本：按实例规格（如小型、中型、大型）和带宽计费，建议：
  • 长期服务：预付费实例+按流量计费
  • 短期促销：后付费实例+按带宽峰值计费
• EIP成本：未绑定时仅收取IP保留费（约0.01元/小时），建议：
  • 测试环境：用后即删
  • 生产环境：绑定至SLB而非直接绑定ECS
• NAT网关成本：共享带宽模式下，建议：
  • 多业务共用：合并出站流量降低单位成本
  • 突发流量：预留20%带宽缓冲

四、典型架构实践

1. 高并发Web服务架构

用户 → DNS解析 → SLB（七层） → 
  → Web服务器集群（ECS+EIP）
  → 缓存集群（通过NAT网关访问CDN源站）

优势：

• SLB实现流量均衡与SSL卸载
• Web服务器通过EIP实现管理访问
• 缓存集群通过NAT网关安全获取数据

2. 混合云网络架构

本地数据中心 → VPN隧道 → VPC → 
  → NAT网关（SNAT）→ 公网服务
  → SLB（四层）→ 混合云应用服务器

关键配置：

• NAT网关配置SNAT规则，允许VPC内所有实例出站
• SLB绑定EIP接收混合云流量
• 安全组限制入站源IP为VPN网段

3. 安全合规架构

用户 → WAF → SLB（七层）→ 
  → 跳板机（EIP+双因素认证）→ 
  → 内网服务（通过NAT网关访问）

安全措施：

• SLB配置WAF防护SQL注入/XSS攻击
• 跳板机限制管理访问来源
• 内网服务完全隔离公网

五、常见问题与解决方案

1. SLB健康检查失败排查

• 现象：后端服务器被标记为不健康
• 步骤：
  1. 检查安全组是否放行健康检查端口（默认TCP 80）
  2. 验证服务器监听状态：netstat -tulnp | grep 80
  3. 检查服务器负载：top查看CPU/内存使用率
  4. 调整健康检查参数（超时时间、间隔）

2. EIP绑定冲突处理

• 场景：解绑EIP后无法立即重新绑定
• 解决方案：
  1. 确认无其他资源正在使用该EIP
  2. 等待5分钟冷却期结束
  3. 联系云厂商支持团队强制释放

3. NAT网关带宽不足优化

• 现象：出站流量丢包或延迟升高
• 优化措施：
  1. 升级NAT网关规格（从小型升至中型）
  2. 启用带宽包实现多NAT网关带宽共享
  3. 优化出站流量（如CDN回源走专线）

六、未来演进趋势

1. SLB智能化：集成AI预测算法实现自动扩缩容
2. EIP IPv6支持：双栈EIP满足等保2.0要求
3. NAT网关VPC对等连接：跨VPC共享NAT能力
4. 服务网格集成：与Istio等服务网格深度整合

结语

合理选择云上公网入口需综合考量业务特性、安全要求与成本预算。建议遵循”分层设计”原则：对外服务优先使用SLB实现负载均衡，管理接口通过EIP灵活控制，内网出站统一由NAT网关管理。实际部署时，可先在小规模环境验证架构合理性，再逐步扩展至生产环境。