NAT网关仅允许出向流量，私有子网实例如何下载公网补丁？

• NAT网关的出向流量允许指的是：私有子网内的实例主动发起对外请求（比如访问补丁服务器的HTTP/HTTPS请求）时，NAT网关会将请求的源私有IP替换为自身公网IP，再转发至公网。
• 当公网补丁服务器返回响应时，响应流量的目标IP是NAT网关的公网IP，此时NAT网关会通过自身维护的会话表，将目标IP转换回发起请求的实例私有IP，再把流量转发给该实例。这类回程流量属于出向请求的配套响应，会被NAT网关自动放行，不需要额外配置入向规则。
• 本质上NAT网关靠会话表追踪每一笔出向请求的上下文，仅放行对应会话的回程流量，既满足了实例下载补丁的需求，又阻止了无关的公网入向流量，保障私有子网的安全性。

内容的提问来源于stack exchange，提问作者Mandroid