单Compute Engine实例实现多出口IP按需选择的方案咨询

嘿，我明白你的痛点——不想折腾一堆额外的网络和网卡，却能让不同的对外请求用不同的出口IP，之前用Cloud NAT发现它只会随机或固定用一个IP，没法手动指定对吧？别担心，这里有几个比多网卡方案简便得多的实现方式：

1. 单网卡多内部IP + Cloud NAT静态映射 + iptables/路由规则 #

这是最推荐的方案，不需要额外硬件资源，配置灵活：

步骤拆解： #

• 给虚拟机网卡加多个内部IP：在GCP控制台或用gcloud命令给你的GCE主网卡添加几个静态内部IP（最多默认10个，不够可以提配额），比如10.0.0.10、10.0.0.11这类地址。
• 配置Cloud NAT静态映射：创建或修改Cloud NAT网关，分配对应数量的外部静态IP，然后设置静态NAT映射——把每个内部IP绑定到一个专属的外部IP。这样当虚拟机用某个内部IP发请求时，Cloud NAT会固定用对应的外部IP出口。
• 用iptables或路由规则指定源IP：
  • 针对特定目标IP：用ip route直接指定路由的源IP，比如让访问Google DNS的请求用10.0.0.10：

    ip route add 8.8.8.8/32 via 10.0.0.1 src 10.0.0.10
    

  • 针对特定进程或用户：用iptables的SNAT规则，比如让用户myapp发起的请求都用10.0.0.11：

    iptables -t nat -A OUTPUT -m owner --uid-owner myapp -j SNAT --to-source 10.0.0.11
    

  • 按端口区分：

    iptables -t nat -A OUTPUT -p tcp --dport 80 -j SNAT --to-source 10.0.0.10
    

优势： #

完全不需要额外网卡或网络，所有配置都在现有虚拟机和NAT网关上完成，规则可灵活调整，重启后只要持久化规则就能保留。

2. 本地代理服务（HAProxy/Nginx） #

如果需要更细粒度的控制（比如按请求路径、HTTP头来选出口IP），可以在虚拟机上跑一个代理服务：

实现思路： #

• 给代理服务配置多个监听端口，每个端口绑定一个不同的内部IP。
• 让不同的请求指向对应的代理端口，代理会用绑定的内部IP发起请求，再通过Cloud NAT的静态映射转换成对应的外部IP。

比如用Nginx配置一个代理端口：

server {
    listen 10.0.0.10:8080;
    location / {
        proxy_pass $scheme://$host$request_uri;
        proxy_bind 10.0.0.10;
    }
}

这样请求http://localhost:8080时，Nginx会用10.0.0.10作为源IP发出去，对应Cloud NAT的外部IP。

优势： #

适合复杂的请求路由场景，比如Web应用需要按接口区分出口IP。

为什么你之前的Cloud NAT没起效？ #

默认的Cloud NAT是从IP池里随机选出口IP（或按会话亲和固定），没有绑定源IP的逻辑，所以不管你加多少IP，请求只会随机用一个。而静态NAT映射就是把内部IP和外部IP一一绑定，再结合虚拟机上的源IP指定规则，就能实现“按需选出口IP”的效果。

注意事项 #

• 记得把iptables或路由规则持久化，比如Ubuntu上可以用netfilter-persistent服务，CentOS用iptables-services，避免重启后规则丢失。
• 内部IP和外部IP的数量要对应，每个内部静态IP需要绑定一个Cloud NAT的外部静态IP。
• 如果需要更多的出口IP，可以申请提高GCE网卡的内部IP配额，以及Cloud NAT的外部IP配额。

内容的提问来源于stack exchange，提问作者Tim