如何配置Windows EC2路由：特定服务走NAT网关，其余走IGW

一、无法访问实例的原因判断 #

你之前遇到的无法访问实例问题，大概率是路由表配置错误导致响应流量路径异常：

• 若你误将子网路由表的默认路由（0.0.0.0/0）指向了NAT网关，而非保留默认的Internet Gateway（IGW），那么实例响应公网用户连接的出站流量会全部走NAT网关。但NAT网关仅会对实例发起的出站流量做源地址转换（将私网IP转为NAT公网IP），不会处理反向的入站流量转换——也就是说，用户的连接请求能到达实例，但实例的响应流量经NAT网关后无法正确回传给用户，最终导致连接超时。
• 若仅添加了特定服务CIDR指向NAT网关的路由，仍无法访问实例，则需排查安全组/网络ACL：比如实例安全组是否允许公网入站流量，NAT网关所在子网的网络ACL是否允许实例私网IP的出站访问，或者实例所在子网的网络ACL是否拦截了响应流量。

二、操作系统层面配置策略路由的可行性（推荐方案） #

完全可以在EC2实例的操作系统层面配置策略路由，实现“访问特定公有服务的流量走NAT网关，其余流量走IGW”的需求，且不会影响公网用户直接连接实例。以下以Linux系统为例给出具体操作：

操作步骤 #

1. 创建自定义路由表
   编辑路由表配置文件，添加自定义路由表标识：

   echo "100 natroute" >> /etc/iproute2/rt_tables
   

2. 添加目标服务的路由规则
   将访问目标公有服务的流量导向子网的私网网关（即VPC子网的默认网关，通常为子网CIDR的第一个IP，比如10.0.1.1），该网关会将流量转发至NAT网关：

   ip route add <目标服务CIDR> via <子网私网网关IP> dev eth0 table natroute
   

3. 配置流量匹配规则
   指定发往目标服务CIDR的流量使用上述自定义路由表：

   ip rule add to <目标服务CIDR> lookup natroute
   

4. 验证配置
   查看路由规则和路由表，确认配置生效：

   ip rule list
   ip route show table natroute
   

   同时可以通过curl --interface eth0 <目标服务地址>测试，结合tcpdump抓包确认流量是否经NAT网关转发。

注意事项 #

• 以上配置为临时生效，若需重启后保留，需将命令写入/etc/rc.local或对应的系统服务（如systemd）。
• 确保实例的安全组允许出站访问目标服务CIDR，且NAT网关所在子网的网络ACL允许实例私网IP的入站流量。

三、其他替代方案 #

1. 使用VPC端点（若适用）
   如果目标公有服务支持AWS VPC端点（如部分AWS托管服务），可以创建对应的VPC端点，实例通过VPC端点访问该服务，无需经过公网或NAT网关，同时VPC端点的IP可以加入目标服务的白名单。但此方案仅适用于支持VPC端点的服务。

2. 调整子网架构（不推荐）
   将实例部署在私有子网，然后使用跳板机+端口转发或AWS Systems Manager Session Manager供用户连接，但此方案会增加延迟，不符合你的低延迟需求，因此不推荐。

内容的提问来源于stack exchange，提问作者Juan Vega