如何让多个AWS实例共用同一出口IP？解决NAT网关入站访问问题

方案一：NAT网关+弹性公网IP（AWS托管推荐方案） #

• 将所有需要共享出口IP的实例部署在私有子网，子网路由表设置默认路由（0.0.0.0/0）指向NAT网关，确保所有实例的出站流量统一走NAT网关绑定的弹性公网IP，实现共享出口IP的需求
• 针对需要入站访问的实例：
  • 直接给实例分配弹性公网IP（EIP），同时配置实例所在私有子网的网络ACL和安全组，允许对应入站端口（如SSH、应用服务端口）的流量
  • 若有多台实例需要入站访问，建议配置应用负载均衡（ALB）或网络负载均衡（NLB），将负载均衡的公网IP暴露给外部，通过负载均衡转发流量到私有子网内的实例，兼顾高可用性和统一入口
• 注意：私有子网不要关联互联网网关（IGW），否则实例会直接通过自身可能的EIP出站，无法维持共享出口IP的配置

方案二：EC2 NAT实例（自定义可控性更高） #

• 启动一台EC2实例作为NAT实例，绑定弹性公网IP作为共享出口IP
• 在NAT实例上开启IP转发：

  echo 1 > /proc/sys/net/ipv4/ip_forward
  

  并修改/etc/sysctl.conf文件，添加net.ipv4.ip_forward = 1实现永久生效
• 配置其他实例所在子网的路由表，默认路由指向NAT实例的私有IP，确保所有实例出站流量走NAT实例的EIP
• 实现入站访问的两种方式：
  • 给需要入站的实例单独分配EIP，同时保持其路由表指向NAT实例，保证出口IP不变
  • 在NAT实例上配置端口转发（通过iptables规则），将外部访问NAT实例特定端口的流量转发到目标实例的私有IP和端口，同时开放NAT实例安全组对应入站端口

关键注意事项 #

• 共享出口IP的核心逻辑：所有实例的出站流量必须统一经过绑定了固定EIP的网络设备（NAT网关/NAT实例）
• 入站访问的核心：给目标实例提供可被外部寻址的入口（EIP/负载均衡），同时通过安全组、网络ACL放行对应流量

内容的提问来源于stack exchange，提问作者alexrbs