公网NAT网关配置完成后，网络不通如何处理？

问题描述

您创建了一个公网NAT网关，并按照步骤配置了SNAT、DNAT规则，但是您的云主机不能访问互联网或不能为互联网提供服务。配置了公网NAT网关的网络是否可以连通互联网与路由表配置、安全组配置、网络ACL配置等多个环节相关联。任意一个环节出现问题，都会导致网络不通。本节操作介绍公网NAT网关配置完成后，网络不通时的排查思路。

排查思路

以下排查思路根据原因的出现概率进行排序，建议您从高频率原因往低频率原因排查，从而帮助您快速找到问题的原因。

如果解决完某个可能原因仍未解决问题，请继续排查其他可能原因。

图1 网络不通排查思路

检查路由表是否配置指向公网NAT网关网关的默认路由

1. 登录管理控制台。
2. 在管理控制台左上角单击，选择区域和项目。
3. 在系统首页，选择“网络 > 虚拟私有云”。
4. 在左侧导航栏选择“路由表”。
5. 在路由表列表中，单击公网NAT网关所在VPC的路由表名称。
6. 检查路由列表中是否存在指向公网NAT网关的默认路由（0.0.0.0/0）。
   • 如果未存在默认路由，请在路由表中添加指向公网NAT网关的默认路由。
     1. 单击“添加路由”，按照提示配置参数。
        图2 添加路由
        

        表2 参数说明

        参数	参数说明
        目的地址	目的地址网段。 配置为0.0.0.0/0。
        下一跳类型	下一跳资源类型选择“NAT网关”。
        下一跳	下一跳资源选择创建的公网NAT网关。
        描述	路由的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含“<”和“>”。

     2. 单击“确定”，完成添加。
   • 如果存在默认路由，但是未指向公网NAT网关，请在路由表中添加指向公网NAT网关的路由或者新增路由表并添加指向公网NAT网关的默认路由。
     • 路由表中添加指向公网NAT网关的路由详细步骤：
       1. 单击“添加路由”，按照提示配置参数。
          图3 添加路由
          

          表3 参数说明

          参数	参数说明
          目的地址	目的地址网段。
          下一跳类型	下一跳资源类型选择“NAT网关”。
          下一跳	下一跳资源选择创建的公网NAT网关。
          描述	路由的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含“<”和“>”。

       2. 单击“确定”，完成添加。
     • 新增路由表并添加指向公网NAT网关的默认路由：
       

       新增路由表，请在创建路由表对话框单击“申请扩大配额”或在页面右上角单击“工单 > 新建工单”申请扩大路由表配额。更多提交工单信息请参考提交工单。

       1. 在路由表列表页面右上角，单击“创建路由表”，按照提示配置参数。

          表4 参数说明

          参数	说明	取值样例
          路由表名称	路由表的名称，必填项。 路由表的名称只能由中文、英文字母、数字、“_”、“-”和“.”组成，且不能有空格，长度不能大于64个字符。	rtb-001
          所属VPC	选择路由表归属的VPC，必填项。	vpc-001
          描述	路由表的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含“<”和“>”。	-
          添加路由	路由规则信息。 路由规则可以在此处添加，单击“继续添加”。 添加目的地址为“0.0.0.0/0”，下一跳资源类型选择“NAT网关”，下一跳资源选择创建的公网NAT网关。	-

       2. 单击“确定”，完成创建。

          系统出现信息提示页面，您可根据提示选择立即关联子网。

       3. 单击“关联子网”，进入路由表详情页面的“关联子网”页签。
       4. 单击“关联子网”，选择需要关联的子网。
       5. 单击“确定”，完成关联。

检查弹性云服务器是否绑定了弹性公网IP

当同一个弹性云服务器同时设置了SNAT和弹性公网IP时，会优先使用弹性公网IP进行转发。

当同一个弹性云服务器同时设置了DNAT和弹性公网IP时，入云方向的弹性公网IP取决于客户端用户的自主选择（DNAT规则绑定的弹性公网IP或ECS直接绑定的弹性公网IP），而出云方向优先使用弹性云服务器直接绑定的弹性公网IP，所以如果入云和出云使用的弹性公网IP不一致，流量会不通。

如果弹性云服务器绑定了弹性公网IP，请为弹性云服务器解绑弹性公网IP。

1. 登录管理控制台。
2. 在管理控制台左上角单击，选择区域和项目。
3. 选择“计算 > 弹性云服务器”。
4. 在弹性云服务器列表，查看“IP地址”列，检查弹性云服务器是否绑定了弹性公网IP。
   • 如果弹性云服务器未绑定弹性公网IP，请检查下一项。
   • 如果弹性云服务器绑定了弹性公网IP，请为弹性云服务器解绑弹性公网IP。

     为弹性云服务器解绑弹性公网IP详情请参见解绑弹性公网IP。

检查安全组规则

检查网络ACL是否放通子网流量

检查VPC的子网是否关联了网络ACL，如果关联了网络ACL，请检查“ 网络ACL”规则。

1. 登录管理控制台。
2. 在管理控制台左上角单击，选择区域和项目。
3. 在系统首页，选择“网络 > 虚拟私有云”。
4. 在左侧导航栏选择“子网”。
5. 查看NAT网关对应的子网是否关联了网络ACL。

   显示具体的网络ACL名称说明已关联网络ACL。

   图4 网络ACL
   
6. 单击网络ACL名称查看网络ACL的详细信息。
   图5 网络ACL详情
   
7. 检查入方向规则和出方向规则是否添加了放通子网流量的规则。

   如果未添加放通子网流量的规则，请添加入方向、出方向规则放通子网流量或者将网络ACL与子网取消关联。

   详情请参见添加网络ACL规则和解除网络ACL关联子网。

   

   需要注意“网络ACL”的默认规则是丢弃所有出入方向的包，若关闭“网络ACL”后，其默认规则仍然生效。

检查弹性公网IP的带宽是否超限

公网NAT网关绑定了弹性公网IP时，通过带宽提供公网和公网NAT网关间的访问流量。

如果出现网络不通，请排查弹性公网IP带宽是否超过带宽最大上限。

排查带宽超限的方法请参考如何排查带宽超过限制？

扩大带宽的操作请参考修改弹性公网IP的带宽。

检查公网NAT网关业务量是否超过规格上限

1. 登录管理控制台。
2. 在管理控制台左上角单击，选择区域和项目。
3. 选择“管理与监管 > 云监控服务”。
4. 单击页面左侧的“云服务监控”，选择“NAT网关”。
5. 单击“操作”列的“查看监控指标”，查看公网NAT网关的监控指标详情。
   图6 NAT网关指标详情
   
6. 检查公网NAT网关SNAT连接数是否超过NAT网关规格上限。
   • 如果SNAT连接数未超过公网NAT网关规格上限，请检查下一项。
   • 如果SNAT连接数超过公网NAT网关规格上限，请提升公网NAT网关规格。

     提升公网NAT网关规格请参见修改公网NAT网关。

检查公网NAT网关状态是否异常

1. 登录管理控制台。
2. 在管理控制台左上角单击，选择区域和项目。
3. 选择“网络 > NAT网关”。
4. 在公网NAT网关列表，检查公网NAT网关状态是否异常。
   • 如果公网NAT网关状态为“运行中”，请检查下一项。
   • 如果公网NAT网关状态不是“运行中”，主要有以下情况：
     • 公网NAT网关因未及时续费，导致状态异常，请为公网NAT网关续费。为公网NAT网关续费请参见欠费还款。
     • 因使用华为云资源违反了相关安全要求或法律法规，导致您的账号或资源被冻结。如果您在整改期限内完成整改并达到相关安全和法律要求，那么就可以解冻您的账号和资源；如果您在整改期限内未完成整改，那么将删除您的资源。

检查弹性云服务器端口

确保弹性云服务器端口正常工作，处于LISTEN状态。表5为常见TCP状态。

• Linux操作系统云服务器端口通信问题排查

  使用netstat -antp命令检查服务的状态，确认端口是否正常监听。

  例如：netstat -ntulp |grep 80

  图7 查看端口监听状态_linux
  

  如果端口没有被正常监听，请重新开启弹性云服务器端口。

• Windows操作系统云服务器端口通信问题排查

  使用远程端口检测命令：

  1. 打开CMD命令行窗口。
  2. 执行netstat -ano | findstr “PID”命令查看进程使用的端口号。
     例如：netstat -ano | findstr “80”

     图8 查看端口监听状态_windows
     

     如果端口没有被正常监听，请重新开启弹性云服务器端口。