场景一：本地数据中心+云上业务的混合云模式

如果您有以下业务需求，建议您使用VPC+高速通道+ECS+RDS的配置架构。

• 将内部核心系统与核心数据放置在自建数据中心以确保核心数据的安全；
• 云上部署对外客户的应用系统，实时应对业务访问量激增。

架构解读：使用VPC、RDS、ECS搭建云上业务系统，核心数据部署在云下自建数据中心，使用高速通道专线接入保证云上数据快速同步，实现云上云下数据互通，搭建一个混合云使用环境。

场景二：多租户的安全隔离

如果您有以下业务需求，建议使用VPC+ECS+RDS+SLB的配置架构。

• 希望在云上构建一个完全隔离的业务环境，因为传统云架构的多租户共享机制不能保证数据安全；
• 自主定义私有网络配置。

架构解读：您可以在阿里云上创建一个专有网络，和其他租户的网络完全隔离。您可以完全掌控自己的虚拟网络，例如选择自己的IP地址范围、划分网段、配置路由表和网关等，从而实现安全而轻松的资源访问和应用程序访问。此外，您也可以通过专线或VPN等连接方式将您的专有网络与传统数据中心相连，形成一个按需定制的网络环境，实现应用的平滑迁移上云和对数据中心的扩展。

场景三：主动访问公网的抓取类业务

如果您有以下业务需求，建议使用VPC+ECS+NAT网关的配置架构。

• 专有网络中的多个服务器可以主动访问互联网；
• 避免这些服务器的公网IP暴露在公网上。

架构解读： 您可以对专有网络中的同一虚拟交换机下的所有ECS做SNAT配置，多台ECS通过同一公网IP访问互联网，并可随时进行公网IP替换，避免被外界攻击。

场景四：多个应用流量波动大——共享带宽包

如果您有以下需求，建设使用VPC+NAT网关+ECS的配置架构。

• 系统中同时存在多个面向互联网的应用；
• 各个应用都需要对外提供服务，并且其波峰时间点不一致。

架构解读：您可以购买多个专有网络类型的ECS，分别承载不同的应用业务，前端挂载NAT网关，通过配置DNAT IP转发规则实现多IP共享带宽功能，减轻波峰波谷效应，从而减少您的成本。

创建ECS实例

更新时间：2017-06-30 18:31:52

前提条件

您已经创建了一个专有网络和交换机，详情参考创建专有网络和交换机。

操作步骤

1. 登录专有网络管理控制台。

2. 在左侧导航栏，单击专有网络。

3. 单击目标专有网络的ID链接，进入专有网络详情页面。

4. 在专有网络详情左侧导航栏，单击交换机，打开交换机列表页面。

5. 单击目标交换机的创建实例 > 创建ECS实例选项。

   

6. 根据您的需要配置ECS实例如计费方式、实例规格、镜像、存储等，然后单击立即购买完成支付。具体详细信息，参考创建ECS实例。

   注意: 当您选择从目标交换机中创建ECS实例时，在购买页面，系统会自动显示对应的专有网络和交换机，无需再重新选择。本教程中ECS实例的网络配置如下：

   • 公网IP地址：选择不分配。

     稍后绑定一个弹性公网IP（EIP），让ECS实例可以与公网通信。因为系统分配的公网IP不能与ECS实例解绑，而EIP可以随时解绑和绑定，所以更加方便也可以节约成本。

   • 安全组：选择默认安全组1（自定义端口），开通ICMP协议。

   

申请EIP

更新时间：2017-11-13 09:04:01

1. 登录弹性公网IP管理控制台。

2. 单击申请弹性公网IP。

3. 在购买页面，选择您的配置，然后单击立即支付完成购买。

   配置	说明
   计费方式	EIP支持预付费和后付费（按量付费）两种计费方式： 预付费：采用包年包月的售卖方式，按固定带宽计费。 在合同期内，EIP实例只支持升级配置，不支持降级配置或者释放。 后付费：支持按使用流量和按固定带宽两种计费方式。 后付费EIP实例可以随时进行变配和释放。 关于EIP的产品定价信息，参见计费说明。
   地域	选择EIP的地域。 确保EIP的地域和要绑定的资源（ECS实例、NAT网关、SLB实例）的地域相同。
   线路类型	使用BGP（多线）进行路由选择。
   网络类型	EIP的网络类型为公网。
   带宽峰值	设置EIP的带宽峰值。
   计费方式	选择按流量计费还是按固定带计费。 注意：该选项只适用于后付费实例。
   计费周期	显示计费周期： 按流量计费的计费周期为小时。 按固定带宽计费的计费周期为天。 注意：该选项只适用于后付费实例。
   购买数量	选择EIP的购买数量。

SNAT

NAT网关提供SNAT功能，为VPC内无公网IP的ECS实例提供访问互联网的代理服务。

此外，NAT网关的SNAT功能还可以作为一个简易防火墙使用。通过SNAT保护后端的服务器，只有后端服务主动和外部终端建立连接后，外部终端才可以访问内部服务器，而未建立连接的外部不可信终端是无法访问后端服务器的。

DNAT

NAT网关支持DNAT功能，将NAT网关上的公网IP映射给ECS实例使用，使ECS实例能够提供互联网服务。

DNAT支持端口映射和IP映射。

宽带共享

您可以为NAT网关绑定EIP，再将EIP加入到共享带宽中即可。EIP加入到共享带宽后就会停止原有的按流量或按带宽计费

EIP绑定NAT网关

更新时间：2017-11-10 14:43:27

您可以将EIP绑定到NAT网关上，然后使用该EIP配置SNAT和DNAT规则，为专有网络中无公网IP的ECS实例提供公网访问或向公网提供服务。更多关于NAT网关的功能介绍，参见NAT网关文档。

注意：如果您在11月3日前购买过NAT带宽包，无法使用EIP绑定NAT网关的功能。

绑定NAT实例

1. 登录弹性公网IP管理控制台。

2. 选择目标地域，查看该地域下的EIP实例。

   若没有可用的EIP实例，单击申请弹性公网IP。

   注意：确保EIP实例的地域和要绑定的NAT网关的地域相同。详情参见创建EIP。

3. 单击目标EIP操作列下的绑定。

   

4. 在弹出的对话框中，完成以下操作：

   1. 实例类型：选择NAT网关实例。

   2. NAT网关：选择要绑定的NAT网关。

   3. 单击确认。

      

管理DNAT表

更新时间：2017-11-24 10:26:37

NAT网关提供DNAT功能，将NAT网关上的公网IP映射给专有网络的ECS实例使用，使ECS可以面向互联网提供服务。

DNAT表

NAT网关将DNAT功能的配置，抽象为一张端口转发表。

在创建NAT网关后，系统会自动在NAT网关中创建一张端口转发表。您无法新建或删除端口转发表，但可通过对端口转发表中的端口转发条目进行增删改查，实现DNAT功能的配置。

DNAT条目

端口转发表由端口转发条目组成。一条端口转发条目由五部分组成：公网IP、公网端口、私网IP、私网端口和协议，如下表所示。其中公网IP是NAT网关绑定的弹性公网IP（EIP），私网IP是专有网络中ECS实例的IP。

说明：对于2017年11月3日 23:59之前账户下存在NAT带宽包的用户，DNAT条目中的公网IP是NAT带宽包提供的公网IP。

一条端口转发条目的效果是：将收到的指定协议的[私网IP:私网端口]的数据发向指定的[公网IP:公网端口]，并将来自[公网IP:公网端口]指定协议的数据发送给指定的[私网IP:私网端口]。

端口映射和IP映射

DNAT功能有两种使用方式，端口映射与IP映射：

• 端口映射

  在配置转发条目时，需指定公网端口、私网端口和协议，如下表中的条目1和条目2。

• IP映射

  • 在配置转发条目时，需要将公网端口、私网端口和协议的值选为Any，如下表中的条目3。

    IP映射转发条目的效果是：该私网IP所属的ECS实例完全独占该公网IP，入方向出方向均可通信，相当于绑定了一个EIP。

DNAT表示例

添加DNAT条目

您可以通过添加DNAT条目，将NAT网关上的公网IP映射给ECS实例使用，使得ECS可以面向互联网提供服务。详情参考添加DNAT条目。

编辑DNAT条目

1. 登录VPC管理控制台。

2. 在左侧导航栏，单击NAT网关。

3. 单击目标NAT网关的ID链接，进入详情页面。

4. 在左侧导航栏，单击DNAT表。

5. 单击目标DNAT条目的编辑更新DNAT条目配置。

删除DNAT条目

1. 登录VPC管理控制台。

2. 在左侧导航栏，单击NAT网关。

3. 单击目标NAT网关的ID链接，进入详情页面。

4. 在左侧导航栏，单击DNAT表。

5. 单击目标DNAT条目的移除。

6. 在弹出的对话框中，单击确定。

场景1：无公网IP的ECS需要访问公网——高可用的SNAT网关需求

在IT系统中，往往存在一些服务器需要主动访问互联网，但出于安全性考虑需要避免将这些服务器所持有的公网IP暴露在公网上。此时，您可以使用NAT网关的SNAT功能实现这一需求，配置详情参考配置SNAT网关。

场景2：多个互联网应用流量变化较大——共享公网带宽

部署一个面向互联网提供的服务，需要为该服务购置公网带宽。通常，为了保证系统能够应对业务流量可能发生的各种变化，在购买带宽时会考虑一定的冗余。

当IT系统中同时存在多个面向互联网的应用时，为每个应用都冗余购置带宽会造成许多不必要的成本。这时，多IP共享带宽的功能能够帮助您更好地进行公网带宽资源的管理和成本的控制。

另外，考虑到多个面向互联网的应用可能存在的流量错峰情况，多IP共享带宽的功能可以进一步缩减所需购置的公网带宽总量。配置详情参考快速入门。

什么是高速通道

更新时间：2018-01-04 09:50:28

阿里云高速通道（Express Connect）服务，帮助您在VPC间、VPC与本地数据中心间搭建私网通信通道，提高网络拓扑的灵活性和跨网络通信的质量和安全性。使用高速通道可以使您避免绕行公网带来的网络质量不稳定问题，同时可以免去数据在传输过程中被窃取的风险。

• VPC间内网通信

  高速通道支持位于相同地域或不同地域，同一账号或不同账号的VPC之间进行内网互通。

  阿里云通过在两侧VPC的路由器上分别创建路由器接口，以及自有的骨干传输网络来搭建高速通道，轻松实现两个VPC之间安全可靠，方便快捷的通信。

• 本地数据中心和阿里云上VPC间内网通信

  您可以通过物理专线在物理层面上连接您的本地数据中心到阿里云，然后建立边界路由器和路由器接口来连接数据中心与阿里云VPC。

基础架构

基于软件自定义网络（Software Defined Network，简称SDN）架构下的三层Overlay技术和交换机虚拟化技术，阿里云将客户的物理专线接入的端口隔离起来，并抽象成边界路由器。通过目前主流的隧道技术，阿里云将客户的数据包在交换机内部进行封装，在用户的物理专线和VPC的路由器之间加上隧道封装，然后将数据传输到VPC内。

高速通道和公网对比

阿里云VPC是一个隔离的网络环境。VPC间的网络通信、VPC与物理数据中心间的网络通信都由不同的网络承载。

如果您使用公网打通VPC间的通信，通信质量和安全性都不及使用高速通道，如下表所示。