企业调用第三方API需要固定出口时，常见方案有云NAT网关和正向代理。两者都能让对方看到稳定公网IP，但实现层级不同：NAT改写网络地址，通常对应用更透明；代理由应用或网络显式中转，可以提供更细的请求控制。
选型不能只看“都能改出口IP”，还要看协议、身份、日志、故障域和白名单切换。
一、核心差异
| 维度 | NAT网关 | 正向代理 |
|---|---|---|
| 工作层 | 网络地址转换 | 应用或代理协议中转 |
| 应用改造 | 通常较少 | 应用需支持或由网关接管 |
| 协议覆盖 | 取决于NAT和路由 | 取决于HTTP/SOCKS等代理能力 |
| 用户认证 | 常依赖网络身份和路由 | 可用账号、白名单等认证 |
| 请求日志 | 多为流日志 | 可有更丰富代理层信息 |
| DNS | 通常沿原网络解析 | 可能本地或代理侧解析 |
二、NAT网关更适合什么
- 云VPC内多个服务统一固定公网出口；
- 应用不能逐个配置HTTP/SOCKS代理；
- 需要覆盖多种TCP/UDP流量；
- 网络团队集中管理路由和公网IP；
- 第三方只要求来源IP白名单。
具体协议、端口和容量以云厂商当前产品为准。
三、正向代理更适合什么
- 只让特定应用或域名走固定出口；
- 需要代理账号、连接或请求级日志；
- 需要按业务选择不同节点；
- 应用明确支持HTTP或SOCKS5；
- 不希望整个子网统一出网。
四、固定出口不等于固定目标路径
NAT和代理都可能有后端集群、高可用切换和路由变化。对方看到的出口IP可以稳定，但延迟、运营商和底层设备可能变化。合同与监控应明确你真正需要的是地址稳定、容量还是路径。
五、白名单如何设计高可用
关键业务不应只登记一个无法切换的地址。可在对方允许时预先登记主备出口，记录使用条件和撤销流程。切换采用先增加、验证、灰度，再删除旧地址。
企业固定出口切换方法见固定出口故障应急与白名单准备。
六、NAT的日志能看到什么
流日志通常能看到源/目的地址、端口、协议、时间和动作，但未必有HTTP URL、状态码或用户身份。代理日志可以更接近应用层，但也增加隐私和秘密保护责任。
应按排错和审计必要性选择字段，不为“日志越多越好”过度收集。
七、代理认证和NAT网络身份
代理可使用账号密码、来源IP或企业认证；NAT通常依据子网、路由、安全组和云身份控制哪些资源可使用出口。若多个应用共享一个NAT，第三方仅凭公网IP无法区分内部调用者。
需要业务归因时，要结合内部流日志、应用请求ID和云资源标签。
八、DNS和IPv6差异
NAT不会自动改变DNS，代理可能根据客户端实现选择本地或远程解析。IPv6环境中，设备可能通过原生IPv6直连，绕过仅针对IPv4的NAT或代理。
双栈排查见IPv4代理与IPv6旁路指南。
九、容量如何比较
分别核对：
- 新建连接速率和并发连接；
- 持续带宽与峰值口径；
- 流量计费和跨区费用；
- SNAT端口或连接资源；
- 代理CPU、内存和连接池；
- 单可用区或跨可用区故障域。
容量测试方法见代理带宽、并发与吞吐规划。
十、安全边界
NAT提供出网地址转换，不自动提供URL过滤、用户认证或内容安全；代理提供中转，也不自动等同于防火墙、DLP或零信任。两者都要配合最小路由、网络策略、身份和日志。
十一、一个简化决策
| 问题 | 选择倾向 |
|---|---|
| 整个VPC统一固定出口 | NAT网关 |
| 单个应用或域名使用 | 显式代理 |
| 多种非HTTP协议 | 评估NAT或系统级方案 |
| 需要应用层日志和账号认证 | 正向代理 |
| 需要同时满足 | 可组合，但要画清路径和责任 |
十二、组合使用时注意什么
应用可能先经过代理，代理服务器再通过NAT出网。第三方看到的是NAT后的代理出口，故障与日志跨两层。必须记录代理节点、NAT公网IP、路由、DNS和白名单对应关系。
企业固定出口选型的最终标准是：应用是否需要改造、协议是否覆盖、地址是否可高可用、日志能否归因、故障能否回退，而不是只比较一条公网IP的价格。
