天翼云公网IP对接全流程拆解：从申请到连通，中间到底隔着多少道关

一、先搞清楚一件事：公网IP在天翼云里到底扮演什么角色

很多人第一次接触天翼云公网IP时，会把它和云主机自带的那块网卡混为一谈。实际上，天翼云的弹性公网IP——也就是EIP——是一块独立的、可以脱离某台机器单独存在的公网地址。它像一把可以换锁芯的钥匙，今天插在这台云主机上，明天拔下来插到另一台负载均衡或者NAT网关上，对外暴露的地址始终不变。

这件事的技术意义在于：你的业务连续性不再被某一台机器的生死绑定。服务器需要迁移、替换、重建的时候，EIP解绑再绑到新资源上，DNS记录不需要动，外部客户感知不到地址变更。与此同时，EIP也是一道明确的边界——没有EIP，VPC里的云主机就是一座内网孤岛，只能通过控制台的远程登录去触碰，互联网侧根本找不到它。

理解了这一层，后面的对接流程就不再是一串机械的点击动作，而是一连串有因果关系的网络决策。

二、申请之前的两个硬约束：地域与计费

天翼云EIP的申请入口本身并不复杂，控制台的网络板块下进入弹性公网IP管理页面，按需选择区域和IP类型即可推进。但真正决定后续会不会返工的是两个前置判断。

第一个是地域。 EIP是区域级产品，它和要绑定的云资源必须落在同一个地域里。跨地域绑定不是“效果差一点”的问题，而是绑定之后公网流量根本不会按预期路径转发。一个常见的场景是：项目在华东二区创建了云主机，顺手在默认地域申请了EIP，绑定操作在控制台上可能走通，但实际流量路径是断的。所以申请之前第一件事不是填参数，而是确认目标资源所在的地域编码。

第二个是计费模式。 天翼云EIP本身不单独收取地址占用费，费用集中在带宽上，主要分为包年包月和按量付费两条路径，按量付费又区分按带宽和按流量两种口径。选择逻辑并不复杂：对外提供稳定服务的站点，入方向和出方向的流量曲线相对可预测，包年包月的固定带宽更容易控制预算；短期项目、测试环境或流量波峰波谷落差极大的业务，按流量计费能避免为闲置带宽买单。但要注意，按流量计费并不意味着没有带宽上限，带宽峰值仍然会约束突发吞吐，只是计费维度从“预留了多少”变成了“实际用了多少”。

三、绑定不是终点：EIP“挂上去”和“能用”之间隔着三层

EIP申请完成之后，在控制台列表里找到它，点击绑定，选择目标云主机，几秒钟就能看到状态变成“已绑定”。很多初次操作的人会在这里松一口气，然后发现公网依然不通。问题往往不在绑定动作本身，而在于绑定之后需要同步打开的三层通路。

第一层：安全组的入方向规则

天翼云的安全组默认策略在出方向上是放行的，云主机主动往外发请求通常不受阻拦。但入方向不一样——如果没有显式放行某个端口，外部流量到达EIP之后会被安全组静默丢弃。需要放行什么，取决于你在云主机上跑的是什么：SSH远程管理要放行二十二端口，Web服务要看八十和四百四十三端口是否开启，数据库或API服务则要按实际监听端口配置。一个容易被忽略的细节是端口范围的书写格式：天翼云安全组要求写成“起始端口/结束端口”的形式，而不是用连字符连接起止值。

第二层：实例内部的路由与防火墙

即使安全组放行了，云主机操作系统自己的防火墙仍然可能拦截。Linux实例上的iptables或firewalld如果没有放行对应端口，外部请求在到达应用进程之前就被挡住了。另一个更隐蔽的问题是默认路由。EIP的流量经过平台侧的地址转换到达云主机的私有IP，回程流量需要从云主机的默认路由指回VPC网关。如果实例是一块网卡，默认路由一般不会出问题；但如果存在辅助网卡、或者曾经手动修改过路由表，默认路由指向了错误的网关，就会出现“内网能通、公网不回包”的现象。

第三层：网络ACL的隐式拦截

网络ACL是子网级别的无状态过滤，和实例级别的安全组是两道独立的关卡。ACL的规则按序号顺序匹配，如果前面有一条优先级更高的拒绝规则覆盖了目标端口，后面就算放了全通规则也不会生效。更需要注意的是，网络ACL的默认规则是丢弃所有方向的包，即便你觉得“我没有配过拒绝规则”，ACL处于开启状态时默认行为本身就构成了一道拦截。绑定EIP之后公网不通，如果安全组查过没有问题，网络ACL是下一个必须核对的点。

四、当多台机器需要共用出口：NAT网关是EIP的“放大器”

一台云主机绑一块EIP，是最直观的做法，但不是唯一做法，也未必是成本最优的做法。天翼云的EIP在绑定关系上是一对一的：一块EIP同一时间只能绑定一个云资源，不能同时挂到多台云主机上。如果VPC里有多台机器需要访问公网，逐台配EIP会让公网地址数量线性增长，管理成本和暴露面同步放大。

NAT网关解决的正是这个场景。把一块EIP绑定到NAT网关实例上，然后在NAT网关上配置SNAT规则，VPC内子网中的云主机就可以共享这一个公网地址访问互联网。反过来，如果外部需要主动访问内网的某台机器，可以在NAT网关上添加DNAT规则，将EIP的某个端口映射到指定云主机的私有IP和端口上。SNAT管“出去”，DNAT管“进来”，一块EIP在NAT网关的调度下可以服务多个后端资源。这种架构还有一个附带的安全收益：没有配置DNAT规则时，外部用户无法通过公网地址直接触达NAT网关后方的云主机，内网资源的暴露面被收窄到了端口映射这一层。

什么时候该用EIP直绑，什么时候该走NAT网关？判断标准在需求侧：如果某台机器需要独立的、稳定的、可对外宣告的公网入口，EIP直绑更直接；如果重点是让一批机器“能出公网”而不需要每台都被外部直接访问，NAT网关加SNAT是更干净的架构选择。

五、绑完不通？按网络栈的顺序往下查，不要跳步

EIP对接中最高频的故障形态是：控制台显示“已绑定”，但公网ping不通、端口连不上。排查这件事最忌讳东一榔头西一棒子，有效的做法是按网络栈由外向内、由平台配置到系统配置逐层推进。

先确认绑定本身是否真实有效。 控制台的“已绑定”状态需要和绑定模式交叉验证。如果创建EIP时误选了“仅用于NAT网关”之类的模式，控制台可能仍然显示绑定关系，但EIP并不会直挂云主机做地址转换。同时检查云主机是否持有有效的私有IPv4地址——EIP的DNAT映射需要一个内网目标，如果实例的网络配置异常导致没有拿到私有IP，映射链路就是空的。

再查平台侧策略。 安全组入方向是否放行了目标端口，网络ACL是否处于开启状态且规则顺序没有形成隐式拒绝，路由表中是否存在异常条目把公网流量引向了错误下一跳。自定义路由表里一条“默认路由指向NAT网关”或者针对EIP地址的明细路由，都可能绕过正常的EIP转发路径。

然后进入实例内部。 Linux用ip route检查默认路由是否指向VPC网关，用iptables或firewalld确认本地防火墙没有拦截；Windows检查高级防火墙的入站规则和route print中的默认接口是否正确。如果实例是多网卡架构且EIP绑定在非主网卡上，还需要确认策略路由是否将回程流量引导到了正确的网卡。

最后才考虑运营商层面的可能性。 在天翼云的安全策略和实例配置都排查干净之后，如果公网访问仍然异常，需要把运营商对EIP端口的封禁纳入排查范围，通过工单让平台侧协助确认链路状态。这个步骤放在最后，是因为前面几层配置错误的概率远高于运营商侧封禁，跳过前面的检查直接归因于外部，往往会绕远路。

六、一个容易被低估的细节：EIP的“闲置成本”

天翼云对未绑定资源的EIP有一项容易被忽略的约束：免费提供但未绑定实例、且带宽计费方式为按流量的EIP，通常只允许保留有限天数，超期后系统会自动释放。这意味着“先申请一块IP放着，等机器准备好了再绑”的做法存在时间窗口。对于按项目节奏推进的部署，更稳妥的顺序是先把云主机和网络拓扑准备好，再按需申请EIP并立即完成绑定，而不是提前占坑。已经在共享带宽中的EIP则遵循共享带宽的计费逻辑，流量统一计入带宽实例，规划时需要把带宽包的容量和后端资源的实际出口需求对齐。

上饶追云逐智信息科技有限公司是国内深耕多年的综合型多云服务合作商，业务覆盖阿里云、腾讯云、华为云、天翼云、火山云、微软云、谷歌云、亚马逊云八大主流公有云平台，服务场景覆盖全行业企业数字化需求。公司现有全职员工五百人，团队架构完善、服务体系标准化，行业经验超过十年，八大云平台全年综合销量突破二十亿人民币，累计服务超一百万合作客户，累计助力企业部署云服务器近一亿台。单天翼云年销量约一亿元人民币，具备承接大、中、小型企业规模化上云项目的完整能力。作为天翼云头部一级代理商，通过上饶追云逐智开通天翼云业务，可享七折优惠或百分之三十返点，技术团队可在EIP申请、绑定配置、安全组与路由联调等环节提供对接支持。

七、把流程还原成决策，而不是步骤清单

回头看天翼云公网IP的对接，真正需要记住的并不是控制台里先点哪个按钮后点哪个按钮，而是几组因果关系：EIP解决的是地址与资源解耦的问题，所以地域必须对齐；绑定解决的是映射关系的问题，所以安全组、路由、实例防火墙必须同步打开；NAT网关解决的是多资源共享出口的问题，所以EIP和NAT的绑定模式需要提前想清楚。每一层配置都有它要回答的特定问题，跳过任何一层的“想当然”，都会在连通性上以故障的形式补回来。把顺序理顺，把约束前置，公网IP的对接就不再是一道靠试错才能通过的关卡。

问答

问：天翼云EIP可以跨地域绑定到其他区域的云主机吗？

不能。EIP和要绑定的云资源必须处于同一地域，跨地域绑定后公网流量无法按预期路径转发。申请EIP之前先确认目标云主机所在的地域。

问：一块EIP能同时绑定多台云主机吗？

不能。一块EIP同一时间只能绑定一个云资源。如果需要多台云主机共享一个公网出口，应使用NAT网关配置SNAT规则。

问：EIP显示“已绑定”，安全组也放行了端口，为什么公网还是访问不了？

按顺序检查三件事：实例操作系统内部的防火墙是否放行、云主机的默认路由是否指向VPC网关、网络ACL是否处于开启状态且规则顺序没有形成隐式拒绝。三者中任何一层拦截都会导致公网不可达。

问：天翼云安全组的端口范围应该怎么写？

天翼云要求写成“起始端口/结束端口”的格式，例如“22/22”或“80/80”，而不是用连字符连接起止值。

问：EIP申请后暂时不绑定，会一直保留吗？

不一定。未绑定实例且带宽计费方式为按流量的EIP通常有保留时限，超期后系统会自动释放。建议资源就绪后再申请并立即绑定，避免IP被回收后需要重新申请和重新配置解析。

问：什么场景适合用NAT网关代替逐台绑定EIP？

当VPC内多台云主机需要访问公网、但不需要每台都拥有独立公网入口时，NAT网关加SNAT规则可以让这些机器共享一个EIP出口，减少公网地址数量和管理复杂度。