代理IP绑定EIP后SNAT不生效：先确认出口链路，再查绑定位置

悟空代理IP 2026-10-22 6

给代理节点绑定 EIP 后，外部看到的出口地址仍然不是预期值，往往不是 EIP 本身失效，而是流量没有经过对应的 SNAT 规则。云主机网卡、路由表、安全组和代理进程的出口位置，必须连成一条完整链路。

先画出真实的出网路径

一条典型链路可能是：代理进程监听端口 → 实例网卡 → 子网路由 → NAT 或 SNAT 规则 → 公网 EIP → 目标站点。EIP 绑定在网卡或 NAT 网关上，并不自动意味着所有流量都会使用它。

先确认代理进程实际使用哪块网卡、哪个源地址，再查该源地址是否命中 SNAT 规则。多网卡实例尤其容易出现管理流量和代理流量走不同出口的情况。

控制台显示 EIP 已绑定，只能证明资源关系存在。还要分别验证：实例是否能访问公网、SNAT 规则是否启用、路由是否指向正确网关，以及目标请求是否真的从代理进程发出。

可以在已授权的测试接口上记录出口 IP，并同时记录实例、端口和时间。若实例直接请求已经显示预期 EIP，而经代理请求却不同，问题集中在代理监听地址、进程路由或 SNAT 匹配条件，不必继续重复解绑绑定。

SNAT 常按子网、源地址、端口或路由表关联。把规则只写给管理网卡，却让代理流量从另一网卡发出，结果就是规则看似存在但没有命中。检查规则时逐项核对源网段、目标范围、优先级和关联的 NAT 网关。

如果同时存在自动公网 IP、共享 NAT 和自建 SNAT，优先级可能由云平台路由或网关策略决定。不要只看 EIP 资源页，要从流量实际经过的网关回溯规则。

默认路由指向错误网关时，流量可能直接走另一条出口，或者根本无法建立连接。安全组和网络 ACL 则可能允许实例管理流量，却阻断代理端口或返回流量。排查时分别测试 DNS、TCP 建连和 HTTPS 请求，不要把“能解析”当成“能通过代理”。

源地址校验、反向路径检查和策略路由也可能让多网卡实例出现间歇性失败。建议临时保留一条明确默认路由和一条代理出口，验证完成后再恢复复杂策略。

代理程序可能绑定在 127.0.0.1、内网地址或指定网卡上。监听地址决定谁能使用代理，但不一定决定出站源地址。检查进程的出站连接和系统路由，确认它没有通过自带上游代理、容器网络或独立 VPN 绕开预期 SNAT。

配置调整后，一次只改变一个环节：先固定实例和目标接口，再更换 EIP 或 SNAT 规则，最后比较出口 IP 与连接日志。通过代理转发流量应仅用于已获授权的业务；记录完整链路后，后续更换 EIP 或扩容节点时才能快速复用排查结论。