代理IP SNAT指定出口EIP：固定的是哪一段地址？

云服务器通过 NAT 网关连接代理服务时，SNAT 指定出口 EIP 固定的是“云服务器到代理入口”这一段的公网来源。目标网站看到的代理出口，则由代理服务的转发链路决定。这两个地址可能完全不同。

如果你的问题是代理入口的来源白名单不稳定，这项配置可能有用；如果希望目标网站始终看到同一个代理 IP，仅调整云侧 SNAT 并不能做到。

用一个两段连接的例子说清楚

假设一台自有业务服务器经过 NAT 网关访问获授权的代理入口，NAT 上绑定了 EIP A 和 EIP B，代理入口只允许 A；代理服务随后使用地址 C 请求自有测试站点。这是示意场景，不是真实客户案例。

服务器从 A 出去时，入口能识别允许的来源；如果从 B 出去，则可能在来源认证环节被拒绝。给这台服务器指定 A，解决的是这一处来源不一致。测试站点仍可能看到 C，不能据此判断 SNAT 没有生效。

同理，在已经使用代理的浏览器中打开公网 IP 查询页，通常测到的是后半段地址。它不是核对云侧 SNAT 的合适证据。应在自己有权限查看的代理入口接入记录中，核对本次连接的来源；没有该记录时，可向服务方确认其可提供的来源诊断方式。

“选了 EIP”与“只用一个 EIP”不同

以腾讯云公网 NAT 为例，SNAT 规则可以按云服务器或子网等范围指定出网 EIP，前提是对应路由指向该网关；规则也支持选择多个 EIP。因此，要让这一段只使用一个批准的地址，规则里的 EIP 集合就应与这个单地址要求一致，而非仅确认 A 被勾选。

未配置规则的资源如何出网，还取决于“云资源通过 NAT 网关访问公网规则限制”开关：关闭时可使用网关绑定的 EIP；开启时，未配置规则的资源不能经此网关出网。不能把“没有规则就随机出网”当成所有环境都适用的结论。依据：腾讯云管理 SNAT 规则。

对一个应用的来源认证问题，不宜直接把整个共享子网都改成单出口。需要先明确实际发起连接的是哪台实例，以及其他实例是否也依赖现有路径。单地址是认证需求，不是所有工作负载都适合的统一网络设计。

变更后，在哪里判断成功？

判断标准可以很具体：从实际业务实例新建一条到代理入口的授权测试连接，入口记录显示来源为批准的 A，并且来源认证通过。随后检查业务请求是否完成；若失败发生在代理到目标的后半段，就不应继续修改云侧 SNAT 来猜测解决。

已有长连接不适合作为唯一验收样本。腾讯云文档提示，修改规则中的公网 IP 可能中断既有连接；解绑规则唯一的 EIP 还会联动删除该规则。安排变更时要考虑重连和规则生命周期，不能把“今天配置完成”理解成以后解绑或迁移都不会影响来源。

如果入口实际看到了 A 但仍未放行，下一步是核对该地址是否登记在当前使用的产品或账号下，而不是增加更多 EIP。多环境来源地址的梳理可参阅代理IP多出口白名单漏配。