AFRINIC 证据与云 NAT 对公共工作负载身份的控制

架构审查从一张看起来令人欣慰的现代图表开始。一家服务非洲商户的支付公司正在将其应用资产迁移到私有子网中。客户数据库不会放在公共地址上。工作节点将通过私有链接与托管服务通信。API 层将位于负载均衡器后面。构建系统、欺诈引擎、计费作业和结算工作人员将通过托管 NAT 网关访问公共互联网。董事会期待通常的云论调：更少的暴露服务器、更好的隔离、更快的部署和更清晰的灾难恢复故事。

然后财务负责人提出了一个更小的问题。公司出站流量将使用哪个公共身份？

这个问题改变了房间里的气氛。工程师可以在一个下午内设计出私有子网。他们可以附加 NAT 网关、分配外部 IP、添加路由表、启用日志并通过平台管理的出口路由流量。但该公司有银行合作伙伴允许列表源地址、根据来源信誉评分的支付提供商、记录供应商端点的公共机构、将出口身份视为信任一部分的欺诈供应商，以及希望知道谁可以更改路由的审计师。应用程序越来越不暴露于互联网，但其出站身份却越来越依赖云平台。

云 NAT 通常被当作便利来销售。它允许没有公共 IPv4 的资源发起出站连接并接收响应。在 IPv4 稀缺的世界里，它也是一个工业定价机器。它将翻译、外部地址、网关小时、每 GB 处理、日志、遥测、数据传输、账户架构和路由默认值转化为可计费的平台原语。公司可能减少暴露的公共端点数，但它并没有停止购买公共互联网身份。它以一种集中、计量和由供应商控制的形式购买这种身份。

AFRINIC 对于这个云架构图很重要，因为它是非洲和印度洋地区的区域互联网注册机构，并且其区域于 2020 年 1 月 13 日进入了 IPv4 耗尽软着陆第二阶段。在该制度下，普通请求被限制在 /24 到 /22 之间。这种稀缺性并不会创造云 NAT。AWS、Azure、Google Cloud 和其他平台无论如何都会提供托管出口产品。稀缺性改变了谈判地位。它使得独立、可移植的公共 IPv4 更难获得、更难融资，并且当公司不想从平台租赁所有公共身份时更为重要。

AFRINIC 还带来了注册层的不确定性。公开报道描述了所谓非洲 IPv4 地址盗用、Cloud Innovation 争议、2021 年银行账户冻结、毛里求斯法院诉讼、接管、2025 年选举争议、后来的董事会恢复报道、ICANN 在清算背景下的干预以及持续诉讼。这些都是有争议的公开事实，应视为风险背景，而不是对每个主张的最终裁决。经济观点更为狭窄。当非洲管理地址资源背后的记录层被认为不确定时，原本可能带来、租赁或控制可移植公共 IPv4 的公司变得更加依赖云提供商的 NAT、外部 IP 池和平台计费系统。

因此，论点不是云 NAT 不好。私有子网和托管 NAT 通常是明智的。论点是云 NAT 不仅仅是一种网络功能。在 IPv4 稀缺的情况下，它把公共互联网身份变成了由平台控制的计量出口功能。注册局的正确角色是无聊的账本确定性：可预测的记录、授权使用证据、转让和租赁清晰度、反向 DNS、路由证据和连续性服务。这不是云产业政策。如果账本薄弱，平台权力就会增长，而无需宣布自己是权力。

架构审查从出口地址开始

云架构图将最重要的公共地址放在了错误的位置。它们通常把注意力放在入站流量上：负载均衡器、API 网关、Web 应用防火墙、内容交付前端。这些是可见的。它们携带证书、域名、速率限制和公共客户承诺。出站流量看起来不那么引人注目。它只是一个从私有子网到 NAT 网关的路由表条目、子网模板中的一个复选框、一条出站规则、一个日志目的地和一个外部 IP 分配。

然而，对于一家受监管的公司来说，出站地址可能比入站地址更具政治重要性。这是银行在调用结算 API 时看到的地址。这是欺诈供应商在评分作业检索数据时看到的地址。这是税务机构或公共服务合作伙伴可能在采购文件中记录的地址。这是当软件更新、数据同步、制裁筛查、客户消息、支付回调或运营监控离开私有网络时出现在安全日志中的地址。如果这个身份发生变化，公司可能需要更新允许列表、风险文件、合同和事件响应手册。

迁往私有子网并不会消除这个身份。它将这个身份集中起来。没有公共 IPv4 的虚拟机或容器舰队仍然可以共享更少的公共出口地址。这就是架构看起来优雅的原因之一。公司暴露更少的公共表面。它可以扩展计算节点而无需为每个实例分配公共地址。它可以在不要求每个合作伙伴更新防火墙的情况下修补和替换工作负载。公共身份变成了一个管理的扼流点。

扼流点是有用的，但它也是一个控制点。谁控制了 NAT 网关、外部 IP、路由表、日志策略和云账户，谁就控制了公司出站流量的公共身份。这种权力不是抽象的。错误配置的路由可以通过错误的出口地址发送生产作业。删除的网关可能会中断对外部供应商的访问。日志策略的变化可能使事件重建更加困难。云账户的分拆可能改变拥有出口点的团队。区域的迁移可能迫使新地址进入银行和公共部门的允许列表。

过去的问题是一个服务器是否有公共 IPv4 地址。云的问题是，谁为私有资产打包公共可达性。答案通常是平台。提供商提供托管 NAT 服务、外部 IP 地址、路由构造、指标、日志、成本类别和账户边界。客户决定，但决定是在一个菜单内做出的，这个菜单的默认值和价格由提供商编写。

这就是为什么开场的场景属于董事会级别的架构审查，而不是路由器手册。公司可能认为它是在购买计算和安全。它也在选择将计量和调节其公共互联网身份的机构。如果它拥有或控制可移植的 IPv4，它就拥有一种谈判地位。如果它依赖提供商拥有的出口地址，它就拥有另一种。如果 AFRINIC 地区的资源带有额外的不确定性，那么在任何人说到锁定之前，提供商控制的选项就变得更有吸引力。