配额和限制
本文档列出了适用于 Cloud NAT 的配额和限制。
给定的配额或限制按资源计算。配额和限制可能按项目、网络、区域或其他资源来设置。NAT IP 地址 且这些地址不能在 NAT 网关之间共享。如需更改配额，请参阅申请额外的配额。
Google Cloud 使用配额来帮助确保公平性并减少资源使用和可用性的激增。配额用于限制您的 Google Cloud 项目可使用的 Google Cloud 资源的数量。配额适用于一系列资源类型，包括硬件、软件和网络组件。例如，配额可以限制对某项服务的 API 调用次数、您的项目并发使用的负载均衡器数量或者您可以创建的项目数量。配额可以防止服务过载，从而保护 Google Cloud 用户社区。配额还可帮助您管理自己的 Google Cloud 资源。
Cloud 配额系统执行以下操作：
- 监控 Google Cloud 产品和服务的消耗情况
- 限制这些资源的消耗量
- 提供请求更改配额值的方法。
在大多数情况下，当您尝试消耗的资源超出其配额允许的范围时，系统会阻止对资源的访问，并且您尝试执行的任务会失败。
配额通常在 Google Cloud 项目级层应用。您在一个项目中使用资源不会影响您在另一个项目中的可用配额。在 Google Cloud 项目中，配额在所有应用和 IP 地址间共享。
Cloud NAT 资源也有限制。这些限制与配额系统无关。除非另有说明，否则无法更改限制。
配额
如需了解影响 Cloud NAT 的配额，请参阅 Cloud Router 配额页面。
限制
| 设限项 | 限额 | 备注 |
|---|---|---|
| NAT 网关数 | 每个 Cloud Router 路由器 50 个 | 每个网络最多支持 5 个 Cloud Router 实例 所以每个区域最多可以有 250 个 Cloud NAT 网关 每个虚拟私有云 (VPC) 网络所在的区域。如需了解 Cloud Router 配额，请参阅 Cloud Router 文档。 |
| 每个网关的 NAT IP 地址 | 300 个人工输入的地址 300 个自动分配的地址 |
每个 NAT 网关可以拥有的外部 IP 地址的数量上限。但是，此值取决于静态 IP 地址 和使用中的 IP 地址 VPC 每个项目配额。 |
| 子网范围 | 每个网关 50 个 | 配置自定义子网范围列表时，可与网关关联的子网数上限。子网范围的数量可能超过该限值，因为每个子网可以具有一个主要 IPv4 范围以及一个或多个次要范围。 如果您已经为所有子网或主要子网的主要范围配置了 NAT 和次要范围，则此限制不适用。 |
| NAT 规则 | 每个网关 50 个 | 如果超出此限制，API 将返回错误。 |
| 每条 NAT 规则的活跃 IP 地址数 | 300 | |
| Private NAT 子网 | 每个网关 50 个 | 可预留用作 Private NAT 来源 NAT 范围的子网数上限。这些子网的用途为 PRIVATE_NAT。 |
| 每条规则的 CEL 表达式中的字符 | 2048 | |
| 每个 Cloud Router 路由器实例的 CEL 表达式中的字符 | 50 万 |
限制
一些服务器（例如旧式 DNS 服务器）要求从 64000 个 UDP 端口中随机选择端口，以增强安全性。由于 Cloud NAT 会随机选择一个 64 个端口之一或用户配置的端口数量，则最好将 向这些服务器分配外部 IP 地址，而不是使用 Cloud NAT。 由于 Cloud NAT 不允许从外部发起的连接， 但大多数服务器仍然需要使用外部 IP 地址。
Cloud NAT 不适用于旧版网络。
Cloud NAT 不提供应用级网关 (ALG) 功能 - Cloud NAT 不会更新 IP 地址和端口 （如 FTP 和 SIP。
Cloud NAT 网关为每个容器实现 NAT 连接跟踪表， 用于提供 NAT 服务的虚拟机网络接口。每个 中的条目 连接跟踪表是网关支持的 5 元组哈希。 协议
每个连接跟踪表中的条目存在时间约为 相关的 NAT 超时。如需详细了解 NAT 超时，请参阅 NAT 超时。
所有 NAT 的连接跟踪表条目数上限 为 65,535 个。 此上限涵盖所有协议的总计连接数， 网关支持的网络
设置较短的空闲连接超时值可能不起作用。
系统会每 30 秒检查一次 NAT 映射是否存在过期和配置更改情况，因此，即使使用 5 秒钟的连接超时值，连接也可能会在长达 30 秒的时间内不可用（这属于最坏的情况，平均时长为 15 秒）。
管理配额
出于各种原因，Cloud NAT 会对资源用量实施配额限制。例如，配额可避免出现意料之外的用量突增，从而为 Google Cloud 用户社区提供保护。配额还可帮助正在通过免费层级探索 Google Cloud 的用户避免中断试用。
所有项目在开始时都具有相同的配额，您可以通过申请更多配额来进行更改。根据您使用产品的情况，一些配额可能会自动增加。
权限
如需查看配额或申请增加配额，Identity and Access Management (IAM) 主账号需要具备以下某个角色：
| 任务 | 所需角色 |
|---|---|
| 检查项目的配额 | 以下之一：
|
| 修改配额，申请更多配额 | 以下之一：
|
查看您的配额
控制台
- 在 Google Cloud 控制台中，转到配额页面。
- 如需搜索要更新的配额，请使用过滤表。 如果您不知道配额的名称，请使用此页面上的链接。
gcloud
使用 Google Cloud CLI 运行以下命令来查看您的配额。请将 PROJECT_ID 替换为您自己的项目 ID。
gcloud compute project-info describe --project PROJECT_ID
如需查看您在某一区域中已使用的配额，请运行以下命令：
gcloud compute regions describe example-region
超出配额时引发的错误
如果在发出 gcloud 命令时超过了配额，gcloud 会显示一条 quota exceeded 错误消息，并返回退出代码 1。
如果在发出 API 请求时超出了配额，Google Cloud 会返回以下 HTTP 状态代码：413 Request Entity Too Large。
申请更多配额
如需增加或减少大多数配额，请使用 Google Cloud 控制台。如需了解详情，请参阅申请更高的配额。
控制台
- 在 Google Cloud 控制台中，转到配额页面。
- 在配额页面上，选择您要更改的配额。
- 点击位于页面顶部的修改配额。
- 在名称部分，输入您的名称。
- 可选：在手机部分，输入手机号码。
- 提交您的申请。 配额申请需要 24 到 48 小时才能完成处理。
资源可用性
每个配额代表您可以创建的特定类型资源的数量上限（如果该资源可用）。请务必注意，配额不保证资源可用性。即使您具有可用配额，如果新资源不可用，您也无法创建新资源。
例如，您的配额可能足以在 us-central1 区域中创建新的区域性外部 IP 地址。但是，如果该区域中没有可用的外部 IP 地址，则无法执行此操作。区域级资源可用性也会影响您能否创建新资源。
导致资源在整个区域不可用的情况非常罕见。但是，地区内的资源有时可能会耗尽，通常不会影响资源类型的服务等级协议 (SLA)。如需了解详情，请参阅资源的相关 SLA。