此图显示了从安全公共子网中的公共 VM 到通过 NAT 网关的网络防火墙的南北出站流量。它包括一个安全 VCN，但您也可以具有多个安全 VCN。

受保护 VCN (10.10.0.0/16) 包含以下组件：

• 防火墙子网 (10.10.1.0/24)，包括其网络防火墙和防火墙 IP 地址。确保防火墙子网位于公共子网中，因为我们正在保护公共子网负载。您仍然可以使用相同的防火墙来保护西北南的流量，但如果您要保护公共负载并希望使用互联网网关入口路由功能，则必须在公共子网中部署防火墙。
• 安全的专用子网 (10.10.0.0/24)，其中包括应用程序工作负载。此子网中有一个具有 10.10.0.10 专用 IP 的 VM。
• 用于支持出站 Internet 连接的 NAT 网关。
• 路由表与防火墙子网、受保护的专用子网和 NAT 网关关联，确保流量通过网络防火墙进行路由。

使用 NAT 网关从虚拟机到互联网的南北通信流如下：

1. 从工作负荷 VM (10.10.0.10) 移至 Internet 目标 (8.8.8.8) 的通信通过安全子网路由表（目标 0.0.0.0/0）进行路由。
2. 从安全子网路由表传入基于 Internet 目标的网络防火墙的 IP 地址。
3. 防火墙根据防火墙策略检查并保护流量。检查和保护后，通过防火墙子网路由表（目标 0.0.0.0/0）从防火墙 IP 地址退出通信。
4. 防火墙子网路由表将流量发送到 NAT 网关和 Internet 目标。
5. 流量来自互联网到 NAT 网关，也会遵循相同的路径，因为每个路由表都存在对称路由。