AWS 流量账单为什么比机器贵：出网、跨区和 CloudFront
AWS 的实例单价往往是最容易被盯住的那一行，m5.large 多少钱、t3.medium 多少钱，一眼就能比价。但真正让月度账单失控的，通常不是机器本身，而是机器「说话」的成本：数据出去一次、跨一个区、绕一圈 NAT，都会按 GB 计费。等月底打开账单，你会发现流量那一栏比实例还高。
常见贵项
先看一张对照表，把「谁在烧钱」和「怎么先止血」放在一起：
| 项 | 谁在烧钱 | 先做什么 |
|---|---|---|
| 出网到 Internet | 用户下载、未走 CDN 的视频/包 | 静态资源上 CDN，大文件走对象存储+CDN |
| NAT Gateway 处理+流量 | 私有子网更新、拉镜像每 GB 都过 NAT | 给私有子网配 VPC Endpoint，镜像走同区仓库 |
| 跨区复制 | 多区域备份、没必要的跨 region API | 只复制真正需要的桶和数据集 |
| 跨 AZ | 架构正确但流量大时也会显现 | 高频互访的服务尽量同 AZ 部署 |
出网到 Internet 是最直观的一项：用户每下载一个安装包、每看一段没走 CDN 的视频，都在按 GB 计费。NAT Gateway 更隐蔽，它同时收「处理费」和「流量费」，私有子网里的机器更新系统、拉 Docker 镜像，每一 GB 都要穿过 NAT。跨区复制常见于多区域备份，如果只是「图个安心」把整个桶复制到另一个 region，费用会随数据量线性上涨。跨 AZ 流量在架构上是正确的，但流量一大，账单上也会显现出来。
静态站、下载盘这类场景，优先上 CloudFront，把回源次数压下来。费用控制上，先用账单告警把预算钉死，超阈值就通知，别等出账才反应。
半夜突刺还有一种可能：安全组、密钥、S3 公共桶被人扫到，具体排查见 S3 公共访问。
可执行步骤
- 打开 Cost Explorer，按 Usage Type 分组。把「Data Transfer Out」「NAT Gateway」单独拉出来看趋势，找出是哪一天、哪个资源在涨。
- 给静态资源加 CDN。把图片、JS、CSS、安装包放到 CloudFront 后面，缓存命中率上去，回源出网就下来。
- 给私有子网配 VPC Endpoint。S3、ECR、SSM 这些走 Gateway 或 Interface Endpoint，不再绕 NAT。
- 检查跨区复制规则。只保留必要的桶和前缀，删掉「全量复制」的默认配置。
- 设置预算告警。按账单告警配好阈值，出账前就能收到提醒。
- 定期审计公共访问。参考 S3 公共访问，把不该公开的桶关掉。
常见问题
AWS 流量账单为什么比机器贵需要注意什么？
操作前先确认账号属于AWS对应站点，并备份关键数据或记录当前配置。按本文步骤完成后做一次验证。需要账号可申请账号，续费见自助充值。
出错后如何快速回滚或止损？
优先恢复到变更前的快照、镜像或原规则；若涉及计费或销毁类操作，先停止继续变更，再按官方控制台状态与工单路径处理。不确定时不要反复点击高危按钮。
没有对应云账号时怎么开始？
可先通过申请账号开通国际云账号，再用自助充值完成额度准备。新账号建议先完成 MFA、访问密钥收敛与费用告警，再部署业务。
