AWS Storage Gateway 混合云存储网关实战：File/Volume/Tape 三类网关从 0 搭建与成本控制

📅 2026-10-03 · ChengziCloud - 一站式云端服务

Meta Description: AWS Storage Gateway 混合云存储网关实战教程：S3 File Gateway / Volume Gateway / Tape Gateway 三类网关选型对比、activate-gateway CLI 全流程、NFS 挂载、缓存调优、真实单价表与 $125 写入封顶省钱攻略。

> 关键词：AWS Storage Gateway、AWS 存储网关、S3 File Gateway、Volume Gateway、Tape Gateway、混合云存储、NFS 挂载 S3、refresh-cache、AWS 免费套餐、AWS 国际版

很多团队上云卡在同一个地方：应用还跑在本地机房，但数据想放到云上，同时又不能接受「每次读写都走公网、延迟几百毫秒」。全量搬到云上一时半会做不到，继续用本地 NAS 又享受不到云存储的弹性与低成本。AWS Storage Gateway（存储网关）就是为这个夹缝场景设计的：它是一台跑在你本地（VMware / Hyper-V / KVM）或云上（EC2）的虚拟机，对外提供标准的 NFS / SMB / iSCSI 接口，对内把数据落到 S3、FSx 或 Glacier，本地只保留热数据的缓存。

一句话决策口诀先给出：本地应用要低延迟长期读写云存储，用 S3 File Gateway；要块存储（iSCSI 卷），用 Volume Gateway；要替换物理磁带库做归档，用 Tape Gateway；要 AD 集成的 Windows 共享，用 FSx File Gateway。只想一次性把文件搬上去、之后不再挂载的，别用网关，用 DataSync。

本文基于 AWS 官方定价页（2026 年 10 月核对，区域为美国东部俄亥俄 us-east-2）与官方文档，从选型、价格、实操到调优一次讲清。

一、先划边界：Storage Gateway 不是 DataSync，也不是 Snowball

「把数据弄到云上」这件事 AWS 有一堆服务，选错工具比配错参数更费钱。先看这张边界表，判断你到底该用哪一个：

| 你的真实需求 | 该用谁 | 为什么 | |---|---|---| | 本地应用要持续、低延迟读写云存储（像用本地盘一样） | Storage Gateway | 提供 NFS/SMB/iSCSI 协议 + 本地缓存，是「长期共存」方案 | | 一次性或定时把文件批量搬上去 / 双向同步，搬完不再挂载 | AWS DataSync | 专门的迁移/同步服务，按 GB 计费，无本地代理缓存语义 | | 几十 TB 到 PB 级、带宽不够，愿意寄硬盘 | AWS Snowball | 物理设备离线传输，绕开网络瓶颈 | | 应用全部在云上，只要一个共享文件系统 | Amazon EFS / FSx | 纯云文件系统，无需本地网关 | | 公网直传 S3，只想加速上传 | S3 Transfer Acceleration | 走 AWS 边缘节点回源，按 GB 加价 | | 只是缺一条网络通道（不是缺数据服务） | Direct Connect / VPN | 解决的是链路，不是文件语义 |

最容易踩的坑：有人先买了 Storage Gateway，结果发现自己只是「一次性迁移 30 TB」，之后本地根本不需要继续访问这些文件——那笔网关实例费（EC2 或硬件）就白花了，正确选择应是 DataSync。反过来，如果你的应用天天要读这些文件、还要求毫秒级延迟，那 DataSync 搬完你还是没有本地访问入口，必须上网关。

网关和站内的文件存储篇（EFS / FSx）是两层：EFS/FSx 是「云上的文件层」，Storage Gateway 是「把云存储接到你机房里的接入层」，两者不是替代关系，而是可以叠着用的。

二、四类网关怎么选：一张表看清

AWS Storage Gateway 实际上有四个形态，别被「一个产品」的名字骗了：

| 网关类型 | 前端协议 | 后端落地 | 典型场景 | 网关实例费 | |---|---|---|---|---| | S3 File Gateway | NFS v3/v4.1、SMB | Amazon S3 | 本地 NAS 直接落 S3、备份归档、混合云文件共享 | 无（跑 EC2 时另付 EC2） | | FSx File Gateway | SMB | Amazon FSx for Windows | 需要 Windows AD 集成、用户主目录、组策略 | $0.69/小时 | | Volume Gateway（缓存模式） | iSCSI | S3 为主副本，本地留缓存 | 低延迟访问 + 云上快照、整机迁移 | 无 | | Volume Gateway（存储模式） | iSCSI | 本地为主副本 + 异步 EBS 快照 | 本地全量低延迟 + 云备份容灾 | 无 | | Tape Gateway | iSCSI（VTL 虚拟磁带库） | S3 + S3 Glacier | 替换物理磁带库、合规长期归档 | 无 |

选型时按这个顺序问自己：

1. 是文件还是块？ 文件（共享目录、NFS/SMB）→ File Gateway；块（要挂成磁盘卷、跑数据库或 VM 镜像）→ Volume Gateway。 2. 要不要 Windows AD？ 要 → FSx File Gateway（但注意它的 $0.69/小时）；只是普通 SMB 共享 → S3 File Gateway 就够。 3. 是活跃数据还是归档？ 归档、且现有备份软件走磁带流程 → Tape Gateway；活跃 → File / Volume。 4. 本地缓存还是本地主存？ 缓存模式省本地容量、成本低；存储模式数据先在本地、延迟最低但本地要买够盘。

对绝大多数中小团队，S3 File Gateway 是性价比最高的起点：无网关实例费、本地只留缓存、后端直接是 S3（生命周期规则、版本控制、智能分层全部可用）。FSx File Gateway 那 $0.69/小时换算成月就是 503.70 美元（$0.69 × 730），是全套网关里最贵的一项，非 Windows AD 强需求不建议上。

三、价格与免费额度：写入费有个反直觉的封顶

Storage Gateway 的计费分三层：存储费（数据实际存在哪就按哪计费）、写入费（网关把数据写进 AWS 的流量费）、取回费（只对归档类磁带取回时收）。网关软件本身在本地部署（VMware/Hyper-V/KVM）没有许可费，跑在 EC2 上则另付 EC2 与 EBS 账单。

以下是官方定价页逐项原文（2026 年 10 月核对，区域 us-east-2）：

| 网关类型 | 存储费 | 写入费 | 额外费用 | |---|---|---|---| | S3 File Gateway | 按 S3 对象计费 | $0.01/GB（单网关每月封顶 $125） | S3 请求费、数据传出费 | | FSx File Gateway | 按 FSx for Windows 容量 | 同上封顶口径 | 网关费 $0.69/小时 | | Volume Gateway | 卷存储 $0.023/GB-月 | $0.01/GB（封顶口径同上） | EBS 快照费（快照/卷删除免费） | | Tape Gateway | 虚拟磁带 $0.023/GB-月 | $0.01/GB | 见下方归档分层 |

Tape Gateway 的归档分层（省钱关键）：

| 存储位置 | 单价 | 取回费 | 提前删除罚则 | |---|---|---|---| | 虚拟磁带（本地缓存层，落 S3） | $0.023/GB-月 | — | — | | 归档到 S3 Glacier 灵活检索 | $0.0036/GB-月 | $0.01/GB | 90 天内删除按 $0.0108/GB 计费 | | 归档到 S3 Glacier Deep Archive | $0.00099/GB-月 | $0.02/GB | 180 天内删除按月 $0.00099/GB 计费 | | 在两层归档间移动 | — | $0.0032/GB（FR→Deep Archive） | — |

三条必须记住的计价规则：

1. 写入费有一个单网关每月 $125 的封顶（官方脚注原文：Up to a maximum of $125.00 per gateway per month）。这条封顶让「首传量越大、单位成本越低」——与你「传得多一定贵」的直觉完全相反（详见第四节测算）。 2. 每个账号前 100 GB 写入 AWS 的数据免费（官方脚注：The first 100 GB written to AWS per account is free）。这是网关自带的永久免费额度，不占 AWS 免费计划的 $200 赠金。 3. 同区域 EC2 网关 → Storage Gateway 服务的出流量是 $0.00/GB。如果你把网关直接部署在 EC2、走云内访问 S3，就别让它绕公网，同区流量免费。

> 免费额度小结：Storage Gateway 本身不在「30+ 永远免费」清单里，但「前 100 GB 写入免费」是长期有效的。除此之外只能靠账号级的 2026 免费计划——最高 $200（注册赠金 $100 + 探索基础服务最多 $100），有效期 6 个月或额度耗尽先到者为准，额度需在 12 个月内用完。特别提醒：加入 AWS Organizations 或创建 Control Tower Landing Zone 会让免费计划立即失效并自动转付费计划，这一点在团队账号规划时务必先想清楚。官方定价页本身也没有 with AWS Free Tier 这一列，说明网关没有按月循环的免费额度。

另外提醒一句：网关会用到 CloudWatch Logs / Metrics / Events，如果你开了健康通知和审计日志，这些是按 CloudWatch 标准价另计的——不用的时候记得关掉日志，否则会多出一笔看起来「莫名其妙」的费用。

四、实战：从 0 部署一个 S3 File Gateway

下面以「部署在 EC2 上的 S3 File Gateway」为例，把从拿到激活密钥到 NFS 挂载成功的全流程走一遍。本地 VMware/Hyper-V/KVM 部署的差别只在第一步（去官网下载网关 VM 镜像并导入），后面的激活与配置命令完全一致。

4.1 前置准备

- 一台网关主机：EC2 推荐 m5.xlarge 及以上（4 vCPU / 16 GiB），本地则需给足内存与两块专用磁盘。 - 两块专用磁盘：一块做「缓存盘」（Cache，存热数据）、一块做「上传缓冲盘」（Upload Buffer，排队待上传的写请求）。二者必须是网关专盘，不能被其他用途占用。 - 一个 S3 桶，以及一个允许网关访问 S3 的 IAM 角色。

4.2 激活网关

拿到网关主机的 IP（就是激活密钥），执行：

`bash // 激活网关，activation-key 填网关主机 IP，gateway-type 指定 FILE_S3 aws storagegateway activate-gateway \ --activation-key 10.0.0.10 \ --gateway-name MyS3FileGateway \ --gateway-timezone GMT-8:00 \ --gateway-region us-east-1 \ --gateway-type FILE_S3 `

--gateway-type 的取值按网关形态选择：FILE_S3（S3 文件网关）、FILE_FSX_SMB（FSx 文件网关）、CACHED（缓存卷网关）、STORED（存储卷网关）、VTL（磁带网关）。返回结果里的 GatewayARN 后面每一步都要用，记下来。

4.3 配置本地磁盘（顺序有坑）

先用 list-local-disks 看到可用的本地磁盘 ID：

`bash aws storagegateway list-local-disks --gateway-arn arn:aws:storagegateway:us-east-1:123456789012:gateway/sgw-XXXXXXXX `

然后把其中一块配成缓存盘、另一块配成上传缓冲：

`bash // 配缓存盘（读缓存） aws storagegateway add-cache \ --gateway-arn arn:aws:storagegateway:us-east-1:123456789012:gateway/sgw-XXXXXXXX \ --disk-ids /dev/nvme1n1

// 配上传缓冲（写队列） aws storagegateway add-upload-buffer \ --gateway-arn arn:aws:storagegateway:us-east-1:123456789012:gateway/sgw-XXXXXXXX \ --disk-ids /dev/nvme2n1 `

顺序坑（官方明确警告）：add-cache 与 add-upload-buffer 必须在同一个配置批次里配齐。如果只配了一个，网关处于「半配置」状态，写请求会直接失败，而界面上不一定有显眼的报错。配置完用 describe-cache 和 describe-upload-buffer 各查一次确认。

4.4 创建 NFS 文件共享并挂载

`bash // 创建 NFS 文件共享，location 指向目标 S3 桶，role 是网关访问 S3 的 IAM 角色 aws storagegateway create-nfs-file-share \ --client-token share-0001 \ --gateway-arn arn:aws:storagegateway:us-east-1:123456789012:gateway/sgw-XXXXXXXX \ --role arn:aws:iam::123456789012:role/StorageGatewayS3Role \ --location arn:aws:s3:::my-file-bucket \ --default-storage-class S3_STANDARD `

在客户端（Linux）上挂载：

`bash // 网关 IP 后面接桶名作为导出路径，/mnt/s3share 为本地挂载点 mkdir -p /mnt/s3share sudo mount -t nfs -o nolock,hard 10.0.0.10:/my-file-bucket /mnt/s3share `

挂载成功后，你在 /mnt/s3share 里 cp 一个文件，它就会经由缓存盘落到 S3 桶里；直接在控制台往桶里传一个对象，客户端也需要一次索引刷新才能看到（见下一节）。

4.5 最高频的坑：refresh-cache

桶里已经存在的对象，客户端不会自动看到。 如果你先把历史数据用 S3 控制台上传好、再挂载网关目录，会发现目录是空的——不是数据丢了，是网关的本地索引还没建立。必须手动刷新：

`bash // 桶内已有对象或新增对象后，刷新文件共享索引 aws storagegateway refresh-cache \ --file-share-arn arn:aws:storagegateway:us-east-1:123456789012:share/share-XXXXXXXX \ --folder-list "/" `

这条命令是网关运维里被误判为「数据丢失」次数最多的一条，务必写进你的运维手册。

五、成本测算：三个真实场景（us-east-1 参考价）

价格讲完必须落到账单。下面三个场景的单价全部取官方价目表，算术逐格复核过，你可以直接套自己的数据量。

场景 A：S3 File Gateway 替代本地 NAS（10 TB 热数据，网关跑在 EC2）

| 计费项 | 计算式 | 月费用 | |---|---|---| | S3 Standard 存储 | 10,240 GB × $0.023/GB-月 | $235.52 | | 网关写入费（每月新增 1 TB） | 1,024 GB × $0.01/GB | $10.24 | | EC2 网关实例（m5.xlarge） | $0.192/小时 × 730 小时 | $140.16 | | EBS gp3 缓存盘（1 TiB） | 1,024 GB × $0.08/GB-月 | $81.92 | | 合计 | | $467.84/月 |

洞察：占大头的不是存储费，而是「网关实例 + 缓存盘」这两项本地资源（合计 $222.08，接近存储费的 95%）。想省钱，优先把网关从 m5.xlarge 降到能扛住并发的最小规格、并把缓存盘压到「热数据的 10%~20%」，而不是去抠 S3 存储单价。

场景 B：Tape Gateway 做 100 TB 长期归档（网关跑在本地 KVM）

| 计费项 | 计算式 | 费用 | |---|---|---| | 归档存储（Glacier Deep Archive） | 102,400 GB × $0.00099/GB-月 | $101.38/月 | | 首传写入费（一次性） | 102,400 GB × $0.01/GB = $1,024，触顶封顶 | $125（一次性） | | 网关软件许可（本地部署） | — | $0 |

合计：首月 $226.38，之后稳定在 $101.38/月。把 100 TB 放进 Deep Archive 每月只要一百美元出头，这是物理磁带库很难做到的量级。

首传写入费封顶的威力（全文最值钱的一张表）

因为写入费有「单网关每月 $125 封顶」这条规则，首传量越大，单位写入成本反而越低：

| 首传数据量 | 按 $0.01/GB 应付 | 封顶实付 | 节省金额 | 实际降幅 | |---|---|---|---|---| | 10 TB | $102.40 | $102.40 | $0 | 0%（未触顶） | | 25 TB | $256.00 | $125.00 | $131.00 | 51.2% | | 50 TB | $512.00 | $125.00 | $387.00 | 75.6% | | 100 TB | $1,024.00 | $125.00 | $899.00 | 87.8% |

可执行结论：如果你有一批历史数据要经网关写入，尽量集中在同一个自然月内一次性传完，触顶后写再多也只收 $125；如果拉长到 3 个月传完，就要付 3 次封顶（最多 $375）。这条规则和「用量越大越贵」的本能完全相反，是网关迁移预算里最容易算错的一格。

额外提醒：FSx File Gateway 的网关费有多贵

FSx File Gateway 是全套网关里唯一收「网关实例费」的形态：$0.69/小时 × 730 小时 = $503.70/月，一年就是 $6,044.40。如果你的需求只是「普通 SMB 共享 + 后端落 S3」，用 S3 File Gateway 可以省掉这整笔网关费——除非你确实需要 Windows AD 域集成和组策略，否则别为用不上的功能买单。

六、性能与语义：POSIX 与对象存储的六个差异

Storage Gateway 最大的认知陷阱，是把它当成「一块普通网盘」。它其实是在对象存储上模拟文件系统，这层模拟有代价。下面六个差异决定了你的应用能不能无痛迁移：

| 能力 | 本地 POSIX/NFS | 对象存储（S3） | 网关的代价 | |---|---|---|---| | 重命名 | 原子 rename()，O(1) | 无 rename，只能 Copy + Delete | 目录级重命名退化为逐对象复制，非常慢 | | 追加写 | O_APPEND 直接追加 | 对象不可变，需重传整个对象 | 日志、追加写文件是性能杀手 | | 文件锁 | flock / fcntl 原生 | 无原生文件锁 | 多客户端同写会丢更新，只能应用层串行 | | 硬/软链接 | 原生支持 | 不支持 | 硬链接降级为独立副本，容量会膨胀 | | 权限 | UID/GID/mode | 桶策略 + IAM/ACL | 映射策略不统一，迁后权限容易全乱 | | 目录 | 真实目录项 | key 前缀 | 空目录、目录 mtime 语义不严格 |

两条配套铁律：小文件是网关的天敌——每个 1 KB 文件的每次读写都是一次完整的 API 调用，几百万小文件会把请求费和延迟一起打爆，小文件先打包（tar/zip）再上传；不要拿网关跑数据库——随机 IO 加上 fsync 语义丢给对象存储，性能和正确性会双双崩掉。

七、缓存调优：三个参数决定成败

网关跑得好不好，九成取决于三个本地资源的分配。生产经验值如下：

| 参数 | 配小了的后果 | 经验值 | |---|---|---| | 缓存盘容量 | 命中率低，读请求全部回源，延迟飙升 | 热数据的 10%~20%，且不低于源目录的 5%；先给 5%~10% 观测两周再扩 | | 上传缓冲 | 写请求被阻塞，应用感知为「卡死」 | 能容纳峰值 10~30 分钟的写入量 | | 上传限速 | 网关挤占业务带宽与专线 | 设置为专线容量的 50%~70% |

三条一致性认知：网关保证的是最终一致（先落缓存、再异步上传），不是强一致；一致性校验靠 MD5；断点续传必须打开。还有一个反直觉的结论——「写透模式」并不总是更安全，在大批量素材写入场景里，反而是缓存模式（cache mode）才是能真正跑通的那一个。

八、七个高频坑（按踩坑频率排序）

坑 1：add-cache 与 add-upload-buffer 没同时配。 官方明确要求两者在同一配置批次配齐，否则网关处于半配置状态、写请求失败。配完用 describe-cache / describe-upload-buffer 各查一次。

坑 2：忘记 refresh-cache。 桶里已经存在的对象，客户端挂载后看不到。这是被误判为「数据丢失」次数最多的坑，先传数据再挂载的场景几乎必踩。桶内新增对象后同理。

坑 3：海量小文件。 每个 1 KB 文件的每次读写都是一次完整 API 调用。几百万小文件会把 S3 请求费和延迟一起打爆——先打包（tar/zip）再上传。

坑 4：目录级重命名。 对象存储没有 rename，网关只能逐对象 Copy + Delete，一个几万文件的目录改名可能跑几十分钟。目录结构在上传前就规划好。

坑 5：多客户端同写一个文件。 对象存储无原生文件锁，网关也不提供跨客户端锁，同时写会丢更新。要么在应用层串行化，要么让每个客户端写自己的子目录。

坑 6：归档磁带提前删除。 Glacier 灵活检索归档的磁带 90 天内删除按 $0.0108/GB 计费，Deep Archive 归档的 180 天内删除按月 $0.00099/GB 计费。归档策略必须与真实保留期对齐，否则会被罚金反噬。

坑 7：用 COMPLIANCE 保留锁却规划错了保留期。 create-tape-pool --retention-lock-type COMPLIANCE 与 S3 对象锁的合规模式同理，锁定期内谁都删不掉，包括根账号。上线前务必先用一两条磁带试跑，确认容量规划不会把锁定期设得过长，否则存储费会一直烧下去而无法清理。

九、省钱五招

1. 首传集中在单月、并集中在同一台网关。 写入费封顶是「每网关每月 $125」，把 100 TB 的批量写入压在一台网关的一个月内完成，写入费就是 $125 而不是 $1,024（省 87.8%）；若拆成 10 台网关并行传，每台各付各的，反而更贵。 2. 能用 S3 File Gateway 就别上 FSx File Gateway。 后者网关费 $503.70/月、一年 $6,044.40，只有真需要 Windows AD 域集成时才值。 3. 缓存盘按「热数据 10%~20%」配，别按全量配。 缓存盘是最容易被过度采购的一项——先给 5%~10% 观测两周再决定扩容。 4. 利用后端就是 S3 这一点，挂生命周期规则。 网关落地就是标准 S3 对象，可以配置 Standard → Standard-IA → Glacier 的自动降冷，长期冷数据成本能再降一个数量级。 5. 关掉不需要的 CloudWatch 日志与指标，并让 EC2 网关走同区出口。 健康通知/审计日志是另计费的；同区域 EC2 网关到 Storage Gateway 服务的出流量为 $0.00/GB，别让它绕公网。

十、常见问题 FAQ

Q: Storage Gateway 和 DataSync 到底怎么选？ A: 一句话——要不要「持续挂载」。本地应用需要长期、低延迟地像用本地盘一样读写云数据，用 Storage Gateway；只是一次性或定时把文件搬上去、搬完不再挂载，用 DataSync。先买了网关却发现只需一次性迁移，是最常见的浪费。

Q: 网关必须跑在云上吗？本地部署要买许可吗？ A: 不必。网关可以部署在本地 VMware ESXi、Microsoft Hyper-V、Linux KVM，也可以部署在 EC2 上。本地部署没有网关软件许可费，只按 AWS 侧的存储费、写入费、取回费计费；跑在 EC2 上则另付 EC2 与 EBS 账单。

Q: S3 File Gateway 挂载后，为什么桶里已有的文件看不到？ A: 因为网关维护的是本地索引，桶里已存在的对象需要手动刷新。执行 aws storagegateway refresh-cache --file-share-arn <arn> --folder-list "/" 即可。这不是数据丢失。

Q: 写入费 $125 封顶是怎么算的？多个网关会叠加吗？ A: 官方脚注写明「每个网关每月最多 $125」。封顶是按网关门数分别计算的：一台网关写 100 TB 也只收 $125，但十台网关各写 10 TB 就要各付各的，合计反而可能超过 $1,024。批量首传要尽量集中到一台网关。

Q: 能把网关挂载点当本地生产数据库盘用吗？ A: 不要。网关面向对象存储，随机 IO 与 fsync 语义都不满足数据库要求，性能与数据正确性会同时出问题。数据库请用 EBS 或 RDS。

Q: Tape Gateway 的虚拟磁带和真实磁带有什么区别？能恢复吗？ A: 虚拟磁带是 iSCSI 暴露给备份软件的 VTL，对备份软件完全透明，备份流程、条形码、磁带池语义都保留。数据落到 S3 与 Glacier，需要时取回即可（灵活检索取回 $0.01/GB，Deep Archive 取回 $0.02/GB），并用 cancel-retrieval / cancel-archival 可控。

Q: 网关支持哪些部署平台？中国大陆区域能用吗？ A: 支持 VMware ESXi、Hyper-V、KVM 与 Amazon EC2。AWS 国际版区域普遍可用（含 ap-east-1 香港等亚太区）。中国大陆区域由本地持牌运营商独立运营，报价与可用性请以中国区官网为准。

Q: 免费套餐能用吗？第一次用大概花多少钱？ A: Storage Gateway 没有按月循环的免费额度，但每个账号前 100 GB 写入 AWS 的数据是永久免费的。除此之外可用账号级 2026 免费计划的最高 $200 赠金（有效期 6 个月或额度耗尽先到者，额度需 12 个月内用完）。注意：加入 AWS Organizations 或创建 Control Tower Landing Zone 会让免费计划立即失效。首次小规模试用，成本主要是网关主机资源与少量 S3 存储费。