用途：管理阿里云云防火墙（CFW）的 NAT 边界防火墙，覆盖查询、评估、启停防护开关、创建与更新等操作。一个 NAT 网关对应一个 NAT 防火墙，须先创建防火墙才能切换开关；状态 normal 表示防护开启，closed 表示关闭。
主要能力：nat-fw-switch.sh query 按区域、状态、NAT 网关、VPC、ProxyId 等过滤查询；enable/disable 启停防护；nat-fw-lifecycle.sh 提供 assess（只读评估与逐网关建议）、precheck、quota、route-diff（只读路由差异诊断）、prepare（幂等准备 vswitch 与自定义路由表）、create、update。删除/释放不支持，脚本仅输出指引与只读影响报告，需在控制台操作。
使用方式：先校验 CLI 环境：bash scripts/validate-cli.sh --check-permission；手动模式前加 --mode manual 探测 VPC 写权限。要求 aliyun CLI >= 3.3.3，可用 curl -fsSL --connect-timeout 10 --max-time 120 https://aliyuncli.alicdn.com/setup.sh | bash 安装或升级，并执行 aliyun plugin update。CFW 走插件模式，调用不要传 --version。启停遵循三阶段：影响预览、用户确认、执行与结果验证；切换会触发 NAT 路由变更，长连接中断约 1~2 秒。
限制：查询结果须以 Markdown 表格呈现；权限失败需参考 references/ram-policies.md 并等待用户确认授权；SwitchSecurityProxy 对不存在的 ProxyId 也返回成功，必须轮询验证。其余细节暂未提供。