iptables是Linux内核的防火墙工具，通过NAT表实现端口转发。它可以将发送到某IP和端口的数据包，重定向到另一IP和端口，常用于隐藏真实服务器IP、实现内网穿透或搭建跳板机。

二、核心配置步骤

1. 开启IP转发

```bash

临时开启

echo 1 > /proc/sys/net/ipv4/ip_forward

永久开启（编辑/etc/sysctl.conf）

net.ipv4.ip_forward = 1

sysctl -p

```

2. 添加转发规则

场景一：转发到内网服务器

```bash

DNAT：将外部8080端口流量转发到内网192.168.1.100:80

iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80

SNAT：让返回流量正确路由（可选但推荐）

iptables -t nat -A POSTROUTING -j MASQUERADE

```

场景二：本机端口重定向

```bash

访问80端口自动转到8080

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

```

3. 允许转发流量

```bash

iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 80 -j ACCEPT

```

4. 保存规则

```bash

CentOS

service iptables save

Ubuntu

iptables-save > /etc/iptables/rules.v4

```

三、常用管理命令

| 操作 | 命令 |

|------|------|

| 查看NAT规则 | `iptables -t nat -L -n -v` |

| 删除规则 | `iptables -t nat -D PREROUTING 1` |

| 清空所有规则 | `iptables -t nat -F` |

四、常见问题排查

| 问题 | 解决方法 |

|------|---------|

| 转发不生效 | 检查IP转发是否开启：`sysctl net.ipv4.ip_forward` |

| 返回包丢失 | 确认已添加MASQUERADE规则 |

| 目标服务器不通 | 检查防火墙是否允许端口 |

| SELinux阻止 | 临时测试：`setenforce 0` |

五、安全建议

- 只转发必要端口，避免默认端口（22、3389）

- 限制来源IP：`-s 10.0.0.0/24`

- 定期审计规则：`iptables -t nat -L -n -v`

一句话总结：开启IP转发 → 添加DNAT规则（指定目标IP和端口）→ 添加MASQUERADE → 保存规则，即可完成iptables端口转发配置。

另外，可以借助 80KM 端口流量转发程序，搭建流量中转节点，所有外网访问经过节点再回源，彻底隐藏真实 IP。支持 80、443 常用网页端口，兼容各大系统。