答案：Linux端口转发需启用IP转发并配置iptables规则，首先通过修改/proc/sys/net/ipv4/ip_forward或sysctl.conf永久开启IP转发，然后使用iptables的PREROUTING链设置DNAT目标地址转换，POSTROUTING链添加MASQUERADE源地址伪装，并在FORWARD链允许相应流量，最后保存规则防止重启丢失。

Linux 设置端口转发主要依赖于 iptables 或较新的 nftables 工具，同时需要确保系统启用了 IP 转发功能。下面以常见的 iptables 方式说明如何配置端口转发规则。

启用 IP 转发

在进行端口转发前，必须开启系统的 IP 转发功能：

1. 临时启用（重启后失效）：

echo 1 > /proc/sys/net/ipv4/ip_forward

2. 永久启用：

编辑 /etc/sysctl.conf 文件，确保包含以下行：

net.ipv4.ip_forward = 1

保存后执行命令生效：

sysctl -p

使用 iptables 配置端口转发

假设你想将进入本机 8080 端口的流量转发到内网另一台主机 192.168.1.100 的 80 端口，可以按以下步骤操作。

1. 添加 PREROUTING 规则（DNAT）：

这条规则告诉系统：当有数据包到达本机的 8080 端口时，将其目标地址改为 192.168.1.100:80。

iptables -t nat -A PREROUTING -p tcp –dport 8080 -j DNAT –to-destination 192.168.1.100:80

2. 添加 POSTROUTING 规则（SNAT 或 MASQUERADE）：

如果转发的目标是内网主机，通常还需要修改源地址，让内网主机能正确回包。

若本机是路由器或网关：

iptables -t nat -A POSTROUTING -d 192.168.1.100 -p tcp –dport 80 -j MASQUERADE

笔魂AI

笔魂ai绘画-在线AI绘画、AI画图、AI设计工具软件

258

查看详情

3. 确保 FORWARD 链允许流量通过：

默认情况下，FORWARD 链可能拒绝转发。需添加允许规则：

iptables -A FORWARD -p tcp -d 192.168.1.100 –dport 80 -j ACCEPT

iptables -A FORWARD -p tcp -s 192.168.1.100 –sport 80 -j ACCEPT

常见应用场景示例

将外部访问本机 2222 端口的 SSH 请求转发到内网 192.168.1.50 的 22 端口：

iptables -t nat -A PREROUTING -p tcp –dport 2222 -j DNAT –to 192.168.1.50:22

iptables -t nat -A POSTROUTING -j MASQUERADE

iptables -A FORWARD -d 192.168.1.50 -p tcp –dport 22 -j ACCEPT

保存规则（防止重启丢失）

不同发行版保存方式略有不同：

Debian/Ubuntu：

iptables-save > /etc/iptables/rules.v4

CentOS/RHEL：

service iptables save（需安装 iptables-services）

或者手动保存：

iptables-save > /root/iptables-rules.backup

恢复时使用：iptables-restore

基本上就这些。只要开启 IP 转发并正确设置 DNAT 和 SNAT 规则，Linux 就能充当简单的端口转发网关。注意防火墙顺序和规则匹配逻辑，避免被其他规则拦截。