答案：Linux中通过iptables结合netfilter实现端口转发，需开启IP转发、配置DNAT和SNAT规则，并保存策略。具体步骤为：修改/proc/sys/net/ipv4/ip_forward或sysctl.conf启用转发；使用iptables -t nat -A PREROUTING设置DNAT将外部请求映射到内网主机；在POSTROUTING链添加MASQUERADE或SNAT确保回包正确；最后保存规则至/etc/iptables/rules.v4并配置开机加载，确保网络连通性后转发生效。

Linux系统中配置iptables端口转发，本质是利用netfilter框架中的NAT（网络地址转换）功能，实现将进入本机某一端口的流量转发到内网其他主机。这种技术常用于搭建简易网关、暴露内网服务或实现负载均衡。以下是完整操作流程。

开启内核IP转发功能

在配置规则前，必须确保Linux内核允许数据包转发。该设置位于/proc/sys/net/ipv4/ip_forward文件中。

临时开启（重启失效）：

echo 1 > /proc/sys/net/ipv4/ip_forward

永久生效需修改配置文件：

编辑 /etc/sysctl.conf，确保包含以下行：

net.ipv4.ip_forward = 1

保存后执行 sysctl -p 使配置立即生效。

添加DNAT规则实现端口转发

使用iptables的nat表PREROUTING链，对进入的数据包做目标地址转换（DNAT）。例如：将本机公网IP的2222端口流量转发到内网192.168.1.100的22端口。

命令如下：

• iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.100:22

说明：

• -t nat：指定nat表
• -A PREROUTING：追加规则到PREROUTING链
• -p tcp：协议为TCP（如需UDP则改为udp）
• --dport 2222：外部访问端口
• --to-destination：指定转发目标IP和端口

配置SNAT或MASQUERADE保证回包正确

若目标主机不在同一广播域，或网关非默认路由，需配置源地址转换（SNAT），确保响应能返回防火墙并转发回去。

常见做法是在POSTROUTING链添加MASQUERADE规则：

• iptables -t nat -A POSTROUTING -d 192.168.1.100 -p tcp --dport 22 -j MASQUERADE

或更精确地使用SNAT：

• iptables -t nat -A POSTROUTING -d 192.168.1.100 -p tcp --dport 22 -j SNAT --to-source 本机内网IP

MASQUERADE适用于动态IP环境，SNAT更适合固定IP场景。

保存规则并设置开机加载

iptables规则默认不持久，重启后丢失。需手动保存。

CentOS/RHEL系统：

• service iptables save

或使用：

• iptables-save > /etc/iptables/rules.v4

Ubuntu/Debian系统建议安装iptables-persistent：

• apt install iptables-persistent -y
• iptables-save > /etc/iptables/rules.v4

确保开机自动加载规则。

基本上就这些。确认防火墙未阻断相关端口，且目标主机网络可达，端口监听正常，转发即可生效。