iptables 端口转发教程 - 秋晓桃の神秘小窝

场景示例#

描述： 我们有一台公网 Linux 服务器（11.11.11.11），我们想通过访问它的 3389 端口，来安全地访问一台处于内网的 Windows RDP 主机（172.16.0.19）。
拓扑图： 你 (Windows 客户端) -> 公网 (11.11.11.11) -> 内网 (172.16.0.19)

准备工作：定义变量和环境#

为了让脚本清晰易懂，我们先定义变量。

1
# 公网服务器要监听的端口
2
LOCAL_PORT=3389
3
# 真正提供服务的目标内网IP
4
TARGET_IP=172.16.0.19
5
# 目标内网IP的服务端口
6
TARGET_PORT=3389

步骤一：开启 Linux 内核转发#

这是最基础的一步。如果内核不允许IP转发，iptables 的所有努力都白费。

1
# 1. 临时开启
2
sudo sysctl -w net.ipv4.ip_forward=1
3

4
# 2. 检查是否成功
5
cat /proc/sys/net/ipv4/ip_forward
6
# (确保返回 1)
7

8
# 3. 永久开启（推荐）
9
# sudo nano /etc/sysctl.conf
10
# 找到 net.ipv4.ip_forward=1 并取消注释
11
# 然后执行 sudo sysctl -p 使其生效

步骤二：配置 NAT 表#

这是大多数教程都会讲的部分。我们需要两条规则：

PREROUTING (DNAT): 把“进来”的包，目标地址换成内网 RDP 主机。
POSTROUTING (SNAT/MASQUERADE): 把“出去”的包，源地址换成 Linux 服务器。（关键：否则 RDP 主机会直接回复给你的客户端，而不是回复给 Linux 服务器）

1
# 1. PREROUTING 规则 (DNAT)：修改目标地址
2
sudo iptables -t nat -A PREROUTING -p tcp --dport $LOCAL_PORT -j DNAT --to-destination $TARGET_IP:$TARGET_PORT
3

4
# 2. POSTROUTING 规则 (MASQUERADE)：修改源地址
5
sudo iptables -t nat -A POSTROUTING -d $TARGET_IP -p tcp --dport $TARGET_PORT -j MASQUERADE

步骤三：配置 filter 表（防火墙放行）#

这是教程的核心。nat 表只负责翻译地址，但不负责放行。真正决定包能否通过的是 filter 表的 FORWARD 链。

1
# 注意：我们用 -I (Insert) 把规则插入到链的顶部，确保它们在 Docker 等规则之前被匹配。
2

3
# 1. 允许“已建立”和“相关”的连接（允许 RDP 的“返回”流量）
4
sudo iptables -I FORWARD 1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
5

6
# 2. 允许“新”的连接（允许你客户端的“发起”流量）
7
sudo iptables -I FORWARD 2 -d $TARGET_IP -p tcp --dport $TARGET_PORT -j ACCEPT

步骤四：持久化规则#

iptables 规则默认重启失效。

Debian/Ubuntu:

1
sudo apt-get install iptables-persistent
2
sudo netfilter-persistent save

CentOS/RHEL (旧版):

1
service iptables save
2
# 或
3
iptables-save > /etc/sysconfig/iptables

如何重置 netfilter-persistent 保存的内容#

步骤 1：清空当前内存中的所有规则#

1
# 1. 清空 filter 表 (INPUT, OUTPUT, FORWARD)
2
sudo iptables -F
3
sudo iptables -X
4

5
# 2. 清空 nat 表 (PREROUTING, POSTROUTING)
6
sudo iptables -t nat -F
7
sudo iptables -t nat -X
8

9
# 3. 清空 mangle 表 (可选，以防万一)
10
sudo iptables -t mangle -F
11
sudo iptables -t mangle -X
12

13
# 4. (重要) 把默认策略改回 ACCEPT，防止SSH断开
14
sudo iptables -P INPUT ACCEPT
15
sudo iptables -P FORWARD ACCEPT
16
sudo iptables -P OUTPUT ACCEPT

步骤 2：保存这个“空”的状态#

1
# 这会用“空规则”覆盖掉你之前保存的RDP转发规则
2
sudo netfilter-persistent save