首页 > 操作系统 >Linux iptables端口转发设置教程

Linux iptables端口转发设置教程

来源：互联网 2026-07-23 09:00:14

防火墙资讯合集

在Linux系统中，iptables是功能强大且灵活可靠的防火墙工具，专门用于管理网络数据包的过滤与转发。系统管理员可以通过定义一系列规则，精准控制数据包的流向，既能保障网络安全，又能实现灵活的流量管控。下图可以帮助快速理解其核心逻辑：iptables的作用iptables的主要功能是根据预先定义的

在Linux系统中，iptables是功能强大且灵活可靠的防火墙工具，专门用于管理网络数据包的过滤与转发。系统管理员可以通过定义一系列规则，精准控制数据包的流向，既能保障网络安全，又能实现灵活的流量管控。下图可以帮助快速理解其核心逻辑：

长期稳定更新的攒劲资源： >>>点此立即查看<<<

iptables的作用

iptables的主要功能是根据预先定义的规则对网络数据包进行过滤——允许通过或直接拒绝，完全由规则决定。这样，未经授权的访问和各类网络攻击就能被有效阻挡。

此外，iptables还支持网络地址转换（NAT）。它可以将内部网络的私有IP映射为外部公网IP，反之亦然。端口转发、IP伪装等实用功能都依赖于此。

端口转发是iptables的核心应用之一：它能够将进入系统的数据包重定向到另一个地址和端口。无论是搭建对外服务的服务器，还是让内网服务被外部访问，这个功能都经常用到。

iptables还能对数据包进行精细修改，如调整目标地址、改变端口号等。只要规则定义得当，就可以按需改造数据包。

iptables的工作原理

理解iptables，关键在于掌握它如何与内核交互。当数据包到达Linux系统时，内核会将其交给iptables处理。iptables维护着一套按顺序排列的规则集——从第一条规则开始，逐条匹配数据包的特征。一旦匹配成功，立即执行规则中定义的动作（放行、丢弃、重定向等），并停止后续匹配。

如果数据包遍历整个规则集后仍未匹配任何规则，则执行“默认策略”——通常是直接允许通过或直接拒绝。这个兜底规则至关重要。

iptables基础概念和术语

1. 链（Chain）

链是由一系列规则组成的队列。每个进入系统的数据包都会按照预定义的链逐一处理，链中的规则决定其最终命运。常见的链有三个：

INPUT：处理进入系统的数据包。
OUTPUT：处理从系统发出的数据包。
FORWARD：处理经过系统的数据包（既不是进入系统，也不是由系统发出）。

2. 规则（Rule）

规则是iptables的基本处理单元。每条规则由匹配条件和动作两部分组成。数据包到达后，从第一条规则开始逐条比对，一旦匹配成功，立即执行相应动作。

3. 表（Table）

表是规则的容器，不同表负责不同功能。每个表包含若干预定义的链，用于特定类型的数据包处理。常见的表有四个：

filter表：负责数据包过滤。
nat表：负责网络地址转换。
mangle表：负责数据包修改。
raw表：负责原始数据包处理。

4. 匹配条件（Match）

匹配条件是规则中的筛选器。可以根据源地址、目标地址、协议类型、端口号等任意组合来定义条件。只有数据包符合所有条件时，对应规则才会触发。

5. 动作（Target）

动作定义了规则匹配成功后的操作。常见的动作有：

ACCEPT：放行数据包。
DROP：直接丢弃，不通知发送方。
REJECT：拒绝并告知发送方“此路不通”。
REDIRECT：把数据包重定向到另一个地址和端口。

6. 表和链的关系

表包含链，链包含规则——这是一个层层嵌套的结构。数据包到达时，iptables先根据数据包类型选择对应的表，再到该表的特定链中逐条匹配规则，直到命中或走到链尾。

端口转发的原理

端口转发，简单来说就是将从一个端口进入的数据包，转交给另一个端口处理。在Linux中，iptables通过修改数据包的目标地址和目标端口来实现这一功能。原理大致分为以下步骤：

数据包进入系统，内核按iptables规则集开始处理。
如果规则集中存在端口转发规则，且当前数据包匹配成功，iptables会修改数据包的目标地址和端口。
修改完成后，数据包被转发到新的地址和端口。
这个新地址和端口可以是本机上的服务，也可以是网络中的其他设备。

端口转发的应用场景

端口转发在实际运维中非常常见，例如：

让外部网络能够访问内网的服务器——将外网流量引入内部。
将某个端口的流量分摊到多台设备上——实现负载均衡或故障转移。
将同一个端口进入的流量，根据规则分配到不同的目标地址和端口——灵活配置网络。

配置端口转发时，安全问题始终是首要考虑因素。必须限制源地址、目标地址和端口，避免被恶意用户利用。同时，定期审查和更新iptables规则集也是一个好习惯。

使用iptables进行端口转发的步骤

启用IPv4转发

开始操作前，需要确认系统已开启IPv4数据包转发功能。编辑/etc/sysctl.conf文件，找到以下行（如果没有则手动添加）：

代码语言：bash

net.ipv4.ip_forward=1

然后使配置生效：

代码语言：bash

sudo sysctl -p

添加端口转发规则

使用iptables添加端口转发规则。例如，将外部TCP流量转发到内网某台服务器的特定端口：

代码语言：bash

sudo iptables -t nat -A PREROUTING -p tcp --dport [外部端口] -j DNAT --to-destination [内部服务器IP]:[内部端口]

允许转发的流量通过防火墙

如果系统防火墙已开启，还需要放行转发流量：

代码语言：bash

sudo iptables -A FORWARD -i [进入网卡] -o [出去网卡] -p [协议] --dport [内部端口] -j ACCEPT

保存和应用规则

规则配置完成后，需要保存，否则重启后规则会丢失：

代码语言：bash

sudo iptables-save > /etc/iptables/rules.v4

让系统启动时自动加载：

代码语言：bash

sudo iptables-restore < /etc/iptables/rules.v4

将外部HTTP流量转发到内部Web服务器

假设内网有一台Web服务器，IP为192.168.1.100，监听80端口。将外网的HTTP流量（80端口）引到这台机器上：

代码语言：bash

sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80

将外部SSH流量转发到内部服务器的另一个SSH端口

再比如，内网有一台SSH服务器（192.168.1.101）监听22端口。需要让外网SSH流量进来时，实际落到它的2222端口上：

代码语言：bash

sudo iptables -t nat -A PREROUTING -p tcp --dport 22 -j DNAT --to-destination 192.168.1.101:2222

设置端口映射

假设一台内网服务器同时运行着Web服务（80端口）和FTP服务（21端口）。需要让外网的HTTP流量去Web服务器，FTP流量去另一台FTP服务器（192.168.1.102）。规则可以这样编写：

代码语言：bash

# HTTP流量转发到Web服务器
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80
# FTP流量转发到FTP服务器
sudo iptables -t nat -A PREROUTING -p tcp --dport 21 -j DNAT --to-destination 192.168.1.102:21

配置完成后，从外部网络尝试访问对应的服务端口，即可验证转发是否生效。例如，用浏览器访问Web服务器的公网IP，或用SSH客户端连接对应IP和端口。如果一切正常，说明端口转发已经成功运行。

侠游戏发布此文仅为了传递信息，不代表侠游戏网站认同其观点或证实其描述