Debian iptables如何实现端口映射

在Debian系统中，使用iptables实现端口映射（也称为端口转发）可以通过以下步骤完成。端口映射允许你将一个网络端口的流量转发到另一个端口或另一台机器上。

基本概念

• PREROUTING链：用于目标地址转换（DNAT），即在数据包到达目标之前修改目标地址。
• POSTROUTING链：用于源地址转换（SNAT），即在数据包离开本地网络之前修改源地址。

步骤

1. 启用IP转发 首先，确保你的系统启用了IP转发功能。编辑/etc/sysctl.conf文件，添加或修改以下行：

   net.ipv4.ip_forward=1
   

   然后运行以下命令使更改生效：

   sudo sysctl -p
   

2. 配置iptables规则 假设你想将外部端口8080的流量转发到内部IP地址192.168.1.100的端口80。

   • PREROUTING规则：将外部端口8080的流量转发到内部IP地址192.168.1.100的端口80。

     sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
     

   • POSTROUTING规则：修改源地址，以便返回的数据包能够正确路由回外部网络。

     sudo iptables -t nat -A POSTROUTING -p tcp -d 192.168.1.100 --dport 80 -j MASQUERADE
     

3. 保存iptables规则 默认情况下，iptables规则在系统重启后会丢失。为了使规则持久化，可以使用iptables-persistent工具。

   安装iptables-persistent：

   sudo apt-get update
   sudo apt-get install iptables-persistent
   

   在安装过程中，系统会提示你是否保存当前的iptables规则。选择“是”。

验证规则

你可以使用以下命令查看当前的iptables规则：

sudo iptables -t nat -L -v -n

删除规则

如果你需要删除某个规则，可以使用以下命令：

sudo iptables -t nat -D PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
sudo iptables -t nat -D POSTROUTING -p tcp -d 192.168.1.100 --dport 80 -j MASQUERADE

通过以上步骤，你就可以在Debian系统中使用iptables实现端口映射了。