debian防火墙端口转发怎么弄_运维文库_资讯中心

发布时间:2026-04-27 04:59:10

阅读量:4

Debian 防火墙端口转发实操指南

一、前置准备

开启内核转发（IPv4）：
- 临时生效：echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
- 永久生效：在 /etc/sysctl.conf 添加 net.ipv4.ip_forward=1，然后执行 sudo sysctl -p
选择工具：Debian 常见为 iptables/nftables 或 firewalld。若使用 firewalld，需先安装并启动：sudo apt-get update && sudo apt-get install -y firewalld && sudo systemctl enable --now firewalld。

二、使用 iptables 进行端口转发（通用、稳定）

场景A 本机监听端口转发到后端主机（DNAT）

将本机 8080/TCP 转发到 192.168.1.100:80/TCP：

sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
sudo iptables -t nat -A POSTROUTING -p tcp -d 192.168.1.100 --dport 80 -j MASQUERADE
sudo iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 80 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

场景B 本机作为网关/NAT，转发到外部主机

将本机 8080/TCP 转发到外部 203.0.113.10:80/TCP：

sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 203.0.113.10:80
sudo iptables -t nat -A POSTROUTING -j MASQUERADE

持久化与验证

持久化（Debian 常用 iptables-persistent）：

sudo apt-get install -y iptables-persistent
sudo netfilter-persistent save    # 或：sudo iptables-save > /etc/iptables/rules.v4
sudo netfilter-persistent reload

验证：

sudo iptables -t nat -L -v -n
sudo iptables -L -v -n

说明：PREROUTING 做目标地址转换（DNAT），POSTROUTING 做源地址伪装（MASQUERADE），FORWARD 放行转发流量。

三、使用 firewalld 进行端口转发（动态管理）

启用转发与伪装（masquerade）

sudo firewall-cmd --permanent --add-masquerade

添加端口转发规则（示例：本地 12345/TCP → 192.168.1.100:80/TCP）
```
sudo firewall-cmd --permanent --add-forward-port=port=12345:proto=tcp:toaddr=192.168.1.100:toport=80
```
如需同时支持 UDP，再添加一条 proto=udp 的规则。

应用并验证

sudo firewall-cmd --reload
sudo firewall-cmd --list-forward-ports
sudo firewall-cmd --query-masquerade

提示：firewalld 会自动处理 NAT 与转发所需的基础规则，适合需要动态变更的场景。

四、常见问题与排查

已添加规则但访问不通
- 确认内核转发已开启：cat /proc/sys/net/ipv4/ip_forward 应为 1。
- 检查本机/上游防火墙是否放行对应端口（如 8080/TCP 或 12345/TCP）。
- 确认后端服务在目标主机监听正确端口与地址（如 ss -ltnp | grep :80）。
- 查看 NAT/转发链是否命中：sudo iptables -t nat -L -v -n、sudo iptables -L FORWARD -v -n。
本机访问自身公网 IP 的转发不生效
- 多数情况下需额外添加 OUTPUT 链规则（DNAT 对本机发出的包不生效）：
```
sudo iptables -t nat -A OUTPUT -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
```
IPv6 转发
- 开启转发：echo 1 | sudo tee /proc/sys/net/ipv6/conf/all/forwarding
- 规则使用 ip6tables，思路与 IPv4 一致（DNAT/POSTROUTING 等）。