iptables 防火墙流量转发与过滤如何写

iptables 流量转发与过滤同属一套规则体系：filter 表用于决定“是否放行”（INPUT/FORWARD/OUTPUT 链），nat 表用于实现“如何改路”（PREROUTING 做 DNAT、POSTROUTING 做 SNAT），需先启用 ip_forward 才能生效。

iptables 流量转发与过滤不是两个孤立操作，而是同一套规则体系下的不同用途：过滤侧重“是否放行”，转发侧重“如何改路”。关键在于选对表（filter 表做过滤，nat 表做转发）和链（INPUT/FORWARD/OUTPUT 或 PREROUTING/POSTROUTING），再按实际方向写匹配条件。

先确认系统是否启用 IP 转发

Linux 默认禁用 IPv4 转发，不开启就无法真正转发流量：

1. 临时开启：echo 1 > /proc/sys/net/ipv4/ip_forward
2. 永久生效：在 /etc/sysctl.conf 中添加 net.ipv4.ip_forward = 1，然后运行 sysctl -p

主机防火墙：只过滤本机进出流量（用 filter 表）

这是最常见场景，比如只允许 SSH、HTTP 访问本机，其余全拒：

1. 设置默认策略为拒绝：iptables -P INPUT DROP
2. 放行已建立连接（必须加，否则自己连不上）：iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
3. 放行本地回环：iptables -A INPUT -i lo -j ACCEPT
4. 放行 SSH（22 端口）：iptables -A INPUT -p tcp --dport 22 -j ACCEPT
5. 放行 HTTP/HTTPS：iptables -A INPUT -p tcp --dport 80 -j ACCEPT 和 iptables -A INPUT -p tcp --dport 443 -j ACCEPT

注意：规则顺序很重要，-A 是追加到末尾，但实际匹配是从上往下；所以“放行已建立连接”这类宽泛规则要放在具体服务规则之前，否则可能被 DROP 拦截。

网关/路由器模式：转发其他机器的流量（FORWARD + nat 配合）

比如一台 Linux 机器作为内网网关，让 192.168.10.0/24 的设备通过它上网：

1. 开启 FORWARD 链默认策略：iptables -P FORWARD DROP
2. 允许内网主动发起的连接（出向）：iptables -A FORWARD -i eth1 -o eth0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT（假设 eth1 接内网，eth0 接外网）
3. 允许返回流量（入向）：iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
4. 做 SNAT（源地址伪装）：iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE

这里用了 -t nat 切换到 nat 表，POSTROUTING 链在数据包即将发出前修改其源 IP，实现“内网机器看起来像从这台网关出去的”。

端口映射（DNAT）：把外网请求转给内网某台机器

例如公网 IP 收到 8080 端口请求，想转给内网 192.168.10.100 的 80 端口：

1. 在 PREROUTING 链做目标地址转换：iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.10.100:80
2. 确保 FORWARD 链允许该流量通过（参考上一节的 FORWARD 规则）
3. 如果内网机器没有默认路由指向本机，还需在内网机器上加回程路由，或开启本机的 rp_filter 关闭（sysctl -w net.ipv4.conf.eth1.rp_filter=0）

DNAT 改的是“目标”，所以发生在路由判断前（PREROUTING）；SNAT 改的是“源”，发生在路由判断后（POSTROUTING）——这个时机差是理解 NAT 的关键。