iptables配置IP转发方法

在Linux系统中，通过iptables配置IP转发，本质上是让系统扮演一台迷你路由器，将数据包从一个网络接口有条不紊地递送到另一个接口。以下将具体操作拆解说明。

1. 启用IP转发

首先需要让内核开启IP转发开关。操作很简单，编辑/etc/sysctl.conf文件：

# 编辑sysctl.conf文件
sudo nano /etc/sysctl.conf

# 找到并修改以下行（如果没有则添加）
net.ipv4.ip_forward=1

# 应用更改
sudo sysctl -p

修改完成后，执行sysctl -p使配置立即生效。

2. 配置iptables规则

内核开启转发后，接下来使用iptables配置规则。假设场景为：eth0连接互联网，eth1连接内部网络。需要两条规则——一条处理去往互联网的流量，一条处理返回的流量。

2.1 允许转发

# 允许转发从eth1到eth0的数据包（已建立连接的相关数据包）
sudo iptables -A FORWARD -i eth1 -o eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# 允许转发从eth0到eth1的数据包
sudo iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

2.2 配置NAT（网络地址转换）

内部网络要访问互联网，还需通过NAT将内网地址“伪装”成eth0的地址。使用MASQUERADE最为简便：

# 配置SNAT，将内部网络的源地址转换为eth0的地址
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# 如果只想让特定内网段出去，可以加上源地址限制
# sudo iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

3. 保存iptables规则

配置好的规则如果重启后丢失会很麻烦，因此需要持久化保存。不同Linux发行版的保存方法略有不同。

在Debian/Ubuntu上：

sudo sh -c "iptables-save > /etc/iptables/rules.v4"

在CentOS/RHEL上：

sudo service iptables save

如果使用firewalld，也可用以下命令：

sudo firewall-cmd --runtime-to-permanent

4. 验证配置

最后一步，确认配置已生效。两条命令即可完成验证：

# 查看iptables规则
sudo iptables -L -v -n

# 查看IP转发状态
cat /proc/sys/net/ipv4/ip_forward

如果ip_forward输出1，说明转发已成功启用。此时Linux系统已正式承担起路由器的职责，可以稳定地转发数据包。