CentOS 7如何开启转发功能

CentOS 7 要让机器真正承担路由器角色，必须首先开启内核转发功能，即 ip_forward。这一步是基础——如果未开启，后续所有配置的 iptables 或 firewalld 规则都将失效，因为数据包根本不会进入转发流程。

CentOS 7 开启转发功能的方法

确认并开启内核 IP 转发

内核参数 net.ipv4.ip_forward 默认值为 0，表示关闭状态。仅修改配置文件不生效，仅临时写入重启后丢失，因此需要同时采用临时与永久两种方式。

• 临时启用（立即生效，重启失效）：
  echo 1 > /proc/sys/net/ipv4/ip_forward
• 永久启用：编辑 /etc/sysctl.conf，确保包含以下行：
  net.ipv4.ip_forward = 1
  然后执行 sysctl -p 重新加载配置
• 验证生效：
  sysctl net.ipv4.ip_forward 应输出 net.ipv4.ip_forward = 1
  或 cat /proc/sys/net/ipv4/ip_forward 输出 1

firewalld 下必须开启 masquerade

即使 ip_forward 已打开，firewalld 默认也会拦截转发流量。尤其在 NAT 场景中，--add-masquerade 并非可选，而是必要步骤。

• 确认当前 zone（通常为 public）：
  firewall-cmd --get-default-zone
• 开启伪装（缺一不可）：
  firewall-cmd --permanent --add-masquerade
firewall-cmd --reload
• 检查状态：
  firewall-cmd --query-masquerade 返回 yes 才算成功
• 常见错误：遗漏 --permanent 参数，或 reload 前未加 permanent，导致重启后配置丢失

iptables 和 firewalld 避免混用

CentOS 7 默认使用 firewalld。若手动编写 iptables 规则而未停用 firewalld，两者规则会冲突，转发通常静默失败。

• 方案一：停用 firewalld：
  systemctl stop firewalld
systemctl disable firewalld
  然后改用 iptables 配置（需确保 iptables-services 已安装）
• 方案二：坚持使用 firewalld：所有端口转发、DNAT/SNAT 均通过 firewall-cmd --add-forward-port 实现，不触碰 iptables 的 nat 表
• 验证冲突：运行 iptables -t nat -L -n，若看到大量 firewalld 自动生成的链（如 FORWARD_direct），说明 firewalld 仍在接管，此时手动编写的 iptables 规则大概率被跳过

转发不生效？重点检查这三处

许多“配置完成但不通”的情况，实际卡在底层连通性或策略问题。

• 源主机路由：内网客户端的默认网关必须指向该 CentOS 7 机器的内网 IP，不能仅配置 IP 而忽略网关
• 目标主机响应：被转发的目标服务（如 192.168.1.100:80）必须真实监听，且未被自身防火墙拦截
• FORWARD 链默认策略：firewalld 默认将 FORWARD 设置为 REJECT，仅靠 masquerade 不够；端口转发还需显式放行对应协议和端口，例如：
  firewall-cmd --permanent --add-port=80/tcp
  或更精确地使用 rich rule 放行转发路径

真正复杂的并非开启某个开关，而是各层策略叠加后的隐式拒绝。可将整个流程简化为：ip_forward 是门，masquerade 是钥匙，firewalld 的 FORWARD 策略是门锁，客户端与服务端的网络可达性则是门前的路。缺少任何一环，流量都无法到达目的地。