答案是：需配置防火墙端口转发规则。方法包括：一、firewalld（public区域）启用ip转发与伪装，添加forward-port规则并重载；二、firewalld（带源ip限制）在internal区启用伪装并添加toaddr规则；三、kylin-firewall直接添加forward语义规则并apply；四、iptables用redirect实现dnat并持久化。
如果您需要在麒麟操作系统中将某个端口的入站流量重定向至本机另一端口，例如将外部访问的TCP 80端口流量转发到本地TCP 8080端口，则需配置防火墙端口转发规则。以下是实现该目标的多种方法：
一、使用firewalld配置端口转发（public区域）
firewalld通过nat表的PREROUTING链实现DNAT功能，需确保目标区域已启用伪装（masquerade）并开启IP转发。该方式适用于标准网络环境下的单机端口映射。
1、确认系统已启用IPv4转发：echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
2、为public区域启用伪装（允许地址转换）：sudo firewall-cmd --zone=public --add-masquerade --permanent
3、添加端口转发规则（将进入TCP 80的流量转发至本地TCP 8080）：sudo firewall-cmd --permanent --zone=public --add-forward-port=port=80:proto=tcp:toport=8080
4、重载firewalld配置使规则生效：sudo firewall-cmd --reload
二、使用firewalld配置端口转发（指定源IP限制）
该方式在端口转发基础上增加源地址过滤，仅对特定网段或主机的请求执行转发，提升安全性与策略精度。
1、启用目标区域的伪装功能（如internal区域）：sudo firewall-cmd --zone=internal --add-masquerade --permanent
2、添加带源IP条件的转发规则（仅192.168.10.0/24网段访问TCP 80时转发至8080）：sudo firewall-cmd --permanent --zone=internal --add-forward-port=port=80:proto=tcp:toport=8080:toaddr=127.0.0.1
3、重载配置：sudo firewall-cmd --reload
三、使用kylin-firewall命令行工具配置转发
kylin-firewall是麒麟OS原生集成的轻量级防火墙管理工具，支持直接添加含端口转发语义的高级规则，无需手动处理区域与伪装状态。
1、检查kylin-firewall服务运行状态：sudo systemctl status kylin-firewall
2、添加一条TCP 80至8080的本地端口转发规则：sudo kylin-firewall --add-rule "forward tcp in port 80 to 127.0.0.1:8080"
3、立即应用新规则（无需重启服务）：sudo kylin-firewall --apply
四、使用iptables直接配置DNAT规则
该方式绕过firewalld抽象层，直接操作nat表的PREROUTING链，适用于需精细控制匹配条件或与其他iptables规则协同的场景。
1、临时添加DNAT规则（重启后失效）：sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080
2、保存当前iptables规则至持久化文件：sudo iptables-save > /etc/iptables/rules.v4
3、确保iptables服务已启用并开机自启：sudo systemctl enable iptables && sudo systemctl start iptables
