不能直接用--dport列多个端口，因为--dport仅支持单个端口或连续范围（如8080:8090），不支持逗号分隔；强行使用会报错“multiple port specifications not allowed”，正确做法是使用multiport模块配合--dports参数匹配非连续多端口，但该模块仅在filter表的INPUT/FORWARD链生效，不可用于nat表PREROUTING链。
为什么不能直接用 --dport 列多个端口
很多人写规则时想当然地用 --dport 80,443,8080，但这是错的——--dport 只接受单个端口或范围（如 8080:8090），不支持逗号分隔。强行写会报错：iptables v1.8.7: multiple port specifications not allowed。真正能批量匹配多端口的，是 multiport 模块，但它只在 filter 表的 INPUT/FORWARD 链生效，**不能用于 nat 表的 PREROUTING**——也就是说，它管不了端口转发本身，只管“放不放行转发后的流量”。
multiport 在端口转发中实际起什么作用
它负责收紧 FORWARD 链的放行策略，避免“开了 DNAT 却放行了所有转发包”的安全隐患。典型场景是：你用 DNAT 把外网 2222、3389、5432 转发到内网服务器，但不想让其他任意端口的转发包通过。
- 先加 DNAT 规则（必须用
nat表）：iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.10:22iptables -t nat -A PREROUTING -p tcp --dport 3389 -j DNAT --to-destination 192.168.1.10:3389iptables -t nat -A PREROUTING -p tcp --dport 5432 -j DNAT --to-destination 192.168.1.10:5432 - 再用
multiport精确放行对应转发目标：iptables -A FORWARD -p tcp -d 192.168.1.10 -m multiport --dports 22,3389,5432 -j ACCEPT - 最后补一条默认拒绝（否则
FORWARD默认策略可能是ACCEPT）：iptables -A FORWARD -j DROP
UDP 端口批量转发要注意端口映射一致性
UDP 是无连接协议，multiport 同样适用于 FORWARD 链的 UDP 放行，但 DNAT 本身对 UDP 端口范围的支持很脆弱。比如写 --dport 5000:5010 转发到 192.168.1.10:6000-6010，内核可能无法保证源端口与目的端口一一对应，导致回包失败。更稳妥的做法是：
- 对每个关键 UDP 端口单独写 DNAT 规则（哪怕有 10 个，也比范围映射可靠）
- 用
multiport统一放行目标端口：iptables -A FORWARD -p udp -d 192.168.1.10 -m multiport --dports 53,123,161 -j ACCEPT - 避免在 DNAT 中混用 TCP/UDP 规则——
multiport的--dports不区分协议，但FORWARD规则必须明确指定-p tcp或-p udp
保存规则时 iptables-persistent 不自动加载 multiport 模块
很多系统（尤其是 Debian/Ubuntu）用 iptables-persistent 保存规则，但它默认不会记录模块依赖。重启后可能报错：iptables-restore: line N failed: iptables: No chain/target/match by that name。这是因为 multiport 是内核模块，需手动确保它被加载：
- 检查是否已加载：
lsmod | grep nf_nat_ftp（multiport通常随nf_tables自动载入，但保险起见） - 强制加载（写入启动）：
echo "nf_conntrack" | sudo tee -a /etc/modules；echo "xt_multiport" | sudo tee -a /etc/modules - 保存前先测试规则是否可还原：
iptables-save > /tmp/test.rules && iptables-restore
真正容易被忽略的是：DNAT 和 FORWARD 规则必须成对出现，且 multiport 只能加固后者——它不减少 DNAT 规则数量，也不替代 SNAT/MASQUERADE。端口越多，越要检查每条 DNAT 是否绑定了正确的接口（-i eth0）和协议（-p tcp），否则规则静默失效。
