firewalld端口转发本身不区分合规性，仅按规则透明中转；需启用ipv4转发、区域级ip伪装、正确zone绑定，并配置forward-port规则，配合外网端口放行与内网服务监听方可生效。
Firewalld 的端口转发本身不区分“合规”或“非标”，它只按规则转发流量。所谓“外网合规流量”，实际依赖前置网关、WAF 或访问控制（如源 IP 白名单、HTTP 头校验）来实现；而“内网非标隐藏端口”（比如 22222、3307、8081 等非默认端口）恰恰是 Firewalld 转发最擅长处理的场景——只要目标服务在内网真实监听该端口，Firewalld 就能透明中转。
必须启用的底层支持
缺一不可，否则转发始终超时或无响应：
- 开启 IPv4 转发：执行 echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf && sysctl -p，确保内核允许包路由
- 启用区域级 IP 伪装（Masquerade）：运行 firewall-cmd --permanent --zone=public --add-masquerade，这是让内网服务回包能正确返回外网客户端的关键。没有它，内网服务器看到的是原始外网 IP，但回包直接发往公网地址，中间路由器无法路由回来
- 确认当前活跃 zone 是 public（或其他你配置的出口 zone）：firewall-cmd --get-active-zones。若接口不在 public 区域，需先绑定：firewall-cmd --permanent --zone=public --change-interface=ens33
配置外网端口到内网隐藏端口的转发规则
语法清晰、可读性强，支持 TCP/UDP 独立设置：
- 将公网服务器的 4433 端口（外网合规 HTTPS 补充端口）转发至内网服务器 192.168.10.5 的隐藏管理端口 22222（SSH）：
firewall-cmd --permanent --zone=public --add-forward-port=port=4433:proto=tcp:toport=22222:toaddr=192.168.10.5 - 若还需支持 UDP 流量（如某些监控协议），追加一条：
firewall-cmd --permanent --zone=public --add-forward-port=port=4433:proto=udp:toport=22222:toaddr=192.168.10.5 - 注意：toaddr 必须是内网可达地址，不能是 127.0.0.1 或 localhost；若转发目标是本机的隐藏端口（如本地 8081），则省略 toaddr，仅写 toport=8081
安全加固与最小权限实践
仅放行必要端口，避免暴露内网拓扑：
- 外网入口端口（如 4433）必须显式放行：firewall-cmd --permanent --add-port=4433/tcp
- 内网目标机器自身防火墙（如其 firewalld 或 ufw）也需放行对应隐藏端口（如 22222/tcp），否则连接会在最后一步被拒绝
- 如需限制仅特定外网 IP 可触发转发，用富规则替代简单转发：
firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="203.0.113.10" port port="4433" protocol="tcp" forward-port port="22222" to-addr="192.168.10.5"' - 禁用默认 zone 的宽松策略：检查 firewall-cmd --info-zone=public 中 target 是否为 default；生产环境建议设为 REJECT 或 DROP，再逐条添加白名单规则
验证与排错要点
转发不通？按顺序排查这四点：
- 执行 firewall-cmd --reload 后，用 firewall-cmd --list-all 确认 forward-port 和 masquerade 已生效（带 ✅ 标记）
- 从外网机器 telnet 公网IP 4433，看是否能连通（排除网络层拦截）
- 在公网服务器上抓包：tcpdump -i any port 4433 -nn，确认请求是否到达本机；再抓内网接口：tcpdump -i eth1 host 192.168.10.5 and port 22222，确认是否发出 DNAT 后的包
- 登录内网目标机，检查 ss -tlnp | grep :22222，确认服务确实在监听且未绑定 127.0.0.1
