iptables 流量转发与过滤同属一套规则体系：filter 表用于决定“是否放行”（input/forward/output 链），nat 表用于实现“如何改路”（prerouting 做 dnat、postrouting 做 snat），需先启用 ip_forward 才能生效。
iptables 流量转发与过滤不是两个孤立操作，而是同一套规则体系下的不同用途：过滤侧重“是否放行”，转发侧重“如何改路”。关键在于选对表（filter 表做过滤，nat 表做转发）和链（INPUT/FORWARD/OUTPUT 或 PREROUTING/POSTROUTING），再按实际方向写匹配条件。
先确认系统是否启用 IP 转发
Linux 默认禁用 IPv4 转发，不开启就无法真正转发流量：
- 临时开启：echo 1 > /proc/sys/net/ipv4/ip_forward
- 永久生效：在 /etc/sysctl.conf 中添加 net.ipv4.ip_forward = 1，然后运行 sysctl -p
主机防火墙：只过滤本机进出流量（用 filter 表）
这是最常见场景，比如只允许 SSH、HTTP 访问本机，其余全拒：
- 设置默认策略为拒绝：iptables -P INPUT DROP
- 放行已建立连接（必须加，否则自己连不上）：iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
- 放行本地回环：iptables -A INPUT -i lo -j ACCEPT
- 放行 SSH（22 端口）：iptables -A INPUT -p tcp --dport 22 -j ACCEPT
- 放行 HTTP/HTTPS：iptables -A INPUT -p tcp --dport 80 -j ACCEPT 和 iptables -A INPUT -p tcp --dport 443 -j ACCEPT
注意：规则顺序很重要，-A 是追加到末尾，但实际匹配是从上往下；所以“放行已建立连接”这类宽泛规则要放在具体服务规则之前，否则可能被 DROP 拦截。
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
网关/路由器模式：转发其他机器的流量（FORWARD + nat 配合）
比如一台 Linux 机器作为内网网关，让 192.168.10.0/24 的设备通过它上网：
- 开启 FORWARD 链默认策略：iptables -P FORWARD DROP
- 允许内网主动发起的连接（出向）：iptables -A FORWARD -i eth1 -o eth0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT（假设 eth1 接内网，eth0 接外网）
- 允许返回流量（入向）：iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
- 做 SNAT（源地址伪装）：iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j MASQUERADE
这里用了 -t nat 切换到 nat 表，POSTROUTING 链在数据包即将发出前修改其源 IP，实现“内网机器看起来像从这台网关出去的”。
端口映射（DNAT）：把外网请求转给内网某台机器
例如公网 IP 收到 8080 端口请求，想转给内网 192.168.10.100 的 80 端口：
- 在 PREROUTING 链做目标地址转换：iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.10.100:80
- 确保 FORWARD 链允许该流量通过（参考上一节的 FORWARD 规则）
- 如果内网机器没有默认路由指向本机，还需在内网机器上加回程路由，或开启本机的 rp_filter 关闭（sysctl -w net.ipv4.conf.eth1.rp_filter=0）
DNAT 改的是“目标”，所以发生在路由判断前（PREROUTING）；SNAT 改的是“源”，发生在路由判断后（POSTROUTING）——这个时机差是理解 NAT 的关键。
