dnat配置关键在于链路完整：必须在nat表prerouting链重写目标地址，配套放行forward链并开启ip转发，确保请求与回程路径一致。
配置 DNAT 的关键不是加一条 iptables 命令，而是让公网请求从进来到返回全程走通——包括目标地址重写、流量转发放行、回程路径一致三个环节。
DNAT 规则必须加在 PREROUTING 链
外网数据包一到达网关公网接口（比如 eth0），还没做路由判断前，就要完成目标地址改写。所以规则只能写在 nat 表的 PREROUTING 链，不能写在 INPUT 或 POSTROUTING。
- 命令格式固定：
iptables -t nat -A PREROUTING -i [公网接口] -p [协议] --dport [对外端口] -j DNAT --to-destination [内网IP]:[内网端口] - 例如将访问
203.101.50.80:80的 HTTP 请求转给192.168.1.100:80：iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:80 - --dport 必须和内网服务实际监听端口一致；--to-destination 后只写 IP:端口，不加 http:// 或斜杠
必须配套放开 FORWARD 链并启用 IP 转发
DNAT 只改目标地址，Linux 默认禁止转发非本机的数据包，所以必须显式允许转发，并确保回程流量能正常出去。
- 开启内核转发：
echo 1 > /proc/sys/net/ipv4/ip_forward，并写入/etc/sysctl.conf持久化 - 放行已建立连接的响应包（建议放在 FORWARD 链最前面）：
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT - 放行新建连接：从公网进、目标为指定内网服务器的包
iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 80 -d 192.168.1.100 -j ACCEPT - 如需内网服务器主动访问外网（如更新、日志上报），再加一条出向规则：
iptables -A FORWARD -s 192.168.1.100 -j ACCEPT
注意内网用户通过公网 IP 访问时的“回流”问题
如果内网用户用公网 IP（比如 203.101.50.80）访问自己的 Web 服务，可能打不开——因为响应包绕过网关直接二层转发，导致地址转换不完整，连接被丢弃。
- 本质是流量来回路径不一致：请求走了网关做了 DNAT，响应却没走网关，无法反向还原连接状态
- 解决方法有两种：
① 内网用户改用内网地址直连（推荐，简单可靠）
② 在网关上额外加一条 OUTPUT 链的 DNAT 规则，让本机发起的、目标为公网 IP 的请求也做一次地址转换，强制走同一路径
验证与调试要点
配置完别急着测浏览器，先分步确认链路是否打通：
- 在外网机器用
telnet 203.101.50.80 80或curl -v http://203.101.50.80测试连通性 - 在网关上执行
iptables -t nat -vnL PREROUTING和iptables -vnL FORWARD，看对应规则的 packet 数是否增长 - 检查内网服务器是否监听在
0.0.0.0:80（而非仅127.0.0.1:80），且防火墙未拦截该端口 - 若用域名访问，确认 DNS 解析结果确实是公网 IP，而不是被本地 hosts 或内网 DNS 误解析成内网地址
