必须先确认网关主机双网卡配置正确并测试内外网连通性，再启用内核ip转发，接着在nat表postrouting链配置snat或masquerade规则，最后放行forward链并保存规则。
确认网关主机网络角色与基础连通性
要让内网主机通过Linux网关访问外网，必须先明确哪台机器承担网关角色，并确保其双网卡已正确配置：一块接内网（如192.168.100.1/24），一块接外网（如12.0.0.1/24）。
在网关主机上执行 ip a 查看两个接口是否均已分配IP且UP状态；用 ping -c 3 192.168.100.10 和 ping -c 3 12.0.0.100 分别测试内网和外网连通性——任一不通，SNAT配置将无法生效。
开启Linux内核IP转发功能
Linux默认关闭IP转发，这是SNAT生效的【硬性前提】。不启用此功能，数据包会在网关直接丢弃，不会进入nat表处理流程。
临时启用：执行 echo 1 > /proc/sys/net/ipv4/ip_forward。
永久启用：编辑 /etc/sysctl.conf，追加一行 net.ipv4.ip_forward = 1，然后运行 sysctl -p 加载生效。若跳过此步，后续所有iptables规则对跨网段流量均无效。
配置SNAT规则实现内网共享上网
SNAT必须作用于nat表的POSTROUTING链，且仅对从内网发出、经外网接口转发出去的流量生效。
方法一：使用固定公网IP做源地址替换
假设内网网段为 192.168.100.0/24，外网出口网卡为 ens33，公网IP为 12.0.0.1，则执行：iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j SNAT --to-source 12.0.0.1
方法二：使用动态伪装（推荐用于DHCP获取公网IP的场景）
当外网IP不固定（如PPPoE拨号）时，必须用MASQUERADE替代SNAT：iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -o ens33 -j MASQUERADE
注意：MASQUERADE会自动读取出口网卡当前IP，无需手动指定，且能应对IP变化。
验证规则是否写入：运行 iptables -t nat -vnL POSTROUTING，确认输出中包含对应条目，且pkts计数随内网主机访问外网而增长。
放行FORWARD链以允许流量通过网关
即使SNAT规则存在，若FORWARD链默认策略为DROP或无匹配规则，数据包仍会被拦截在转发环节。
第一步：设置FORWARD默认策略为ACCEPT（实验环境可快速验证）iptables -P FORWARD ACCEPT
第二步：添加显式放行规则（生产环境必需）
允许内网→外网方向：iptables -A FORWARD -i ens36 -o ens33 -s 192.168.100.0/24 -j ACCEPT
允许外网→内网响应方向（连接跟踪自动放行，通常无需额外规则）：
第三步：保存规则防止重启丢失
CentOS 7/RHEL 7执行：service iptables save 或 iptables-save > /etc/sysconfig/iptables
