必须开启IP转发并配置DNAT、FORWARD放行和SNAT/MASQUERADE三步：先启用net.ipv4.ip_forward=1，再在nat表PREROUTING链做目标地址转换，接着在FORWARD链放行对应流量，最后在POSTROUTING链做源地址转换确保响应可达。
要在Linux上让外部客户端通过公网IP访问内网服务器的服务，必须用iptables在内核态完成目标地址转换（DNAT），只改一条PREROUTING规则远远不够，漏掉任一环节都会导致连接失败。
确认并开启IP转发功能
Linux默认不转发非本机目的地址的数据包。若此步未启用，后续所有iptables规则都无效，数据包会在进入FORWARD链前就被内核静默丢弃。
运行 sysctl net.ipv4.ip_forward 查看当前值。输出为 net.ipv4.ip_forward = 0 说明未开启。
临时启用：执行 echo 1 > /proc/sys/net/ipv4/ip_forward，立即生效但重启后失效。
【永久生效必须写入配置】 编辑 /etc/sysctl.conf，追加一行 net.ipv4.ip_forward = 1，再运行 sysctl -p 加载。
添加PREROUTING DNAT规则
这是端口映射的核心动作：把到达本机外网接口的入向流量，目标IP和端口重写为内网服务地址。
方法一（基础写法）：iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
方法二（推荐，显式指定入口网卡）：iptables -t nat -A PREROUTING -i ens33 -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80。多网卡机器不加 -i 会导致规则误匹配内网流量，转发失效。
注意：--dport 必须填客户端实际访问的**外网端口**（如8080），不是内网服务端口（80）；--to-destination 后的IP必须能被本机路由到达——用 ping -c 3 192.168.1.100 验证连通性，不通则规则必然无效。
放行FORWARD链流量
DNAT改完目的地址后，数据包进入FORWARD链。若此处无匹配规则且默认策略是DROP（生产环境常见），包直接被丢弃，根本进不了POSTROUTING。
第一步：允许已建立连接的回程包通过。iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
第二步：显式放行去往内网服务的新建连接。iptables -A FORWARD -i ens33 -o ens34 -p tcp -d 192.168.1.100 --dport 80 -j ACCEPT
第三步：检查规则顺序是否被前置REJECT/DROP拦截。iptables -L FORWARD -n --line-numbers，确认ACCEPT规则排在DROP之前。
配置POSTROUTING MASQUERADE或SNAT
这一步确保内网服务返回的数据包源IP是网关自身，否则客户端收不到响应——因为内网服务直连发包，源IP仍是192.168.1.100，客户端无法识别该地址。
方法一（动态出口IP，推荐用于DHCP环境）：iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ens33 -j MASQUERADE
方法二（静态出口IP，适用于固定公网IP）：iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ens33 -j SNAT --to-source 203.0.113.45，其中203.0.113.45是本机外网IP。
注意：不要用 -d 192.168.1.100 匹配，POSTROUTING处理的是**出向**包，此时目的地址已是客户端IP，匹配内网目标会失败。
