6.6. 使用 nftables 配置端口转发

过程 6.17. 将传入的数据包转发到不同的本地端口

1. 使用 ip 地址系列创建一个名为 nat 的表：

   # nft add table ip nat

   Copy to Clipboard Toggle word wrap
2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }

   Copy to Clipboard Toggle word wrap
   注意
   将 -- 选项传给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。
3. 向 prerouting 链中添加一条规则，将端口 8022 上的传入数据包重定向到本地端口 22 ：

   # nft add rule ip nat prerouting tcp dport 8022 redirect to :22

   Copy to Clipboard Toggle word wrap

过程 6.18. 将特定本地端口上传入的数据包转发到不同主机

1. 使用 ip 地址系列创建一个名为 nat 的表：

   # nft add table ip nat

   Copy to Clipboard Toggle word wrap
2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }

   Copy to Clipboard Toggle word wrap
   注意
   将 -- 选项传给 nft 命令，以避免 shell 将负优先级值解析为 nft 命令的选项。
3. 向 prerouting 链添加一条规则，该规则将端口 443 上的传入数据包重定向到 192.0.2.1 上的同一端口：

   # nft add rule ip nat prerouting tcp dport 443 dnat to 192.0.2.1

   Copy to Clipboard Toggle word wrap
4. 向 postrouting 链中添加一条规则来伪装出站流量：

   # nft add rule ip nat postrouting ip daddr 192.0.2.1 masquerade

   Copy to Clipboard Toggle word wrap
5. 启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

   Copy to Clipboard Toggle word wrap