2.8. 使用 nftables 配置端口转发

流程

1. 创建一个名为 nat 、具有 ip 地址系列的表：

   # nft add table ip nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }

   注意

   将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解析为 nft 命令的选项。

3. 向 prerouting 链中添加一条规则，将端口 8022 上的传入数据包重定向到本地端口 22 ：

   # nft add rule ip nat prerouting tcp dport 8022 redirect to :22

流程

1. 创建一个名为 nat 、具有 ip 地址系列的表：

   # nft add table ip nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft -- add chain ip nat prerouting { type nat hook prerouting priority -100 \; }
   # nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }

   注意

   将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解析为 nft 命令的选项。

3. 向 prerouting 链添加一条规则，该规则将端口 443 上的传入数据包重定向到 192.0.2.1 上的同一端口：

   # nft add rule ip nat prerouting tcp dport 443 dnat to 192.0.2.1

4. 向 postrouting 链中添加一条规则来伪装出站流量：

   # nft add rule ip nat postrouting daddr 192.0.2.1 masquerade

5. 启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf