司空私有化内外网混合部署下的网络打通

这条 iptables 命令是一条典型的目标网络地址转换（Destination Network Address Translation, DNAT）规则。它的核心作用是在数据包进入防火墙路由决策之前，修改其目标IP地址。当外部网络的数据包尝试访问 192.168.1.2 这个（通常是内网）地址时，这条规则会将其目标地址重写为 9.9.9.1（一个公网地址），从而将数据包重定向到另一台服务器。

这在需要将内部服务发布到公网，而服务本身没有公网IP地址的场景下非常有用，例如端口转发。

---

2.1 原理#

iptables 是 Linux 内核中 Netfilter 框架的用户空间管理工具，用于配置防火墙规则。Netfilter 在内核中定义了五个“钩子”（Hooks），数据包在网络协议栈中流经这些钩子点时，会触发相应的规则链（Chain）。

这条命令作用于 nat 表的 PREROUTING 链，其工作原理如下：

1.

数据包到达网络接口：当一个数据包从外部网络到达运行 iptables 的 Linux 主机（通常是路由器或防火墙）的网络接口时。

2.

进入 PREROUTING 链：在内核进行任何路由决策（即判断数据包是发往本机、转发还是丢弃）之前，数据包会首先经过 nat 表的 PREROUTING 链。

3.

规则匹配：

iptables 会检查该链中的规则。

这条规则会匹配所有目标IP地址为 192.168.1.2 的数据包。

4.

执行动作（DNAT）：

一旦匹配成功，iptables 就会执行 -j 参数指定的动作，即 DNAT。

DNAT 会修改数据包的目标IP地址，将其从 192.168.1.2 更改为 --to-destination 指定的 9.9.9.1。

重要：Netfilter 的连接跟踪（Connection Tracking）机制会记录下这个地址转换。

5.

重新进行路由决策：目标地址被修改后，内核会根据新的目标地址 9.9.9.1 重新进行路由决策，并将数据包转发出去。

6.

响应包的处理：当目标服务器（9.9.9.1）返回响应数据包时，该数据包会再次到达这台 Linux 主机。连接跟踪机制会识别出这是之前那个被转换过的连接的返回包。在 PREROUTING 阶段，iptables 会自动进行反向DNAT操作，将响应包的源IP地址从 9.9.9.1 修改回 192.168.1.2，然后才发回给原始的请求客户端。这样，对于客户端来说，它感觉自己一直在与 192.168.1.2 通信，整个地址转换过程是透明的。

---

2.2 参数含义#

下面是该命令中每个参数的详细解释：

参数	完整形式	含义
iptables		iptables 命令本身，用于管理 Netfilter 防火墙规则。
-t nat	--table nat	指定要操作的表是 nat 表。iptables 有多个表，nat 表专门用于网络地址转换。
-A PREROUTING	--append PREROUTING	将这条规则追加（Append）到 PREROUTING 链的末尾。PREROUTING 链处理的是刚进入网络接口，还未进行路由决策的数据包。
-d 192.168.1.2	--destination 192.168.1.2	这是一个匹配条件，用于指定规则所匹配的数据包的目标IP地址。这里指的是所有发往 192.168.1.2 的数据包。
-j DNAT	--jump DNAT	指定当数据包满足前面的匹配条件时要执行的动作（Target）。DNAT 是一个特定的目标，表示执行目标网络地址转换。
--to-destination 9.9.9.1		这是 DNAT 目标的附加选项，用于指定新的目标IP地址。数据包的目标地址将被重写为 9.9.9.1。

---

2.3 效果#

执行这条命令后，会产生以下效果：

端口转发/服务发布：所有从外部发送到该防火墙、且目标地址为 192.168.1.2 的流量，都会被透明地重定向到 IP 地址为 9.9.9.1 的另一台主机上。

隐藏内部服务：内部提供服务的主机（192.168.1.2）的真实 IP 地址对外部客户端是不可见的。客户端只知道防火墙的地址（或者它认为的服务地址）。

有状态的转换：由于 Netfilter 的连接跟踪机制，这种转换是有状态的。这意味着一旦一个连接被建立，所有后续属于该连接的数据包（包括响应包）都会被自动正确地进行地址转换，无需为返回的流量再单独设置规则。