内核开启IP转发

是否需要开启，主要是作用于是否需要将流量转发到外部主机

sysctl -w net.ipv4.ip_forward=1

然后在文件/etc/sysctl.conf里面修改参数，以保持永久开启

net.ipv4.ip_forward = 1

SNAT修改来源地址

iptables -t nat -I PREROUTING -s 192.168.1.111 -j SNAT --to-source 192.168.1.101
#将报文中的来源IP修改成192.168.1.101

DNAT修改目标地址

场景：客户端访问服务器A，服务器A（101）通过iptables将流量转到服务器B（102）

iptables -t nat -I PREROUTING  -p tcp --dport 80 -j DNAT --to-destination 192.168.1.102:80
iptables -t nat -I POSTROUTING -p tcp --dport 80 -d 192.168.1.102 -j SNAT --to-source 192.168.1.101

这里需要在POSTROURING链增加SNAT的原因：服务器B正常响应报文，但是报文中的来源地址是服务器B，客户端最初发送请求时的目标地址是A服务器的IP地址，客户端在收到响应后会将其丢弃，因为响应的目标地址与请求时的目标地址不匹配。

MASQUERADE动态修改来源地址

场景：将私网地址全部映射成外网网卡对应的IP，外网的主机只会看到来自路由器外部接口的流量

iptables -t nat -I POSTROUTING -s 192.168.1.0/24 -o ens32 -j MASQUERADE

REDIRECT重定向本地端口

场景：将80端口流量重定向到本地8080端口

iptables -t nat -I PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080