【转载】Iptables实现公网IP DNAT/SNAT

原文地址： http://www.haiyun.me/archives/iptables-dnat-public-ip.html

Iptables实现NAT是最基本的功能，大部分家用路由都是基于其SNAT方式上网，使用Iptables实现外网DNAT也很简单，不过经常会出现不能正常NAT的现象。
以下命令将客户端访问1.1.1.1的HTTP数据DNAT到2.2.2.2，很多人往往只做这一步，然后测试不能正常连接。

iptables -t nat -A PREROUTING -p tcp -d 1.1.1.1 --dport 80 -j DNAT --to 2.2.2.2:80

想像一下此时客户端访问1.1.1.1的数据流程：
客户端访问1.1.1.1
1.1.1.1根据Iptables DNA将数据包发往2.2.2.2，此时源IP为客户端IP
2.2.2.2处理后根据源IP直接向客户端返回数据，要知道此时客户端是直接和1.1.1.1连接的
然后呢，客户端不知所云，不能正常连接
最后还要添加一条SNAT规则，将发到2.2.2.2的数据包SNAT，1.1.1.1充当代理服务器的角色。

iptables -t nat -A POSTROUTING -d 2.2.2.2 -j SNAT --to-source 1.1.1.1

别忘记开启内核转发功能：

echo 1 > /proc/sys/net/ipv4/ip_forward