从零实现Linux软路由：报文转发配置+静态路由+NAT实战

一、什么是报文转发

报文转发是Linux内核网络协议栈的核心功能之一。简单来说，当一个数据包从某个网络接口进入，其目标IP地址不是本机时，Linux会将其**原样转发**到另一个网络接口送出去。这让一台普通PC可以变身为一台**路由器**，连接两个不同的网段。

‍二、核心原理

1. 主机与路由器的区别

普通主机和路由器的根本区别在于：**主机不会将一个报文从一个接口转发到另一个接口，而路由器可以**。在Linux上，这个功能默认是关闭的，需要手动开启。

2. 报文在Linux内核中的旅程

```

网卡入 → PRE_ROUTING → 路由判断 → FORWARD → POST_ROUTING → 网卡出

```

• **PRE_ROUTING**：数据包进入后的第一个处理点，DNAT在此生效

• **路由判断**：内核根据路由表决定数据包是给本机还是转发

• **FORWARD**：转发数据包的必经关卡，iptables过滤在此生效

• **POST_ROUTING**：数据包发出前的最后一站，SNAT在此生效

三、如何开启报文转发

**临时开启**（重启失效）：

```bash

echo 1 > /proc/sys/net/ipv4/ip_forward

```

**永久开启**（编辑`/etc/sysctl.conf`）：

```bash

net.ipv4.ip_forward = 1

sysctl -p

```

开启后，Linux会检查进入的数据包：如果目标IP不是本机，就查询路由表找到出口，然后转发出去。

四、典型应用场景

1. **软路由**：一台Linux电脑连通内网和外网

2. **容器网络**：Docker容器通过宿主机转发访问外网

3. **虚拟机通信**：宿主机作为虚拟交换机的转发核心

4. **VPN网关**：隧道流量的加解密与转发

**一句话总结**：开启`ip_forward` → 理解Netfilter钩子点 → 配置路由规则，即可让Linux实现报文转发。

另外，可以借助 80KM 端口流量转发程序，搭建流量中转节点，所有外网访问经过节点再回源，彻底隐藏真实 IP。支持 80、443 常用网页端口，兼容各大系统。