答案：Linux端口转发需启用IP转发并配置iptables规则，首先通过修改/proc/sys/net/ipv4/ip_forward或sysctl.conf永久开启IP转发，然后使用iptables的PREROUTING链设置DNAT目标地址转换，POSTROUTING链添加MASQUERADE源地址伪装，并在FORWARD链允许相应流量，最后保存规则防止重启丢失。
Linux 设置端口转发主要依赖于 iptables 或较新的 nftables 工具，同时需要确保系统启用了 IP 转发功能。下面以常见的 iptables 方式说明如何配置端口转发规则。
启用 IP 转发
在进行端口转发前，必须开启系统的 IP 转发功能：
1. 临时启用（重启后失效）：echo 1 > /proc/sys/net/ipv4/ip_forward
2. 永久启用：编辑 /etc/sysctl.conf 文件，确保包含以下行：
net.ipv4.ip_forward = 1
保存后执行命令生效：
sysctl -p
使用 iptables 配置端口转发
假设你想将进入本机 8080 端口的流量转发到内网另一台主机 192.168.1.100 的 80 端口，可以按以下步骤操作。
1. 添加 PREROUTING 规则（DNAT）：这条规则告诉系统：当有数据包到达本机的 8080 端口时，将其目标地址改为 192.168.1.100:80。
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 192.168.1.100:80
2. 添加 POSTROUTING 规则（SNAT 或 MASQUERADE）：如果转发的目标是内网主机，通常还需要修改源地址，让内网主机能正确回包。
若本机是路由器或网关：
iptables -t nat -A POSTROUTING -d 192.168.1.100 -p tcp --dport 80 -j MASQUERADE
3. 确保 FORWARD 链允许流量通过：
默认情况下，FORWARD 链可能拒绝转发。需添加允许规则：
iptables -A FORWARD -p tcp -d 192.168.1.100 --dport 80 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.1.100 --sport 80 -j ACCEPT
常见应用场景示例
将外部访问本机 2222 端口的 SSH 请求转发到内网 192.168.1.50 的 22 端口：iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to 192.168.1.50:22
iptables -t nat -A POSTROUTING -j MASQUERADE
iptables -A FORWARD -d 192.168.1.50 -p tcp --dport 22 -j ACCEPT
保存规则（防止重启丢失）
不同发行版保存方式略有不同：
Debian/Ubuntu：iptables-save > /etc/iptables/rules.v4
CentOS/RHEL：service iptables save（需安装 iptables-services）
或者手动保存：iptables-save > /root/iptables-rules.backup
恢复时使用：iptables-restore
基本上就这些。只要开启 IP 转发并正确设置 DNAT 和 SNAT 规则，Linux 就能充当简单的端口转发网关。注意防火墙顺序和规则匹配逻辑，避免被其他规则拦截。
