Linux7命令怎么通过防火墙富规则配置方式，将内网192.168.1.10:8800的web服务端口映射到外网口？

嚯，来说说啥叫防火墙吧。
这玩意儿，也叫防护墙，是CheckPoint那帮人1 9 9 3 年捣鼓出来，搞到互联网上去的（专利号US5 6 06 6 6 8 （A））。
简单讲，防火墙就是个软硬结合的玩意儿，摆放在内部网和外部网、专用网和公共网的交界处，像个屏障一样，保护你的网络不受外界侵扰。
它是个安全网关，把互联网和内网隔开，防止非法用户溜进来。
防火墙主要由服务访问规则、验证工具、包过滤和应用网关这四部分构成。
说白了，你电脑里跑的所有网络通信和数据包，都得从这儿过。

至于防火墙分啥种类，主要从俩方面看：逻辑上和网络物理上。

逻辑上分，有主机防火墙和网络防火墙。
主机防火墙呢，就是保护单个电脑的；网络防火墙呢，一般设在网络入口或者边缘，保护后面的局域网。

物理上分，有硬件防火墙和软件防火墙。
硬件防火墙在硬件层面实现部分功能，另一部分靠软件，性能好，但价格也高。
软件防火墙呢，就是运行在普通硬件上的软件，性能相对差点，但便宜。

接下来，说说具体的防火墙技术：
1 . 包过滤防火墙：这技术是在网络层筛选数据包，看它符不符合预设的规则（访问控制表，ACL）。
它会检查每个数据包的源地址、目的地址、端口号、协议状态这些信息，或者它们的组合，决定是放行还是拦截。
这种防火墙对用户来说是透明的，处理速度快，也容易维护。
但缺点是，一旦被攻破，黑客就能直接攻击主机。
为啥？因为数据包的地址和端口号等信息在头部，很容易被伪造。
“IP地址欺骗”就是黑客常用的攻击手段。

2 . 代理服务型防火墙：这技术是为了弥补包过滤防火墙的不足而出现的。
它的特点是，把跨越防火墙的网络通信分成两段。
当用户想访问某个站点时，代理服务器会先检查请求符不符合规则。
如果符合，代理服务器就替用户去访问那个站点，把信息拿回来再给用户。
内外网的访问都是通过代理服务器上的“链接”进行的，这样就隔离了内外网计算机系统。
此外，代理服务器还会分析过往的数据包，做记录，发现有攻击迹象时会向管理员发警告，并保留攻击记录。

Linux如何配置NAT实现端口映射

在Linux系统里，通过NAT进行端口映射是个常用的操作，主要借助iptables或更先进的nftables来完成。
下面，我就来详细说说如何使用iptables来配置端口映射，步骤如下：
首先，得打开IP转发功能。
Linux默认是不开启的，所以你得手动去修改配置文件。
打开/etc/sysctl.conf，确保里面有这行配置net.ipv4 .ip_forward=1 ，如果没有，就加上去。
然后，运行sysctl -p让改动立即生效。

接下来，配置DNAT来映射端口。
你需要用iptables的nat表的PREROUTING链，把外部的请求重定向到内网主机。
举个例子，把公网IP的2 2 2 2 端口映射到内网1 9 2 .1 6 8 .1 .1 00的2 2 端口（即SSH服务），命令是这样的：
bash iptables -t nat -A PREROUTING -p tcp --dport 2 2 2 2 -j DNAT --to-destination 1 9 2 .1 6 8 .1 .1 00:2 2
这里的参数解释一下：-t nat指定操作的是nat表，-A PREROUTING是在数据包进入系统时处理，-p tcp --dport 2 2 2 2 是匹配目标端口为2 2 2 2 的TCP请求，而-j DNAT --to-destination 1 9 2 .1 6 8 .1 .1 00:2 2 则是将目标地址改为内网主机的2 2 端口。

然后，你可能还需要配置SNAT或MASQUERADE来确保回包能正确路由。
如果内网主机的默认网关不是你的NAT服务器，你就要这么做。
比如，在动态IP场景下，比如PPPoE，你可以用MASQUERADE来自动适配出口IP：
bash iptables -t nat -A POSTROUTING -s 1 9 2 .1 6 8 .1 .0/2 4 -o eth0 -j MASQUERADE
这里，-s 1 9 2 .1 6 8 .1 .0/2 4 匹配内网网段，-o eth0指定出口网卡，而-j MASQUERADE则是动态伪装源IP。

对于固定IP场景，你可以用SNAT来指定出口IP：
bash iptables -t nat -A POSTROUTING -s 1 9 2 .1 6 8 .1 .0/2 4 -o eth0 -j SNAT --to-source 公网IP
这里，--to-source 公网IP是手动指定源IP为公网IP。

别忘了保存这些规则，设置开机自动加载。
在Debian/Ubuntu系统上，你可以这样保存：
bash iptables-save > /etc/iptables/rules.v4
如果目录不存在，先创建它：mkdir -p /etc/iptables。

在CentOS/RHEL系统上，你可以通过service iptables save命令来保存，或者手动执行：
bash iptables-save > /etc/sysconfig/iptables
验证和测试也很关键。
你可以用iptables -t nat -L -n -v来检查规则是否生效，并测试端口映射，比如从外部访问公网IP的2 2 2 2 端口，看是否能连接到内网1 9 2 .1 6 8 .1 .1 00的SSH服务。

最后，别忘了检查防火墙设置，确保它没有阻止2 2 2 2 端口。
ufw和firewalld都是常用的防火墙工具。

如果遇到问题，比如无法连接或回包失败，得排查一下。
检查SSH服务是否运行，内网防火墙是否阻止了2 2 端口，SNAT/MASQUERADE规则是否配置正确，出口网卡的IP地址是否正确，还有规则是否保存到了正确的路径。

这样，你就能在Linux上配置好NAT端口映射，让外部访问公网IP特定端口时，能够透明地转发到内网主机服务上了。

如何在Linux中端口转发 Linux iptables端口映射

Hey，Linux小技巧来啦！想在Linux里玩转端口转发？iptables来帮你！这招特别适合那些需要在内网中公开服务、当代理或者突破端口限制的小伙伴。
来，跟着我一步步来：
1 . 首先，得打开IP转发功能，这是大前提。
临时开启的话，就这么来：echo 1 > /proc/sys/net/ipv4 /ip_forward。
要是想永久开启，编辑 /etc/sysctl.conf 文件，加一行 net.ipv4 .ip_forward=1 ，然后运行 sysctl -p 使之生效。

2 . 接下来，配置iptables规则。
根据你的需求，选合适的规则类型。
比如：

场景一：把本机的端口流量转发到内网其他主机。
比如说，把本机的8 08 0端口TCP流量转到内网主机1 9 2 .1 6 8 .1 .1 00的8 0端口。
步骤是：添加PREROUTING规则（DNAT）和POSTROUTING规则（MASQUERADE）。

场景二：本机端口重定向。
比如，把本机的8 0端口TCP流量重定向到本机的8 08 0端口。
简单几步：iptables -t nat -A PREROUTING -p tcp --dport 8 0 -j REDIRECT --to-ports 8 08 0。

3 . 如果你要转发的目标不是本机，记得允许FORWARD链上的流量通过。

4 . 规则看好了，别忘了保存。
查看NAT表规则用 iptables -t nat -L -n -v，保存规则的话，Ubuntu/Debian系统是 iptables-save > /etc/iptables/rules.v4 ，CentOS/RHEL系统是 service iptables save 或者 iptables-save > /etc/sysconfig/iptables。
为了持久化，你可以用 netfilter-persistent 这样的工具或者设置系统自动加载规则。

5 . 注意几个小细节：确保防火墙放行相关端口，IP转发功能必须开启，使用DNAT时别忘了配合MASQUERADE或SNAT，规则顺序很重要，复杂环境先测试再部署，最后用telnet或curl测试一下端口转发是否成功。

举个例子，如果你要把本机的8 08 0端口转发到内网1 9 2 .1 6 8 .1 .1 00的8 0端口，操作流程大致是这样的：

启用IP转发：echo 1 > /proc/sys/net/ipv4 /ip_forward
添加DNAT和MASQUERADE规则：iptables -t nat -A PREROUTING -p tcp --dport 8 08 0 -j DNAT --to-destination 1 9 2 .1 6 8 .1 .1 00:8 0 和 iptables -t nat -A POSTROUTING -d 1 9 2 .1 6 8 .1 .1 00 -p tcp --dport 8 0 -j MASQUERADE
允许FORWARD链流量：iptables -A FORWARD -p tcp -d 1 9 2 .1 6 8 .1 .1 00 --dport 8 0 -j ACCEPT 和 iptables -A FORWARD -p tcp -s 1 9 2 .1 6 8 .1 .1 00 --sport 8 0 -j ACCEPT
保存规则：iptables-save > /etc/iptables/rules.v4
这样，你的端口转发就搞定了！

linux上外网--通过安卓手机

安卓手机装个代理软件，比如SSRR，就能轻松上外网，对吧？默认端口是1 08 0。
可Linux系统，比如Ubuntu，就没这么方便，没现成的傻瓜式代理客户端。
那Linux能不能用手机的代理来上网呢？当然能。

想让Linux终端通过手机代理上网，关键一步就是用adbforward把手机和电脑的端口打通，做个端口映射。
具体怎么操作呢？
首先，手机用数据线连上Linux电脑，俩设备得连上。
然后手机上启动SSRR，记得把1 08 0端口打开，不过这个端口只是手机自己用。

接着，电脑上打开命令行，敲命令 adb forward tcp:1 08 0 tcp:1 08 0。
这个命令的作用就是把手机上的1 08 0端口，转发到电脑上的1 08 0端口。

做完这些，Linux电脑上再装个proxychains工具，用这个工具把网络请求都发往电脑的1 08 0端口。
这样一来，电脑上的代理软件就接收到这些请求，然后去访问外网，结果就返回给Linux电脑了。

这么一通操作，Linux电脑就靠着手机上的代理软件，成功上外网了。
根本不用再单独装什么代理软件，是不是挺方便？这方法就是充分利用了手机和电脑之间的连接，让它们互相帮忙，干成一件事儿。