How can you set up a Linux system as a router using IP forwarding and iptables?

如何使用 IP 转发和 iptables 将 Linux 系统设置为路由器？

要将 Linux 系统设置为路由器，主要需要做两件事：启用 IP 转发和正确配置 iptables 规则。下面，我将逐步解释如何操作。

步骤 1: 启用 IP 转发

1. 永久启用 IP 转发 为了让 Linux 系统能够转发数据包，首先需要启用 IP 转发功能。这可以通过修改系统配置文件来实现。编辑 /etc/sysctl.conf 文件，加入以下内容：

   bash
   net.ipv4.ip_forward = 1

   保存并关闭文件。这个设置在系统重启后仍然有效。

2. 临时启用 IP 转发 如果你希望立即启用 IP 转发但不重启系统，可以使用以下命令：

   bash
   sudo sysctl -w net.ipv4.ip_forward=1

   这只是临时改变，重启后失效。

步骤 2: 配置 iptables 规则

设置好 IP 转发后，接下来需要配置防火墙，使其允许数据包的转发。这可以通过设置 iptables 规则来实现。

1. 设置 NAT 转发规则 假设你的 Linux 系统有两个网络接口：eth0 连接到互联网，eth1 连接到内部网络。你需要配置 NAT（网络地址转换），以允许内部网络访问互联网。使用以下 iptables 命令：

   bash
   sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

   这条命令将所有从 eth1 出来，通过 eth0 发送到互联网的数据包源地址转换为 eth0 的 IP 地址。

2. 允许转发的数据包通过 你还需要确保从内部网络到外部网络的转发请求被允许。可以设置 FORWARD 链的规则：

   bash
   sudo iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
   sudo iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT

   第一条命令允许所有从 eth1 到 eth0 的数据包通过。第二条命令允许已经建立的和相关的连接的回应数据包回流通过 eth0 到 eth1。

3. 保存 iptables 规则 配置完成后，确保在系统重启后这些规则仍然有效。可以使用 iptables-save 和 iptables-restore 命令或者其他持久化工具，如 netfilter-persistent。

   bash
   sudo apt-get install iptables-persistent

   安装后，使用以下命令保存规则：

   bash
   sudo netfilter-persistent save

总结

通过以上步骤，你的 Linux 系统现在应该能够作为路由器使用，转发内部网络到互联网的流量。这样设置后，内部网络的设备就可以通过 Linux 路由器访问互联网了，同时还保持了网络的安全性。