Oracle Linux 8下iptables规则无法添加保存及WireGuard IP流量转发失效求助

碰到这种iptables规则不生效、配置和实际输出不一致的情况确实挺闹心的，我结合Oracle Linux 8的特性给你梳理下排查和解决步骤：

一、先搞清楚iptables规则的加载/保存路径（你可能踩了路径的坑） #

Oracle Linux 8属于RHEL系，默认iptables-service服务加载的规则文件是/etc/sysconfig/iptables，而不是你修改的/etc/iptables/rules！这就是为什么你直接改后者没效果，iptables -S（显示当前生效规则）和cat /etc/iptables/rules输出不一致的核心原因。

先验证下：

• 查看当前iptables服务状态：sudo systemctl status iptables
• 导出当前生效的完整规则：sudo iptables-save，把这个输出和/etc/sysconfig/iptables对比，就能看到服务实际加载的是哪个文件。

二、必须开启内核IP转发（流量转发的前提） #

做DNAT/NAT转发的基础是内核允许IP转发，很多人会忽略这一步：

1. 临时开启（重启后失效）：

   sudo sysctl -w net.ipv4.ip_forward=1
   

2. 永久开启（重启后依然生效）：
   编辑/etc/sysctl.conf，添加或修改一行：

   net.ipv4.ip_forward=1
   

   然后执行sudo sysctl -p让配置立即生效。

三、添加完整的转发规则（只加DNAT是不够的！） #

你只添加了PREROUTING的DNAT规则，但返回的流量没有做SNAT/MASQUERADE，导致数据包无法正确回传，这也是流量没转发的关键问题。要添加一对规则：

1. 添加DNAT规则（把WireGuard IP的流量转到本地）

TCP和UDP要分开加：

# TCP流量转发
sudo iptables -t nat -A PREROUTING -p tcp -d 10.66.66.2 --dport 27015 -j DNAT --to-destination 0.0.0.0:27015
# UDP流量转发
sudo iptables -t nat -A PREROUTING -p udp -d 10.66.66.2 --dport 27015 -j DNAT --to-destination 0.0.0.0:27015

2. 添加POSTROUTING规则（让返回流量能正确回到WireGuard）

用MASQUERADE自动适配本地出口IP，比固定SNAT更灵活：

# TCP返回流量处理
sudo iptables -t nat -A POSTROUTING -p tcp -d 0.0.0.0 --dport 27015 -j MASQUERADE
# UDP返回流量处理
sudo iptables -t nat -A POSTROUTING -p udp -d 0.0.0.0 --dport 27015 -j MASQUERADE

四、正确保存规则并重启服务 #

添加完规则后，一定要用RHEL系的专用命令保存，这样重启服务后规则才会生效：

sudo service iptables save

这个命令会把当前内核中生效的规则写入/etc/sysconfig/iptables，之后重启服务：

sudo systemctl restart iptables

五、验证规则是否生效 #

1. 查看nat表的规则是否存在：

   sudo iptables -t nat -L -n -v
   

   你能在PREROUTING和POSTROUTING链里看到刚添加的规则。
2. 测试流量：用nc或者telnet连接10.66.66.2:27015，看是否能通到本地的服务。
3. 抓包验证：用tcpdump查看流量走向：

   sudo tcpdump -i any port 27015
   

额外排查点 #

• 确认WireGuard接口已正确配置：执行ip addr show wg0（假设你的WireGuard接口是wg0），确保10.66.66.2已经分配给该接口。
• 检查iptables配置文件：编辑/etc/sysconfig/iptables-config，确保IPTABLES_SAVE_ON_STOP="yes"和IPTABLES_SAVE_ON_RESTART="yes"是开启的，这样重启服务时会自动加载保存的规则。

备注：内容来源于stack exchange，提问作者pawikoski