无防火墙控制权下高带宽本地安防服务器公网暴露问题求助

问题背景 #

需要部署多台视频安防本地服务器，需暴露至公网但无防火墙控制权（无法做路由器端口转发），带宽需求100-200Mbps。此前采用方案：AWS Linux EC2实例（带公网IP/DNS）+ ZeroTier构建SD-WAN连接EC2与本地服务器，配置EC2的NAT prerouting表实现TCP流量转发（如http://proxy.com:8000转发至123.456.789.101:333）。运行数月后因EC2重启未保存配置失效，重新执行以下命令后无法恢复功能：

sudo sysctl -w net.ipv4.conf.all.forwarding=1
sudo iptables -t nat -A PREROUTING -p tcp --dport 7565 -j DNAT --to-destination 10.241.94.154:7563

其中10.241.94.154为本地服务器ZeroTier网段IP，7563为目标端口。

1. 可能的失误或遗漏点 #

• sysctl配置未持久化：sysctl -w仅临时生效，EC2重启后会重置。需将net.ipv4.conf.all.forwarding=1写入/etc/sysctl.conf或/etc/sysctl.d/99-custom.conf，再执行sysctl -p让配置永久生效。
• iptables规则未保存：iptables -A添加的规则是临时的，重启后丢失。需用iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu）或service iptables save（RHEL/CentOS）保存规则，确保重启后自动加载。
• 缺少POSTROUTING规则：DNAT仅修改了目标地址，返回流量需要SNAT才能正确回传。需添加对应规则：

  # 针对单个目标服务器的SNAT规则
  sudo iptables -t nat -A POSTROUTING -d 10.241.94.154/32 -p tcp --dport 7563 -j MASQUERADE
  # 或针对整个ZeroTier网段的SNAT规则
  sudo iptables -t nat -A POSTROUTING -s 10.241.0.0/16 -j MASQUERADE
  

• ZeroTier连接异常：检查EC2的ZeroTier服务状态（sudo systemctl status zerotier-one），确认本地服务器在ZeroTier网络中处于在线状态，测试EC2与本地服务器的ZeroTier网段连通性（ping 10.241.94.154）。
• EC2安全组限制：确认EC2安全组已放行7565端口的入站TCP流量，同时放行ZeroTier网段（如10.241.0.0/16）的出站流量到7563端口。
• 路由表配置缺失：检查EC2的路由表，确认存在ZeroTier网段的路由条目，确保流量能正确转发到ZeroTier虚拟网卡（通常命名为ztxxxxxx）。

2. 更优方案 #

方案一：ZeroTier原生端口转发/公网虚拟IP #

ZeroTier控制台支持直接配置端口转发规则，将EC2公网端口映射到本地服务器的ZeroTier IP+端口，无需手动配置iptables；也可开启Public IP功能，为本地服务器分配ZeroTier提供的公网虚拟IP。优点是配置由ZeroTier管理，重启不丢失，减少EC2的运维复杂度。

方案二：反向代理工具替代iptables（Nginx/HAProxy） #

在EC2上部署Nginx或HAProxy，通过配置文件实现反向转发，示例Nginx配置：

server {
    listen 7565;
    location / {
        proxy_pass http://10.241.94.154:7563;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

优点是配置直观，支持流量日志、负载均衡（适配多台本地服务器），配置文件可持久化，重启后自动加载，便于后续扩展维护。

方案三：Cloudflare Tunnel替代EC2中转 #

使用Cloudflare Tunnel（原Argo Tunnel），无需EC2实例中转，直接在本地服务器安装cloudflared客户端，连接到Cloudflare后即可通过自定义域名访问本地服务。优点是无需维护云服务器，带宽由Cloudflare承载，自带HTTPS加密，满足100-200Mbps带宽需求（需匹配对应Cloudflare套餐）。

内容的提问来源于stack exchange，提问作者DForesi