如何使用iptables将WAN入站特定流量重定向至WAN侧其他地址

这类入向流量的跨WAN侧重定向需求完全可以通过iptables落地实现，你选择在PREROUTING链配置DNAT的技术方向是完全正确的，配置后无法生效基本都是配套配置缺失导致，不是规则逻辑本身有问题。

底层逻辑说明 #

DNAT的作用是修改数据包的目标IP和端口，这类修改必须在系统执行路由决策前完成，因此PREROUTING是nat表下唯一适配该需求的链。
你要实现的“WAN入站→同WAN侧目标重定向”的完整处理链路是：

• 数据包从WAN接口抵达主机
• PREROUTING链命中规则，将原目标地址/端口替换为你指定的8.8.8.8对应地址
• 内核基于转换后的目标地址查询路由表，选择对应的出接口转发数据包
• 目标返回的流量通过连接追踪机制自动映射回原始请求方的地址，全程不需要手动配置反向规则

基础规则参考 #

以“所有进入WAN口、目标端口为10000的UDP包，重定向到8.8.8.8的10000端口”为例，规则配置命令如下，记得把<WAN接口名>替换成你实际的WAN接口名称（比如eth0、pppoe0、enp3s0等）：

iptables -t nat -A PREROUTING -i <WAN接口名> -p udp --dport 10000 -j DNAT --to-destination 8.8.8.8:10000

精细化规则扩展 #

可以在基础规则上追加匹配条件，实现更细粒度的控制，你提到的两个常见场景的规则修改方式：

• 仅对源IP为1.1.1.1的流量生效：在规则中追加匹配参数-s 1.1.1.1即可
• 仅对原本目标地址为本机192.168.1.1的流量生效：在规则中追加匹配参数-d 192.168.1.1即可
• 如果需要修改转发的目标端口，直接调整--to-destination后的端口值就行，比如要转到8.8.8.8的20000端口，对应参数为--to-destination 8.8.8.8:20000

高频排查点（按优先级排序） #

之前很多人配置完DNAT不生效，基本都是踩了下面的坑：

• 没开内核IP转发：因为这个场景是把包转发到别的主机，不是交给本机进程处理，必须保证net.ipv4.ip_forward=1参数生效，否则转换后的数据包会被内核直接丢弃
• FORWARD链没放通流量：很多人只在nat表加规则，忘了filter表的FORWARD链默认是拒绝所有转发流量的，需要额外加放通规则，比如：

  iptables -A FORWARD -i <WAN接口名> -o <WAN接口名> -p udp -d 8.8.8.8 --dport 10000 -j ACCEPT
  

• 严格反向路径校验拦截：因为这次转发的入接口和出接口是同一个WAN口，内核默认的严格rp_filter策略会判定数据包路径异常直接丢弃，需要把对应WAN接口的rp_filter调整为宽松模式（值为0或2）
• 连接追踪模块未加载：UDP是无连接协议，必须确保nf_conntrack模块正常加载，否则回包无法通过连接追踪映射回原始请求方，会出现包发出去了但客户端收不到响应的问题

内容的提问来源于stack exchange，提问作者Joao Leitao