如何通过Firewalld将外部连接转发至监听localhost的Docker容器服务

我来帮你搞定这个需求——你已经把Postgres容器绑定到127.0.0.1:5432来提升安全性，现在要通过Firewalld把外部请求转发到这个容器，核心是利用Firewalld的端口转发+NAT伪装能力，具体步骤如下：

1. 确保Firewalld正常运行 #

首先检查Firewalld状态，确保它在运行：

systemctl status firewalld

如果未运行，启动并设置开机自启：

systemctl start firewalld
systemctl enable firewalld

2. 开启IP伪装（Masquerade） #

IP伪装是NAT转发的前提，它能让容器正确响应外部请求的回包。执行以下命令开启（以public zone为例，根据你的实际zone调整）：

firewall-cmd --zone=public --add-masquerade --permanent
# 重载规则使配置生效
firewall-cmd --reload

验证是否开启成功：

firewall-cmd --zone=public --query-masquerade

返回yes即为成功。

3. 添加端口转发规则 #

现在添加转发规则，把外部访问服务器的5432端口（可自定义）转发到本地127.0.0.1:5432（容器绑定的端口）：

# 格式：--add-forward-port=port=<外部端口>:proto=tcp:toport=<本地端口>:toaddr=<本地IP>
firewall-cmd --zone=public --add-forward-port=port=5432:proto=tcp:toport=5432:toaddr=127.0.0.1 --permanent
# 重载规则
firewall-cmd --reload

如果你想让外部用不同端口访问（比如外部用5433），只需把命令里的port=5432改成port=5433即可。

4. 验证转发规则 #

查看已添加的转发规则：

firewall-cmd --zone=public --list-forward-ports

你应该能看到类似5432/tcp:127.0.0.1:5432的条目。

5. 确保内核IP转发开启 #

部分系统默认关闭IP转发，需要开启：

# 临时生效
sysctl -w net.ipv4.ip_forward=1
# 永久生效，写入sysctl配置文件
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
# 重载sysctl配置
sysctl -p

6. 测试连接 #

从外部机器尝试连接Postgres服务：

psql -h <你的服务器公网/局域网IP> -p 5432 -U <postgres用户名>

如果能成功连接，说明转发配置生效了。

内容的提问来源于stack exchange，提问作者Unpossible