如何为兼具路由与服务器功能的Debian系统配置ISP委托的静态IP（子网路由模式）

我之前也碰到过ISP这种子网路由的配置方式，一开始确实有点绕——毕竟静态IP不是直接绑在WAN口上，而是要通过动态获取的WAN网关来转发，而且你的Debian还要同时当路由器，确实要兼顾好几个点。结合你的需求（把66.161.243.109配在Debian本身，同时让它承担路由功能），咱们一步步来配置：

第一步：先理清楚核心逻辑（避免踩坑） #

先再给你捋一遍ISP的规则，确保咱们同频：

• 你的Debian的WAN口（比如eth0）会通过DHCP动态获取一个ISP分配的临时IP，这个IP就是你那两个静态IP的网关
• 静态IP块（66.161.243.108/30，因为子网掩码255.255.255.252，所以网段是108-111）的所有流量，都要通过这个动态WAN网关出去
• 你的Debian既是路由器（要给LAN口设备做NAT转发），又是服务器（要把静态IP109绑在自己身上对外提供服务）

第二步：配置动态WAN接口 #

首先得让Debian的WAN口正常获取动态IP，假设你的WAN口是eth0（可以用ip link show命令确认自己的接口名，比如可能是enp0s3之类的）：
编辑/etc/network/interfaces文件，添加或修改以下内容：

auto eth0
iface eth0 inet dhcp

保存后重启网络服务：systemctl restart networking
这时候你可以用ip addr show eth0确认已经拿到了动态IP，用ip route show看一下默认网关（就是那个动态IP对应的网关，后面要用到）

第三步：给Debian绑定静态IP #

咱们可以给WAN口加一个虚拟别名接口来承载静态IP，这样不用改动主WAN口的DHCP配置：
编辑/etc/network/interfaces，在刚才的eth0配置下面加：

auto eth0:0
iface eth0:0 inet static
  address 66.161.243.109
  netmask 255.255.255.252
  # 这里不用写gateway，因为网关是动态获取的，后面用路由规则指定

保存后重启网络，用ip addr show就能看到eth0:0接口已经绑定了109这个静态IP了

第四步：配置静态IP的路由规则（关键！） #

因为静态IP的流量必须通过动态WAN网关走，而网关是DHCP动态分配的，每次续租可能会变，所以咱们要做个自动更新路由的脚本，避免每次重启都要手动改。

1. 创建一个DHCP钩子脚本，路径是/etc/dhcp/dhclient-exit-hooks.d/static-routes，内容如下：

#!/bin/sh
# 当WAN口eth0获取到DHCP地址或续租时，更新静态IP块的路由
if [ "$interface" = "eth0" ] && ([ "$reason" = "BOUND" ] || [ "$reason" = "RENEW" ]); then
  # 先删除旧的路由（如果有的话）
  ip route del 66.161.243.108/30 2>/dev/null
  # 添加新的路由，把静态IP块指向DHCP获取到的网关
  ip route add 66.161.243.108/30 via $new_routers dev eth0
fi

2. 给脚本加执行权限：chmod +x /etc/dhcp/dhclient-exit-hooks.d/static-routes
3. 现在重启DHCP客户端：dhclient -r eth0 && dhclient eth0
4. 用ip route show确认路由已经加上了，应该能看到一行66.161.243.108/30 via <动态网关IP> dev eth0

第五步：开启IP转发（让Debian当路由器） #

因为你的Debian还要当路由，给LAN口的设备转发流量，所以要开启IPv4转发：

1. 编辑/etc/sysctl.conf，找到net.ipv4.ip_forward=1这一行，把前面的注释（#）去掉
2. 让配置立即生效：sysctl -p

第六步：配置防火墙和NAT规则 #

这一步要兼顾两个需求：静态IP的入站流量能直接到Debian，LAN口的设备能通过NAT上网
用iptables配置以下规则（可以把这些规则写到/etc/rc.local里，或者用iptables-persistent保存）：

# 允许静态IP的所有入站流量（根据你的服务需求可以缩小范围，比如只开80、443等）
iptables -A INPUT -d 66.161.243.109 -j ACCEPT

# 开启LAN到WAN的NAT转发（假设LAN口是eth1，LAN网段是192.168.1.0/24）
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.0/24 -j MASQUERADE

# 允许LAN到WAN的转发流量
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
# 允许WAN到LAN的关联/已建立的流量（比如LAN设备访问外部后的返回包）
iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT

如果你的LAN口配置了静态IP（比如192.168.1.1/24），记得在/etc/network/interfaces里加上：

auto eth1
iface eth1 inet static
  address 192.168.1.1
  netmask 255.255.255.0

最后验证配置 #

1. 在Debian上用curl ifconfig.me看WAN口的动态IP，确认正常
2. 用另一台外网设备（比如手机开热点）ping 66.161.243.109，看能不能通
3. 用LAN口的设备尝试上网，确认路由功能正常
4. 在Debian上启动一个测试服务（比如用python3 -m http.server 80），然后用外网设备访问http://66.161.243.109，看能不能打开

备注：内容来源于stack exchange，提问作者b.sullender