如何配置iptables仅将特定域名的443端口请求转发到指定端口

嘿，我完全懂你的困境——既要绕开本地的网络限制，又怕误操作把所有HTTPS请求都乱转发，对吧？先理清楚你现有配置的逻辑，再一步步给你调整iptables规则：

首先复盘下你已经做的两件事的核心作用：

1. 修改hosts把api.another.website.com指向1.1.1.1（你的本地服务器IP），这样本地所有对这个域名的请求，都会先发给自己的机器
2. 用SSH本地转发把0.0.0.0:9999绑定到远程服务器的api.another.website.com:443，相当于把9999端口做成了一个“跳板入口”

现在你要解决的核心问题是：只把发往api.another.website.com（也就是现在的1.1.1.1:443）的请求，转发到本地9999端口，而不是所有443请求。你之前找的iptables规则错在没加目标IP的匹配条件，才会导致所有443请求都被转走。

正确的iptables规则写法 #

iptables -t nat -I OUTPUT -p tcp -d 1.1.1.1 --dport 443 -j DNAT --to-destination 127.0.0.1:9999

我给你拆解下这条规则的每个部分，方便你理解：

• -t nat：指定使用nat表（专门负责地址转换的表）
• -I OUTPUT：把这条规则插入到OUTPUT链的最前面（本地程序发起的请求都会走这个链）
• -p tcp：只处理TCP协议的请求（HTTPS用的就是TCP）
• -d 1.1.1.1：仅匹配目标IP为1.1.1.1的请求（也就是你在hosts里绑定的那个域名对应的IP）
• --dport 443：目标端口是443的请求
• -j DNAT --to-destination 127.0.0.1:9999：把符合条件的请求转发到本地的9999端口

额外的必要配置 #

你还需要确保本地的IP转发功能是开启的，不然iptables的转发规则不会生效：

echo 1 > /proc/sys/net/ipv4/ip_forward

如果想让这个设置重启服务器后依然生效，编辑/etc/sysctl.conf文件，找到net.ipv4.ip_forward=1这行，去掉前面的注释符号#，然后执行sysctl -p让配置立即生效。

小提醒 #

1. 如果你之后要删除这条规则，可以用：

iptables -t nat -D OUTPUT -p tcp -d 1.1.1.1 --dport 443 -j DNAT --to-destination 127.0.0.1:9999

或者先执行iptables-save | grep OUTPUT找到规则的序号，再用iptables -t nat -D OUTPUT 序号删除。

2. 验证配置是否生效很简单：
   • 执行curl -v https://api.another.website.com，看输出里的连接地址是不是先指向1.1.1.1:443，然后被转发到9999端口
   • 再随便curl一个其他HTTPS网站，比如curl -v https://github.com，确认它不会被影响，依然正常走443端口

备注：内容来源于stack exchange，提问作者NomeEoleSem