寻找可基于网卡当前IP匹配IP的iptables扩展，解决动态公网IP下虚拟机DNAT配置难题

嗨，刚好碰到过类似的动态IP下做DNAT的麻烦，给你几个实用的方案，应该能帮到你！

最省心的方案：直接基于接口匹配流量，不用管IP变化 #

其实你完全不用纠结匹配具体的公网IP，iptables本身支持直接针对物理接口来匹配入站流量。因为你的公网IP只在enp0接口上，所有来自互联网的流量都会通过enp0进入主机，所以直接写基于接口的DNAT规则就行：

# 示例：把enp0接口上的80端口流量转发到虚拟机192.168.122.154的80端口
iptables -t nat -A PREROUTING -i enp0 -p tcp --dport 80 -j DNAT --to-destination 192.168.122.154:80

这个规则的好处是，不管enp0的公网IP怎么变，只要流量是从这个接口进来的，就会自动转发到虚拟机，完全不用手动更新规则！

如果你一定要匹配接口的当前IP：用脚本+DHCP钩子自动更新规则 #

要是你确实需要基于当前的公网IP来写规则（比如有多个接口能上网，但只想针对enp0的公网IP做转发），可以写个小脚本，配合DHCP的钩子在IP变化时自动更新iptables规则：

1. 创建一个DHCP退出钩子脚本，放在/etc/dhcp/dhclient-exit-hooks.d/目录下，命名为update-dnat：

#!/bin/bash
# 只处理enp0接口的IP变化事件
if [ "$interface" != "enp0" ]; then
    exit 0
fi

# 先删除旧的DNAT规则（忽略规则不存在的错误）
iptables -t nat -D PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.122.154:80 2>/dev/null

# 获取enp0当前的公网IP
NEW_IP=$(ip -4 addr show enp0 | grep -oP '(?<=inet\s)\d+(\.\d+){3}')

# 添加新的DNAT规则，目标地址用刚获取的公网IP
iptables -t nat -A PREROUTING -d "$NEW_IP" -p tcp --dport 80 -j DNAT --to-destination 192.168.122.154:80

2. 给脚本加执行权限：

chmod +x /etc/dhcp/dhclient-exit-hooks.d/update-dnat

这样每次enp0的IP通过DHCP更新时，脚本会自动删除旧规则，添加新规则，完全不用手动操作。

关于iptables扩展的补充 #

其实目前没有专门的iptables扩展能直接“绑定”到接口的当前IP做匹配，但上面的两种方案已经能完美解决你的问题。如果以后想更灵活地处理动态规则，也可以考虑转用nftables（iptables的下一代工具），它支持直接引用接口的IP地址，语法更简洁，处理动态场景也更方便。

备注：内容来源于stack exchange，提问作者JCav