如何通过iptables将指定公网IP的80端口流量在到达监听的lighttpd服务前转发至VPN内部地址

首先，你遇到的问题核心有两点：一是之前的iptables规则没有精准匹配目标IP，二是本地测试时的流量不走PREROUTING链，导致规则没生效。咱们一步步来解决：

1. 精准配置PREROUTING规则，拦截外部进来的目标IP流量 #

你之前的PREROUTING规则只指定了入站网卡eth1，但没明确匹配那个“闲置”的公网IP（55.66.77.10），这可能导致规则范围太宽或者没触发正确的流量。修改后的规则应该是：

iptables -t nat -A PREROUTING -i eth1 -d 55.66.77.10 -p tcp --dport 80 -j DNAT --to-destination 10.20.2.15:8080

这条规则会专门拦截从eth1网卡进入、目标地址为55.66.77.10的80端口流量，直接转发到VPN内部的10.20.2.15:8080——完全不会到达lighttpd的监听套接字，因为PREROUTING链是在内核路由决策前处理的，流量会被直接转去VPN地址，根本不会走到本地INPUT链交给lighttpd。

2. 处理本地测试的流量（可选） #

如果你用本地telnet 55.66.77.10 80测试，这种流量是本地进程发起的，不走PREROUTING链，而是走OUTPUT链，所以需要额外加一条规则让本地测试也生效：

iptables -t nat -A OUTPUT -d 55.66.77.10 -p tcp --dport 80 -j DNAT --to-destination 10.20.2.15:8080

3. 确保IP转发功能开启 #

内核默认可能没开启IP转发，这会导致转发的流量无法正常回包。临时开启可以用：

echo 1 > /proc/sys/net/ipv4/ip_forward

如果要永久生效，编辑/etc/sysctl.conf文件，找到net.ipv4.ip_forward一行，设置为net.ipv4.ip_forward=1，然后执行sysctl -p让配置生效。

4. 保留你的POSTROUTING规则（关键） #

你之前配置的SNAT规则是对的，必须保留：

iptables -t nat -A POSTROUTING -p tcp -d 10.20.2.15 --dport 8080 -j SNAT --to-source 10.20.2.1

这条规则会把转发到VPN地址的流量源IP替换成服务器的VPN本地IP（10.20.2.1），这样VPN内部的目标机器（10.20.2.15）回复的流量能正确回到你的服务器，再转发出公网。

验证方法 #

• 用外部机器访问55.66.77.10:80，此时流量应该被转发到10.20.2.15:8080，不会触发lighttpd；
• 如果本地测试，执行telnet 55.66.77.10 80，添加OUTPUT规则后就会被转发，而不是连接到本地的lighttpd。

备注：内容来源于stack exchange，提问作者Kurt Fitzner