**NAT处理流程：**
1. 数据包到达网络接口
2. netfilter钩子捕获数据包
3. 查询连接跟踪表
4. 匹配NAT规则
5. 执行地址转换
6. 更新校验和
7. 路由并发送数据包```

## 2 配置Linux NAT网关

### 2.1 启用IP转发
启用IP转发是将Linux配置为NAT网关的第一步，它允许系统在不同网络接口之间转发数据包[citation:1][citation:9]。

**动态IP场景（使用MASQUERADE）：**
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

**固定公网IP场景（使用SNAT）：**
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 203.0.113.1

**必要的FORWARD规则：**
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT

### 2.3 配置DNAT实现端口转发
DNAT可以将外部访问重定向到内网特定服务器，是实现端口转发的关键技术[citation:6][citation:7]。

**通过源码安装：**
git clone https://github.com/example/80km-forwarder
cd 80km-forwarder
make install

**配置文件示例（forwarder.json）：**
{
    “log_level”: “info”,
    “listen_port”: “0.0.0.0:8080”,
    “routers”: [
        {
            “description”: “web服务转发”,
            “from”: “0.0.0.0/0”,
            “to”: “192.168.1.100:80”
        },
        {
            “description”: “SSH服务转发”,
            “from”: “10.0.0.0/8”,
            “to”: “192.168.1.101:22”
        }
    ]
}

**启动服务：**
80km-forwarder -config forwarder.json

### 3.3 高级特性与性能优势

相比传统的iptables NAT转发，**80km无痕网关**在以下方面具有明显优势：[citation:2]

1. **应用层控制**：支持基于应用层协议的智能路由，不仅仅是IP地址和端口
2. **实时监控**：内置Web界面，实时查看连接状态、流量统计和性能指标
3. **动态路由**：可根据源IP的地理位置、时间段等因素动态调整转发规则
4. **无缝集成**：可与现有iptables规则协同工作，也可以作为独立的转发解决方案

**优化内核参数：**
# 增大连接跟踪表最大值
net.netfilter.nf_conntrack_max = 1048576

# 优化哈希表大小
net.netfilter.nf_conntrack_buckets = 65536

# 调整TCP超时参数
net.netfilter.nf_conntrack_tcp_timeout_established = 86400
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120

# 禁用不需要的连接跟踪
net.netfilter.nf_conntrack_generic_timeout = 0

### 4.2 常见问题解决方案

| 问题现象 | 可能原因 | 解决方案 |
|---------|---------|---------|
| 内网无法上网 | IP转发未启用 | 检查/proc/sys/net/ipv4/ip_forward |
| 端口转发失效 | FORWARD链被阻断 | 添加相应的ACCEPT规则 |
| 连接不稳定 | 连接跟踪表溢出 | 增加nf_conntrack_max值 |
| NAT后无法访问 | 回程路由错误 | 确保SNAT规则正确[citation:7] |

### 4.3 监控与调试