目标：通过（腾讯云）构建内网，然后通过其中一台主机做代理，当用户访问代理时可以访问到服务器
3台主机：
客户端：185.225.20.144
代理：10.206.0.4，公网：118.195.220.69
服务器：10.206.0.3，公网地址：119.45.11.199
~
iptables -t nat -L -n -v --line-numbers #查看规则
NAT 分为两种主要场景：
类型 中文名 作用 典型链/表
SNAT 源地址转换 修改数据包的源 IP，常用于内网主机通过一个公网 IP 上网 POSTROUTING 链（nat 表）
DNAT 目的地址转换 修改数据包的目的 IP，常用于端口转发或负载均衡 PREROUTING 链（nat 表）
MASQUERADE 伪装 SNAT 的特殊形式，自动使用出口网卡的当前 IP（适合动态 IP） POSTROUTING 链（nat 表）
REDIRECT 重定向 将数据包重定向到本机另一个端口（透明代理常用） PREROUTING / OUTPUT 链（nat 表）
~
1.端口转发
将访问本机公网 IP 203.0.113.5 的 8080 端口转发到内网服务器 192.168.1.100 的 80 端口：
iptables -t nat -A PREROUTING -d 10.206.0.4 -p tcp --dport 8080 -j DNAT --to-destination 10.206.0.3:80
允许 FORWARD 链的转发：
iptables -A FORWARD -p tcp -d 10.206.0.3 --dport 80 -j ACCEPT
2.启用 IP 转发
临时生效
echo 1 > /proc/sys/net/ipv4/ip_forward
永久生效（编辑 /etc/sysctl.conf）
net.ipv4.ip_forward = 1
然后执行
sysctl -p
2.1
确保 FORWARD 链允许流量通过
默认 FORWARD 策略可能是 DROP，需要放行：
iptables -P FORWARD ACCEPT
3
开启伪装
代理：
iptables -t nat -A POSTROUTING -d 10.206.0.3 -p tcp --dport 80 -j MASQUERADE
或者更精确地指定出口接口（如果你的代理主机有多个网卡）：
iptables -t nat -A POSTROUTING -d 10.206.0.3 -p tcp --dport 80 -o eth0 -j MASQUERADE