CentOS 7怎么开启转发功能

CentOS 7 要让机器真正当路由器用，必须先开启内核转发功能，也就是 ip_forward。这一步是基石——如果没开，后面所有配置的 iptables 或 firewalld 规则都会成摆设，因为数据包根本进不了转发的流程。

CentOS 7 怎么开启转发功能

确认并开启内核 IP 转发

内核里有个叫 net.ipv4.ip_forward 的参数，默认值是0，也就是关着的。只改配置文件不生效，只 echo 临时写入重启就丢，所以得两条腿走路。

• 临时启用（立即生效，重启失效）：
  echo 1 > /proc/sys/net/ipv4/ip_forward
• 永久启用：编辑 /etc/sysctl.conf，确保有这么一行：
  net.ipv4.ip_forward = 1
  然后运行 sysctl -p 重新加载配置
• 验证是否生效：
  sysctl net.ipv4.ip_forward 应该输出 net.ipv4.ip_forward = 1
  或者 cat /proc/sys/net/ipv4/ip_forward 输出 1

firewalld 下必须开启 masquerade

即使 ip_forward 打开了，firewalld 默认也会拦截转发流量。尤其是做 NAT 的场景，--add-masquerade 可不是“可选”的，而是必须做的步骤。

• 先确认当前 zone（通常是 public）：
  firewall-cmd --get-default-zone
• 开启伪装（缺一不可）：
  firewall-cmd --permanent --add-masquerade
firewall-cmd --reload
• 检查状态：
  firewall-cmd --query-masquerade 返回 yes 才算成功
• 一个常见坑：漏掉 --permanent 参数，或者 reload 之前没加 permanent，重启后配置就丢了

iptables 和 firewalld 别混用

CentOS 7 默认使用 firewalld，如果你手动写了 iptables 规则，又没停掉 firewalld，两者规则就会打架，转发通常就会静默失败。

• 要么停掉 firewalld：
  systemctl stop firewalld
systemctl disable firewalld
  然后改用 iptables 配置（需要确保 iptables-services 已安装）
• 要么坚持用 firewalld：所有端口转发、DNAT/SNAT 都走 firewall-cmd --add-forward-port，别去碰 iptables 的 nat 表
• 验证是否冲突：运行 iptables -t nat -L -n，如果看到大量 firewalld 自动生成的链（比如 FORWARD_direct），说明 firewalld 还在接管，此时手写的 iptables 规则大概率被跳过

转发不生效？先盯住这三处

很多“配置完了但不通”的问题，其实卡在更底层的连通性或策略上。

• 源主机路由：内网客户端的默认网关必须指向这台 CentOS 7 机器的内网 IP，不能只配 IP 不配网关
• 目标主机响应：被转发的目标服务（比如 192.168.1.100:80）得真在监听，而且没被它自己的防火墙拦住
• FORWARD 链默认策略：firewalld 默认把 FORWARD 设为 REJECT，光靠 masquerade 不够；端口转发还需要显式放行对应的协议和端口，例如：
  firewall-cmd --permanent --add-port=80/tcp
  或者更精准地使用 rich rule 来放行转发路径

真正麻烦的其实不是开哪个开关，而是各层策略叠加后的隐式拒绝。可以把整个流程简单理解成：ip_forward 是门，masquerade 是钥匙，firewalld 的 FORWARD 策略是门锁，而客户端和服务端的网络可达性是门前的路。少哪一环，流量都到不了目的地。