Linux端口映射与NAT转发本质是基于netfilter框架，通过PREROUTING链DNAT改写目标地址端口、POSTROUTING链SNAT改写源地址，并依赖conntrack模块跟踪连接实现双向通信，需同时开启IP转发、放行FORWARD规则及确保回程路径正确。
Linux 中的端口映射与 NAT 转发，本质是通过内核网络栈中的 netfilter 框架配合 iptables 或 nftables 实现的数据包重写与路由控制。它不依赖额外服务进程，而是直接在 IP 层（OSI 第三层）和传输层（第四层）对进出数据包做实时修改，整个过程由内核完成，效率高、延迟低。
核心机制：netfilter + 连接跟踪（conntrack）
Linux 的 NAT 功能建立在 netfilter 架构之上。当数据包进入网络栈，会依次经过多个 hook 点（如 PREROUTING、FORWARD、POSTROUTING），每个点可挂载规则。端口映射主要使用两个关键链：
- PREROUTING 链：用于目的地址转换（DNAT），处理刚进入本机的外网请求。例如将访问公网 IP:8080 的 TCP 包，改写目标 IP 为 192.168.1.100、端口为 80；
- POSTROUTING 链：用于源地址转换（SNAT），处理即将发出的内网响应包。例如把内网主机发往外网的包，源 IP 替换为路由器的公网 IP。
同时，conntrack 模块会自动记录每条连接的“四元组”（源IP:端口、目的IP:端口、协议），确保返回流量能反向匹配原始 DNAT 规则，并正确回传给发起请求的内网设备——这是实现双向通信的关键，没有它，应答包无法找到原路。
端口映射 = DNAT + 转发 + 回程 SNAT
单纯配置 DNAT 并不足以让外部访问成功，还需满足三个条件：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 开启 IPv4 转发：
echo 1 > /proc/sys/net/ipv4/ip_forward（或永久写入/etc/sysctl.conf）； - 允许 FORWARD 链通行：默认策略常为 DROP，需显式放行，例如
iptables -A FORWARD -d 192.168.1.100 -p tcp --dport 80 -j ACCEPT； - 确保回程路径正确：若内网服务器直接回应外网客户端（绕过网关），可能因源 IP 是私有地址被丢弃，此时需在网关上加 SNAT，强制响应包从网关发出。
静态 vs 动态：映射行为的本质差异
所谓“静态端口映射”，是指手动配置一条长期生效的 DNAT 规则，比如固定把公网 2222 端口指向内网 192.168.1.5:22。只要规则存在且网关在线，该映射就持续有效。
而“动态端口映射”并非 Linux 内核原生概念，实际指 NAT 设备（如家用路由器）在内网设备主动连接外网时，临时分配一个外网端口并建立映射表项；连接关闭后，该端口释放。Linux 本身不自动做这种动态分配，但可通过 UPnP 或 PCP 协议由应用触发，再调用 iptables/nftables 动态增删规则。
多层 NAT 下的映射失效原因
当家庭路由器处于运营商 CGNAT 环境（即你拿到的是私有 WAN IP，如 100.64.x.x），你的“公网 IP”实际是运营商内网地址，外网根本无法路由到你。此时无论怎么配 DNAT 都无效。
真正可行的穿透方式只有两种：
- 申请真正的公网 IPv4 地址（需联系 ISP）；
- 改用 IPv6（若 ISP 提供原生 IPv6，且设备支持），因其地址充足，可直接为内网设备分配全球可路由地址，无需 NAT 映射。
