必须用socat实现稳定并发双向转发：基础TCP转发需fork,reuseaddr确保多连接与快速重启，如socat -d TCP-LISTEN:8080,fork,reuseaddr TCP:127.0.0.1:3000；SSL代理支持HTTP→HTTPS升级与证书校验；UDP转发须用UDP4-RECVFROM并开启IP转发；透明转发需配合iptables PREROUTING+REDIRECT及ip_forward=1。
要在Linux中实现两个端口之间稳定、可并发、带调试能力的双向数据转发，必须用socat构造带fork和reuseaddr的监听链路，而不是简单地用netcat做一次连接。
基础TCP端口转发（单向监听→转发）
这一步适用于临时暴露内网服务，比如把本地3000端口的服务通过公网服务器8080端口对外提供。
执行命令：socat -d TCP-LISTEN:8080,fork,reuseaddr TCP:127.0.0.1:3000
其中fork是关键——没有它，第一个客户端连上来后，socat就退出，后续连接全部失败；reuseaddr确保重启时端口不被“Address already in use”卡住。
测试方法：在另一台机器上执行curl http://跳板机IP:8080，应返回本地3000端口服务的响应。
带SSL加密的HTTP→HTTPS代理转发
当你需要让旧系统发HTTP请求，但后端只接受HTTPS时，socat可在中间完成协议升级与TLS握手。
方法一：直连目标并校验证书（生产推荐）socat TCP-LISTEN:8081,fork,reuseaddr SSL:api.example.com:443,verify=1,cafile=/etc/ssl/certs/ca-certificates.crt
方法二：跳过证书验证（仅限测试环境）socat TCP-LISTEN:8082,fork,insecure SSL:github.com:443
【注意：insecure参数会忽略证书有效性检查，切勿在生产环境使用】
访问http://localhost:8081，实际流量已加密发送至https://api.example.com。
UDP端口双向转发（DNS/游戏/语音常用）
UDP转发不能用TCP参数，必须显式声明UDP4或UDP6，且不支持keepalive等TCP专属选项。
第一步：在转发服务器上监听UDP 5353，并转发到内网DNS服务器socat UDP4-RECVFROM:5353,fork UDP4:192.168.5.200:53
第二步：确保系统允许UDP包转发sysctl -w net.ipv4.ip_forward=1
第三步：客户端配置DNS为转发服务器IP+5353端口，即可正常解析域名。
UDP转发无连接状态，fork仍需保留，否则第二个查询就会失败。
结合iptables实现透明端口转发
当不想改客户端配置，又想让所有发往本机80端口的流量自动走socat处理时，必须用iptables重定向+socat监听配合。
① 开启IPv4转发：echo 1 > /proc/sys/net/ipv4/ip_forward
② 添加PREROUTING规则，把进来的80端口流量重定向到socat监听的3128端口：iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 3128
③ 启动socat监听3128端口，并转发到真实Web服务：socat TCP-LISTEN:3128,fork,reuseaddr TCP:127.0.0.1:8080
【必须先执行①再执行②，否则iptables规则不会生效】
此时访问本机IP:80，实际由本地8080端口的服务响应，客户端无感知。
