linux中的端口映射指的是在linux系统上通过配置网络规则，将发往某一IP地址特定端口的网络请求，转发到同一主机或不同主机的另一个端口上的操作，属于网络地址转换（NAT）技术的一种常见应用形式。
端口映射的核心原理
端口映射的核心依赖linux内核的netfilter框架，该框架负责处理网络数据包的过滤和转换。当外部请求到达linux主机时，netfilter会根据预设的规则修改数据包的目标地址或目标端口，之后再转发到对应的服务端口，实现请求的定向传递。
端口映射主要分为两类：
- 本地端口映射：将本机的一个端口转发到本机的另一个端口，比如把本机的8080端口转发到本机的80端口，让外部访问8080端口时实际访问到80端口的服务。
- 远程端口映射：将本机的一个端口转发到其他主机的指定端口，比如把本机的3306端口转发到内网另一台主机的3306端口，实现外部访问本机3306端口时连接到内网数据库服务。
基于iptables实现端口映射的步骤
iptables是linux系统中最常用的防火墙工具，同时也支持配置NAT规则实现端口映射，以下是具体的操作示例。
开启内核IP转发功能
首先需要确保linux内核开启了IP转发功能，否则无法完成跨主机的端口映射，执行以下命令临时开启：
# 临时开启IP转发 echo 1 > /proc/sys/net/ipv4/ip_forward # 若需要永久生效，编辑/etc/sysctl.conf文件，添加net.ipv4.ip_forward=1，之后执行sysctl -p生效
配置端口映射规则
假设我们需要将本机的公网IP 192.168.1.100的8080端口，映射到内网主机192.168.2.50的80端口，需要添加如下iptables规则：
# 添加PREROUTING规则，修改进入数据包的目标地址和端口 iptables -t nat -A PREROUTING -d 192.168.1.100 -p tcp --dport 8080 -j DNAT --to-destination 192.168.2.50:80 # 添加POSTROUTING规则，修改离开数据包的源地址，确保回包能正常返回 iptables -t nat -A POSTROUTING -d 192.168.2.50 -p tcp --dport 80 -j SNAT --to-source 192.168.1.100 # 保存iptables规则，避免重启后丢失，不同系统保存命令可能有差异 service iptables save
验证规则是否生效
添加规则后可以通过以下命令查看nat表的规则，确认配置正确：
iptables -t nat -L -n -v
端口映射的常见应用场景
- 内网服务暴露：内网中的服务没有公网IP，通过在有公网IP的linux主机上配置端口映射，让外部用户可以直接访问内网服务。
- 端口复用：当主机上80端口已经被占用，但是需要对外提供web服务时，可以将其他空闲端口映射到80端口对应的服务进程。
- 服务迁移过渡：服务从一台主机迁移到另一台主机时，先配置端口映射让旧主机的请求转发到新主机，避免用户访问中断。
注意事项
配置端口映射时需要注意，规则添加后如果没有保存，系统重启后规则会丢失。同时如果主机上启用了其他防火墙工具，需要确保对应的端口没有被防火墙拦截，否则映射后的请求也无法正常到达目标服务。另外修改内核参数和iptables规则需要root权限，操作时要注意规则的正确性，避免影响现有网络服务。