17.8.NAT 和端口转发

被分配了私有地址的 jail——位于克隆的 lo(4) 接口（如 lo1）、私有网桥，或内部网络中 VNET epair 上的 jail——自身没有通往互联网的路由。宿主必须将 jail 的流量转换为可路由地址，并且要从外部访问此类 jail 中运行的服务，需将传入连接重定向到 jail。

首先，允许宿主在其接口之间转发数据包。在启动时启用并立即启用，执行以下命令：

# sysrc gateway_enable="YES"
# sysctl net.inet.ip.forwarding=1

对于 IPv6，使用 ipv6_gateway_enable="YES" 和 net.inet6.ip6.forwarding=1。

然后使用 pf(4) 在宿主上配置网络地址转换。以下 /etc/pf.conf 让私有 192.168.0.0/24 网络上的每个 jail 通过宿主的外部接口 em0 获得出站访问，并在宿主的 80 端口上发布一个 jail 中的 Web 服务器：

ext_if = "em0"

# 将 jail 出站流量转换为宿主地址
nat on $ext_if from 192.168.0.0/24 to any -> ($ext_if)

# 将入站 Web 流量转发到 jail 中的服务器
rdr on $ext_if proto tcp to port 80 -> 192.168.0.151

rdr 的目标必须是 jail 自己的地址。

使用以下命令启用并启动 pf(4)：

# sysrc pf_enable="YES"
# service pf start

注意

FreeBSD 15.0 新增了 OpenBSD 风格的内联 nat-to 和 rdr-to 语法，它将转换附加到 pass 或 match 规则上，例如 match out on $ext_if from 192.168.0.0/24 to any nat-to ($ext_if)。上面展示的经典 nat on 和 rdr on 规则在 FreeBSD 14.x 和 15.x 上均可工作。

关于 pf(4) 和 ipfw(8) 的完整论述，包括完整的规则集和基于 ipfw(8) 的 NAT，请参见 防火墙 一章。