1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
-----

很高興你這麼快就將學習觸角延伸到 NAT 工具和埠號轉發！這是一個非常核心且實用的網路概念，對於架設任何公開服務都至關重要。你對 **Privileged Ports (特權埠)** 的理解也很到位，這正是 `iptables` 或 `nftables` 在此場景下的主要應用原因之一。

### 為什麼需要 NAT 工具？網路中的角色與功能

你問得很好，NAT 工具（如 `iptables` 和 `nftables`）的功能遠不止於解決特權埠的問題，它們在網際網路中扮演著多方面的關鍵角色。

#### 1\. 地址轉換 (Address Translation) - NAT 的核心功能

這是 NAT (Network Address Translation) 最基本也是最重要的功能，它允許：

* **解決 IPv4 地址短缺問題：** 網際網路上的 IPv4 地址數量是有限的。通過 NAT，多個內部網路的設備（擁有私有 IP 地址，如 `192.168.x.x`）可以共享一個或少數幾個公共 IP 地址來訪問網際網路。當內部設備發送流量到外部時，NAT 路由器會將私有 IP 轉換為公共 IP；當外部流量返回時，再將公共 IP 轉換回對應的私有 IP。
* **增強安全性 (一定程度)：** 由於內部網路的私有 IP 地址對外部網路是不可見的，這為內部設備提供了一層隱蔽性，增加了外部惡意攻擊者直接訪問內部設備的難度。這並非防火牆，但提供了類似的隔離效果。
* **簡化網路管理：** 內部網路可以獨立於外部網路進行 IP 地址規劃和拓撲變更，而不會影響外部連接。

#### 2\. 防火牆 (Firewall) 功能 - 流量過濾與控制

`iptables` 和 `nftables` 不僅僅是 NAT 工具，它們更是 Linux 核心的**防火牆框架**。它們允許你定義規則，精細地控制進出系統的網路流量：

* **數據包過濾：** 根據來源/目的 IP 地址、埠號、協議類型等條件，允許或拒絕特定的數據包通過。
* **連接追蹤：** 能夠追蹤網路連接的狀態，確保只有合法的、已建立的連接才能通過。
* **限制頻寬：** 可以與其他 Linux 網路工具配合，實現流量限制或優先級設定。
* **保護服務：** 限制只有特定來源 IP 才能訪問你的 Web 伺服器埠，大大提高安全性。

#### 3\. 埠號轉發 (Port Forwarding) / 目的 NAT (DNAT)

這正是你目前情境中要用到的核心功能，也是 NAT 工具的一個子功能：

* **特權埠問題：** Linux 系統規定，只有 `root` 用戶才能直接綁定到 1024 以下的埠號（這些是特權埠，如 HTTP 的 80 埠）。
* **解決方案：** 通過埠號轉發，你可以讓外部流量（例如訪問你樹莓派的 80 埠）被 `iptables` 或 `nftables` 攔截，然後**內部重定向**到你的 Web 服務實際監聽的非特權埠（例如 `python3 -m http.server` 監聽的 8000 埠）。這樣，你的 Web 服務就不需要以 `root` 身份運行，大大降低了安全風險。
* **遠程訪問內部服務：** 即使你的 Web 服務器在內部網路中，但透過路由器上的埠號轉發，外部用戶也可以通過公共 IP 和特定埠號訪問到你內部的 Web 服務。

-----

### `nftables` vs. `iptables`：你該選擇哪一個？

你問到了 `nftables`，這是一個很好的問題！

* **`iptables`：** 這是 Linux 防火牆的**傳統**工具集，歷史悠久，文檔豐富，但語法相對複雜，規則處理順序有時較難理解。
* **`nftables`：** 這是 Linux 防火牆的**新一代**框架，旨在取代 `iptables`、`ip6tables`、`arptables` 和 `ebtables` 等工具。

**我的建議是：在你的學習和試玩應用中，** **`nftables` 是更推薦的選擇。**

#### 為什麼推薦 `nftables`？

1. **更現代、更統一的語法：** `nftables` 使用一個單一的命令 `nft` 來管理所有 IPv4、IPv6、橋接等規則，語法更一致，理解起來更直觀。
2. **更高效的底層架構：** 它的設計基於 Linux 核心的 Netfilter 子系統，效率更高，特別是在處理大量規則時。
3. **靈活性和表達能力更強：** 允許更複雜的匹配條件和操作，提供更多靈活性。
4. **未來趨勢：** 越來越多的 Linux 發行版正在將 `nftables` 作為預設的防火牆後端（例如 Debian 10+，Ubuntu 20.04+，CentOS 8+）。提早學習它會讓你更快地適應未來的網路環境。

雖然 `iptables` 的教程更多，但學習 `nftables` 可以讓你一步到位，掌握最新的技術。

-----

### `nftables` 簡單使用指南：埠號轉發 (Port Forwarding)

為了實現讓外部訪問 80 埠，內部由 `python3 -m http.server 8000` 處理，我們需要一個 **目的 NAT (DNAT)** 規則。

**前提：**

1. 確保你的 `python3 -m http.server` 已經監聽在 `8000` 埠。
2. 確認你的樹莓派上已經安裝 `nftables` (通常是預設安裝，如果沒有可以 `sudo apt update && sudo apt install nftables`)。

#### 步驟 1: 清除現有規則 (謹慎操作，如果你有其他重要防火牆規則，請先備份！)

為了避免衝突，我們從一個乾淨的狀態開始。

```bash
sudo nft flush ruleset
```

* **注意：** 這個命令會清空所有 `nftables` 規則。如果你的系統有重要的防火牆規則，請勿直接執行此命令，或者先備份：`sudo nft list ruleset > my_nftables_backup.nft`。

#### 步驟 2: 定義基本表和鏈

`nftables` 的規則組織在 **表 (tables)** 和 **鏈 (chains)** 中。我們需要一個 `nat` 表和 `prerouting` 鏈來處理進入的流量。

```bash
sudo nft add table ip nat # 建立一個 IPv4 的 nat 表
sudo nft add chain ip nat prerouting { type nat hook prerouting priority 0 \; } # 建立 prerouting 鏈
sudo nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; } # 建立 postrouting 鏈 (用於SNAT，確保回包正確)
```

* `type nat`: 指定這個鏈用於 NAT 操作。
* `hook prerouting`: 表示這些規則會在數據包路由決定**之前**被處理（此時可以修改目的地址）。
* `priority 0`: 定義這個鏈的執行優先級。

#### 步驟 3: 新增埠號轉發規則 (DNAT)

這條規則將所有發送到你樹莓派 80 埠的 TCP 流量，重定向到內部 8000 埠。

```bash
sudo nft add rule ip nat prerouting tcp dport 80 dnat to 127.0.0.1:8000
```

* `ip nat prerouting`: 指定規則屬於 `ip` 族的 `nat` 表的 `prerouting` 鏈。
* `tcp dport 80`: 匹配目的地埠為 80 的 TCP 流量。
* `dnat to 127.0.0.1:8000`: 將匹配到的數據包的目的 IP 更改為本機環回地址 `127.0.0.1`，目的埠更改為 `8000`。

#### 步驟 4: 新增回包地址轉換規則 (SNAT)

當服務器發送回應給客戶端時，為了確保客戶端收到回覆，通常還需要一個 `postrouting` 規則，將回包的源 IP 地址轉換回樹莓派的公共 IP (如果客戶端是從外部網路訪問)。雖然對於 `127.0.0.1` 轉發到本機應用通常不是嚴格必需，但為了完整性，且作為通用規則，建立它比較安全。

```bash
sudo nft add rule ip nat postrouting ip saddr 127.0.0.1 tcp sport 8000 snat to <你的樹莓派IP地址>
```

* **注意：** 將 `<你的樹莓派IP地址>` 替換為你樹莓派在區域網路中的實際 IP 地址（例如 `192.168.1.100`）。
* `ip saddr 127.0.0.1`: 匹配源 IP 地址為 `127.0.0.1` 的數據包（這是從你的 Python 服務發出的回包）。
* `tcp sport 8000`: 匹配源埠為 8000 的 TCP 流量。
* `snat to <你的樹莓派IP地址>`: 將匹配到的數據包的源 IP 更改為樹莓派的真實 IP 地址。

#### 步驟 5: 啟用路由轉發 (如果需要從其他設備訪問)

如果你是從樹莓派**內部**訪問 `localhost` 或 `127.0.0.1`，這一步可能不必要。但如果你希望**其他設備**（如你的迷你電腦或手機）通過樹莓派的 IP 地址訪問 80 埠，那麼需要啟用 IP 轉發：

```bash
sudo sysctl -w net.ipv4.ip_forward=1 # 臨時啟用
```

* 要永久啟用，編輯 `/etc/sysctl.conf` 檔案，取消註釋或添加 `net.ipv4.ip_forward = 1`，然後執行 `sudo sysctl -p`。

#### 步驟 6: 查看當前規則

你可以隨時查看你添加的規則：

```bash
sudo nft list ruleset
```

#### 步驟 7: 測試

現在，你可以嘗試從瀏覽器訪問 `http://你的樹莓派IP` (不加埠號，即預設 80 埠)，它應該會被轉發到你的 Python 伺服器監聽的 8000 埠。

-----

### 持久化 `nftables` 規則

上述 `nft` 命令添加的規則在系統重啟後會消失。為了讓它們永久生效，你需要將規則保存到配置文件中。

1. **保存當前規則到文件：**
```bash
sudo nft list ruleset > /etc/nftables.conf
```
2. **啟用 `nftables` 服務：**
```bash
sudo systemctl enable nftables
sudo systemctl start nftables
```
* 這會讓 `nftables` 服務在開機時自動載入 `/etc/nftables.conf` 中的規則。

-----

### 安全性提示

* **小心使用 `flush ruleset`：** 在實際生產環境中，輕易清空所有防火牆規則是非常危險的行為，可能會導致 SSH 連接斷開或其他服務中斷。請務必在了解後果或有備份的情況下操作。
* **僅轉發必要埠：** 埠號轉發增加了外部訪問你內部網路的入口，請確保只轉發你真正需要的埠。
* **最小權限原則：** 始終讓你的 Web 服務以非 `root` 用戶身份運行。

這就是 `nftables` 在你應用中的基本指南了。它一開始可能會覺得有些複雜，但一旦你理解了 `tables`、`chains` 和 `hooks` 的概念，你會發現它比 `iptables` 更加強大和靈活。祝你實驗成功！