1. 这不是“开个热点”那么简单Linux共享网络的本质是构建一个微型网关很多人第一次想把Linux主机的网络共享给另一台设备时脑子里浮现的是Windows里点几下“允许其他网络用户通过此计算机的Internet连接来连接”——简单、图形化、一键完成。但Linux没有这种“魔法按钮”。它不提供现成的“共享网络”功能而是把整个过程拆解成四个基础网络能力的组合网络接口转发、IP路由决策、NAT地址转换、连接状态跟踪。这四者缺一不可任何一个环节配置错误都会导致“看似通了实则不通”的诡异现象。我最早在实验室用树莓派做边缘网关时就栽过跟头。当时以为只要echo 1 /proc/sys/net/ipv4/ip_forward就万事大吉结果笔记本连上树莓派的Wi-Fi后能获取IP却完全打不开网页。抓包一看DNS请求发出去了但响应根本没回来。折腾了大半天才发现iptables的FORWARD链默认是DROP而MASQUERADE规则又漏写了——这恰恰是绝大多数新手卡住的第一道坎。你看到的“共享网络”背后其实是一整套TCP/IP协议栈的底层协同工作。它不像开个HTTP服务那样只启动一个进程而是在内核网络子系统里同时激活了路由模块、Netfilter框架、连接跟踪conntrack和NAT模块。所以当你搜索“Linux共享网络”时真正要学的不是某个命令而是理解这四个模块如何咬合运转。ip route负责告诉内核“数据包该往哪送”iptables负责决定“哪些包能放行、哪些要改头换面”sysctl开关控制“内核是否允许转发”而conntrack则是整个机制的“记忆中枢”确保返回的流量能准确找到原始发起者。这四者共同构成了一个轻量级的、可定制的软件网关。它比商用路由器更透明也更脆弱——透明在于每一步都可审计、可调试脆弱在于任何一环松动整个链条就断掉。这也是为什么网上教程千篇一律地贴出几条命令却很少解释“为什么必须这样写”、“少一行会怎样”。接下来我们就从最底层的转发开关开始一层层剥开这个网关的构造逻辑。2. 第一道门启用IPv4转发与内核参数调优所有共享网络的前提是让Linux内核“愿意”把收到的数据包从一个网卡转发到另一个网卡。默认情况下Linux内核出于安全考虑是禁止这种行为的。这就像一栋大楼的保安除非你明确告诉他“允许访客从东门进、西门出”否则他只会让住户在自己楼层活动绝不放行跨楼层的流动。2.1 永久启用IP转发别再只用echo临时开关最常被教程引用的命令是echo 1 /proc/sys/net/ipv4/ip_forward这条命令确实能立刻生效但它有个致命缺陷重启后失效。很多用户测试时一切正常一重启就发现共享断了百思不得其解。这是因为/proc/sys/下的文件是内核运行时参数的内存映射关机后自然清空。真正的做法是修改内核参数配置文件/etc/sysctl.conf# 编辑配置文件 sudo nano /etc/sysctl.conf在文件末尾添加或取消注释以下行net.ipv4.ip_forward 1保存后执行sudo sysctl -p这条命令会重新加载/etc/sysctl.conf中的所有设置并立即应用。-p参数就是“parse”解析的意思它会逐行读取配置文件将等号左边的参数名映射到内核对应的/proc/sys/路径并把右边的值写入。提示sysctl -p只加载/etc/sysctl.conf。如果你有自定义的配置文件比如/etc/sysctl.d/99-custom.conf需要用sudo sysctl --system来加载所有位于/etc/sysctl.d/目录下的.conf文件。这是生产环境更推荐的做法便于模块化管理。2.2 为什么必须是net.ipv4.ip_forwardIPv6呢net.ipv4.ip_forward只控制IPv4的转发。如果你的网络环境同时使用IPv6比如现代家庭宽带普遍分配了IPv6前缀那么还需要开启IPv6转发net.ipv6.conf.all.forwarding 1注意这里用的是conf.all.forwarding而不是ip_forward。IPv6的转发参数命名规则与IPv4不同且需要针对all接口或指定具体接口如eth0分别设置。如果只开了IPv4转发而客户端通过IPv6获取了地址并尝试访问IPv6网站流量依然会被内核丢弃。2.3 关键细节all与具体接口的区别在/proc/sys/net/ipv4/conf/目录下你会看到类似all、lo、eth0、wlan0这样的子目录。每个子目录下都有forwarding文件。它们的关系是all/forwarding是全局开关它覆盖所有接口的设置。具体接口如eth0/forwarding的设置只对该接口生效。当all/forwarding为0时无论具体接口设成什么转发都无效。当all/forwarding为1时具体接口的forwarding值才起作用。因此最稳妥的配置是net.ipv4.conf.all.forwarding 1 net.ipv4.conf.eth0.forwarding 1 net.ipv4.conf.wlan0.forwarding 1其中eth0是你连接互联网的“上游”网卡比如有线网卡wlan0是你用来共享网络的“下游”网卡比如无线网卡。这样即使未来新增网卡也能确保转发策略清晰无误。2.4 实测验证三步确认转发已真正生效光写配置还不够必须验证。我习惯用三步法第一步检查内核参数cat /proc/sys/net/ipv4/ip_forward # 输出应为 1 cat /proc/sys/net/ipv4/conf/all/forwarding # 输出应为 1第二步检查接口状态# 查看所有接口的转发状态 for i in /proc/sys/net/ipv4/conf/*/forwarding; do echo $i: $(cat $i); done | grep -E (eth|wlan|all)这会列出所有相关接口的forwarding值确保关键接口都是1。第三步模拟转发测试最可靠在一台能上网的Linux主机上找两台测试机A和BA通过网线直连你的Linux主机的eth0B通过Wi-Fi连到你的Linux主机的wlan0。然后在A上ping B的IP# 在A上执行假设B的IP是192.168.10.100 ping 192.168.10.100如果能通说明二层数据链路层连通性没问题。但这只是证明物理连接和ARP解析成功还不能证明三层网络层转发已启用。真正的考验是在A上ping一个外网地址比如8.8.8.8同时在Linux主机上用tcpdump监听wlan0接口# 在Linux主机上执行 sudo tcpdump -i wlan0 icmp and host 8.8.8.8 -c 5如果能看到来自A的ICMP请求包192.168.10.100 8.8.8.8就证明Linux主机确实收到了A发来的包并准备将其转发出去。这一步是区分“只是连上了”和“真的能转发”的黄金标准。3. 第二道门用ip route构建正确的路由表启用转发只是打开了大门但门开了之后数据包该往哪走这由内核的路由表Routing Table决定。ip route命令就是用来查看和修改这张表的。很多人以为共享网络只需要一条默认路由但实际上你需要至少两条路由规则一条指向互联网一条指向被共享的局域网。3.1 理解路由表的核心逻辑最长前缀匹配路由表不是简单的“默认走这条路”而是一个基于目标IP地址前缀长度进行精确匹配的查找表。内核会把目标IP地址依次与路由表中每一条规则的“网络前缀”做按位与运算找出匹配度最高的那条。匹配度由“前缀长度”决定越长越优先。举个例子假设你的路由表里有default via 192.168.1.1 dev eth0 192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.100 192.168.10.0/24 dev wlan0 proto kernel scope link src 192.168.10.1当你要访问192.168.1.50时它匹配192.168.1.0/2424位前缀比default0位前缀更长所以走eth0。当你要访问192.168.10.50时它匹配192.168.10.0/2424位前缀所以走wlan0。当你要访问8.8.8.8时它不匹配任何具体的/24网段只能走default即通过eth0发给网关192.168.1.1。这就是“最长前缀匹配”。它保证了局域网内部通信走直连外部通信走网关。3.2 共享网络场景下的标准路由结构假设你的Linux主机有eth0连接上级路由器IP为192.168.1.100/24网关为192.168.1.1wlan0作为AP或热点IP为192.168.10.1/24那么它的路由表应该包含一条默认路由default指向eth0的网关用于访问外网。一条直连路由link scope自动由内核添加表示192.168.1.0/24网段可通过eth0直接到达。一条直连路由link scope自动由内核添加表示192.168.10.0/24网段可通过wlan0直接到达。你可以用ip route show查看当前路由表。一个健康的共享网关其输出应该类似default via 192.168.1.1 dev eth0 proto static metric 100 192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.100 metric 100 192.168.10.0/24 dev wlan0 proto kernel scope link src 192.168.10.1 metric 200注意metric度量值字段。它代表这条路由的“优先级”数值越小越优先。eth0的metric是100wlan0的是200这确保了当两个网段有重叠时比如都配了192.168.1.0/24eth0的路由会胜出。3.3 常见路由错误与排错技巧错误1“Partial route conflicts”警告你在日志里看到[drc rtstat-6] partial route conflicts: 1184 net(s) have a partial conflict.这通常意味着路由表里存在重叠但不完全包含的网段。比如你手动添加了一条192.168.0.0/16的路由内核又自动添加了192.168.1.0/24的直连路由192.168.0.0/16覆盖了192.168.1.0/24但前者是16位后者是24位内核认为这是一种“部分冲突”因为它无法确定哪个更精确。解决方法很简单永远不要手动添加比直连网段更宽泛的路由。直连路由proto kernel scope link是由内核自动生成的它永远是最精确的无需也不应被覆盖。错误2“The route object cannot be resolved”这个错误多见于某些网络管理工具如NetworkManager或容器环境中。它的本质是你试图删除或修改一条不存在的路由。比如你执行ip route del default via 192.168.1.1但此时路由表里根本没有default via 192.168.1.1这一条可能是因为网关地址变了或者eth0根本没获取到IP。正确做法是先查ip route | grep default确认默认路由存在且地址正确再执行删除。或者用更健壮的脚本方式# 只有当路由存在时才删除 ip route | grep -q default via 192.168.1.1 ip route del default via 192.168.1.1错误3客户端能获取IP但无法上网这是最典型的路由问题。客户端比如手机通过DHCP拿到了192.168.10.x的IP网关是192.168.10.1DNS也是192.168.10.1。但ping不通8.8.8.8。此时你应该在Linux主机上从客户端的角度“模拟”一次请求# 在Linux主机上用客户端的源IP去ping外网 # 需要root权限因为要指定源IP ping -I 192.168.10.1 8.8.8.8如果这个命令失败说明192.168.10.1这个IP本身无法访问外网问题出在eth0的连通性或上游路由上。如果成功说明wlan0到eth0的路径是通的问题一定在NAT或防火墙环节。4. 第三道门iptables的NAT与状态防火墙协同即使转发开启了路由也正确了数据包依然可能被无情丢弃。因为Linux的Netfilter框架默认会对所有经过的包执行严格的“状态检查”。对于从wlan0进来、要转发到eth0出去的包它属于FORWARD链而FORWARD链的默认策略policy通常是DROP。这就像是大楼的第二道安检即使你有通行证转发开关开了也得再刷一次卡iptables规则才能放行。4.1 NAT的必要性为什么不能只放行还要“改头换面”设想一下客户端A的IP是192.168.10.100它想访问百度。它发出的包源IP是192.168.10.100目标IP是百度服务器的公网IP。这个包到达你的Linux主机后被转发到eth0发给上游路由器。但上游路由器不认识192.168.10.0/24这个私有网段它会直接丢弃这个包因为它不知道该把响应发回哪里。解决方案就是NATNetwork Address Translation在包离开eth0之前把源IP从192.168.10.100改成192.168.1.100Linux主机自己的eth0IP。这样上游路由器看到的就是一个它认识的、合法的IP地址会正常处理。更重要的是NAT模块会记录下这次转换192.168.10.100:12345 - 192.168.1.100:54321当百度的响应包回来时它能根据这个记录把目标IP从192.168.1.100改回192.168.10.100再发给客户端A。这个过程就是MASQUERADE伪装。4.2 构建最小可行的iptables规则集一个能工作的共享网络至少需要三条核心iptables规则1. 允许已建立的连接ESTABLISHED,RELATEDsudo iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT这是最安全的起点。它说“只要是已经建立好连接的包或者和已有连接相关的包比如FTP的被动模式数据连接一律放行。” 这条规则放在最前面能快速处理90%以上的返回流量。2. 允许从内网wlan0到外网eth0的新连接sudo iptables -A FORWARD -i wlan0 -o eth0 -m conntrack --ctstate NEW -j ACCEPT这条规则明确指定了方向-i wlan0输入接口是wlan0-o eth0输出接口是eth0并且只针对新连接--ctstate NEW。它精准地放行了客户端发起的、通往互联网的所有新请求。3. 启用MASQUERADENATsudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE这条规则在nat表的POSTROUTING链中。POSTROUTING是包即将离开网卡前的最后一个钩子点此时对包做NAT是最合适的。-o eth0确保只对从eth0发出的包做伪装。注意iptables命令默认操作的是filter表。-t nat显式指定了操作nat表。这是初学者最容易混淆的地方。4.3 为什么FORWARD链的默认策略必须是DROP很多教程为了“省事”会建议把FORWARD链的默认策略设为ACCEPTsudo iptables -P FORWARD ACCEPT这看起来很爽所有转发包都放行。但这是巨大的安全隐患。它相当于把网关的防火墙完全关闭任何能到达wlan0接口的恶意流量比如端口扫描、攻击包都会被无条件转发到你的主网络eth0让你的整个内网暴露在风险之下。正确的做法是默认DROP只白名单放行。上面三条规则就是最精简的白名单。它只允许已建立的连接安全从wlan0到eth0的新连接符合共享目的并且对这些包做NAT保证可达任何不符合这三条的包比如从eth0发往wlan0的未知包或者从lo发来的包都会被DROP。这才是一个负责任的网关应有的姿态。4.4 持久化iptables规则重启不丢失的终极方案和sysctl一样iptables规则也是内存态的重启就清空。要让它持久化有几种主流方案方案一使用iptables-persistentDebian/Ubuntu系推荐sudo apt install iptables-persistent # 保存当前规则 sudo netfilter-persistent save # 它会把规则写入 /etc/iptables/rules.v4 和 /etc/iptables/rules.v6这个包会在系统启动时自动加载这些规则。方案二使用iptables-save/iptables-restore通用方案# 保存规则到文件 sudo iptables-save /etc/iptables.rules # 创建开机启动脚本以systemd为例 sudo tee /etc/systemd/system/iptables-restore.service EOF [Unit] DescriptionRestore iptables rules Afternetwork.target [Service] Typeoneshot ExecStart/sbin/iptables-restore /etc/iptables.rules RemainAfterExityes [Install] WantedBymulti-user.target EOF sudo systemctl daemon-reload sudo systemctl enable iptables-restore.service方案三集成到网络管理器如NetworkManager如果你用NetworkManager管理网络可以创建一个/etc/NetworkManager/dispatcher.d/01-iptables-nat脚本在wlan0接口up时自动加载规则。这种方式更动态适合笔记本等移动设备。我强烈推荐方案一因为它最简单、最稳定且是发行版官方支持的方式。记住规则持久化不是可选项而是生产环境的必选项。我见过太多次运维同事信心满满地配置完第二天一早发现共享全断了只因忘了保存iptables。5. 第四道门DHCP与DNS服务——让客户端“无感”接入到目前为止我们构建了一个功能完备的“裸”网关它能转发、能NAT、能过滤。但对客户端来说这还不够友好。客户端需要一个IP地址不能手动配置太麻烦一个网关地址就是你的Linux主机的wlan0IP一个DNS服务器地址用来解析域名这三项统称为DHCPDynamic Host Configuration Protocol服务。Linux上最轻量、最常用的DHCP服务器是dnsmasq。5.1dnsmasq一个程序两件事dnsmasq的名字有点误导人它既是一个DNS缓存服务器也是一个DHCP服务器。对于我们的共享网络场景它完美胜任DHCP服务为连接到wlan0的客户端自动分配IP比如192.168.10.100到192.168.10.200、子网掩码、网关192.168.10.1和DNS服务器192.168.10.1。DNS服务当客户端查询www.baidu.com时dnsmasq会先查自己的缓存没有就向上游DNS比如192.168.1.1或8.8.8.8转发查询并把结果缓存起来下次相同查询就秒回。安装和基本配置非常简单sudo apt install dnsmasq # 编辑配置文件 sudo nano /etc/dnsmasq.conf在文件中取消注释或添加以下关键行# 监听wlan0接口 interfacewlan0 # 不监听其他接口如eth0, lo except-interfaceeth0 except-interfacelo # DHCP范围192.168.10.100 到 192.168.10.200租期12小时 dhcp-range192.168.10.100,192.168.10.200,12h # 网关地址客户端的默认网关 dhcp-option3,192.168.10.1 # DNS服务器地址客户端的DNS dhcp-option6,192.168.10.1 # 启用DNS缓存 cache-size1000保存后重启服务sudo systemctl restart dnsmasq sudo systemctl enable dnsmasq5.2 为什么DNS必须指向自己192.168.10.1这是一个关键的设计点。dnsmasq的dhcp-option6指定了客户端的DNS服务器。我们把它设为192.168.10.1也就是Linux主机自己。这样做的好处是统一入口所有DNS查询都先经过dnsmasq它可以在本地缓存极大提升重复查询速度。可控性你可以轻松地在dnsmasq.conf里添加address/google.com/127.0.0.1来屏蔽特定域名或者用server/cn/114.114.114.114来指定国内DNS。避免污染如果直接把上游DNS如192.168.1.1给客户端客户端的DNS查询会绕过你的网关直接发给上游你就失去了对DNS流量的可见性和控制权。提示dnsmasq默认会把/etc/resolv.conf里的nameserver作为上游DNS。确保/etc/resolv.conf里有有效的DNS比如nameserver 8.8.8.8或nameserver 114.114.114.114。5.3 排错客户端获取不到IP三步定位法当手机或电脑连上Wi-Fi后显示“正在获取IP地址”然后超时问题一定出在DHCP环节。我用三步法快速定位第一步确认wlan0接口已UP且有IPip addr show wlan0 # 必须看到类似 # inet 192.168.10.1/24 brd 192.168.10.255 scope global wlan0 # 如果没有inet行说明wlan0没配IPdnsmasq无法监听。第二步确认dnsmasq进程在运行且监听正确端口sudo ss -tuln | grep :53\|:67 # 应该看到 # udp UNCONN 0 0 *:53 *:* # DNS监听 # udp UNCONN 0 0 *:67 *:* # DHCP监听bootps端口 sudo systemctl status dnsmasq # 确保状态是 active (running)第三步在Linux主机上用tcpdump抓DHCP包sudo tcpdump -i wlan0 port 67 or port 68 -c 10 # 然后在客户端上“忘记网络”再重新连接 # 如果看到DHCPDISCOVER、DHCPOFFER等包说明客户端发出了请求dnsmasq收到了。 # 如果只看到DISCOVER没有OFEER说明dnsmasq没响应检查配置和日志。 sudo journalctl -u dnsmasq -f日志里如果有ignoring DHCP request from ...通常是因为wlan0的IP不在dhcp-range的网段内或者interface配置错了。6. 终极整合一个可复用的自动化部署脚本把以上所有步骤手动执行一遍对学习原理很有帮助。但在实际工作中尤其是需要在多台设备比如一批树莓派上快速部署时手动操作既低效又易错。下面是一个我日常使用的、经过生产环境验证的自动化脚本。它涵盖了从网络配置、内核参数、iptables到dnsmasq的全部设置并带有完善的错误检查和日志记录。#!/bin/bash # 文件名setup-gateway.sh # 功能一键部署Linux网络共享网关 # 作者资深Linux运维 # 使用sudo ./setup-gateway.sh eth0 wlan0 set -e # 任何命令失败脚本立即退出 UPSTREAM_IF$1 DOWNSTREAM_IF$2 if [ -z $UPSTREAM_IF ] || [ -z $DOWNSTREAM_IF ]; then echo 用法: sudo $0 上游接口 下游接口 echo 例如: sudo $0 eth0 wlan0 exit 1 fi # 检查接口是否存在 if ! ip link show $UPSTREAM_IF /dev/null 21; then echo 错误: 上游接口 $UPSTREAM_IF 不存在 exit 1 fi if ! ip link show $DOWNSTREAM_IF /dev/null 21; then echo 错误: 下游接口 $DOWNSTREAM_IF 不存在 exit 1 fi # 获取上游接口的IP和网关假设使用DHCP UPSTREAM_IP$(ip -4 addr show $UPSTREAM_IF | grep -oP inet \K[\d.](?/)) if [ -z $UPSTREAM_IP ]; then echo 错误: 无法获取 $UPSTREAM_IF 的IPv4地址 exit 1 fi UPSTREAM_GW$(ip route | awk /^default.*dev $UPSTREAM_IF$/ {print $3}) if [ -z $UPSTREAM_GW ]; then echo 警告: 未找到 $UPSTREAM_IF 的默认网关将跳过网关检查 fi # 配置下游接口IP DOWNSTREAM_NET192.168.10.0/24 DOWNSTREAM_IP192.168.10.1 echo 配置下游接口 $DOWNSTREAM_IF 为 $DOWNSTREAM_IP... ip addr flush dev $DOWNSTREAM_IF ip addr add $DOWNSTREAM_IP/24 dev $DOWNSTREAM_IF ip link set $DOWNSTREAM_IF up # 启用IPv4转发 echo 启用IPv4转发... echo net.ipv4.ip_forward 1 | sudo tee -a /etc/sysctl.conf echo net.ipv4.conf.all.forwarding 1 | sudo tee -a /etc/sysctl.conf sysctl -p # 配置iptables echo 配置iptables... # 清空FORWARD链保留原有规则只清空我们关心的 iptables -P FORWARD DROP iptables -F FORWARD iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -i $DOWNSTREAM_IF -o $UPSTREAM_IF -m conntrack --ctstate NEW -j ACCEPT # NAT iptables -t nat -F POSTROUTING iptables -t nat -A POSTROUTING -o $UPSTREAM_IF -j MASQUERADE # 安装并配置dnsmasq echo 安装并配置dnsmasq... if ! command -v dnsmasq /dev/null; then apt update apt install -y dnsmasq fi # 备份原配置 cp -n /etc/dnsmasq.conf /etc/dnsmasq.conf.backup cat /etc/dnsmasq.conf EOF interface$DOWNSTREAM_IF except-interface$UPSTREAM_IF except-interfacelo bind-interfaces dhcp-range192.168.10.100,192.168.10.200,12h dhcp-option3,$DOWNSTREAM_IP dhcp-option6,$DOWNSTREAM_IP cache-size1000 log-queries log-dhcp EOF systemctl restart dnsmasq systemctl enable dnsmasq # 持久化iptables if command -v iptables-persistent /dev/null; then netfilter-persistent save else iptables-save /etc/iptables.rules echo iptables规则已保存至 /etc/iptables.rules fi echo ✅ 网关部署完成 echo ✅ 下游设备请连接到 $DOWNSTREAM_IF 对应的网络 echo ✅ 默认网关和DNS均为: $DOWNSTREAM_IP echo 如需修改下游网段请编辑 /etc/dnsmasq.conf 并重启服务6.1 脚本设计哲学防御性编程与可审计性这个脚本不是为了炫技而是为了在真实世界中可靠运行。它的核心设计原则是set -e任何一行命令失败脚本立即终止。避免“半途而废”的脏状态。接口存在性检查在执行任何操作前先用ip link show确认网卡存在。防止脚本在错误的硬件上运行。IP地址自动探测不硬编码192.168.1.1而是用ip route动态获取上游网关。适应不同网络环境。配置备份修改dnsmasq.conf前先备份原文件。万一出错可以一键回滚。详细日志与提示每一步都打印清晰的说明最后给出明确的“成功”和“下一步”提示。运维人员一眼就能知道状态。6.2 实际部署经验树莓派上的坑与填法我在树莓派4B上部署这个脚本时遇到过两个典型问题问题1wlan0接口在dnsmasq启动时还未UP树莓派的Wi-Fi接口有时初始化较慢。systemd启动dnsmasq时wlan0可能还没拿到IP导致dnsmasq启动失败。解决方案是修改dnsmasq的服务依赖sudo systemctl edit dnsmasq添加[Unit] Afternetwork-online.target Wantsnetwork-online.target这确保dnsmasq只在网络完全就绪后才启动。问题2iptables-persistent在某些旧系统上不兼容Debian 1