将B作为网络防火墙的出口，需要对当前的网络进行转发操作
在A可以ping通B 但是ping不通同网段的C的时候，可以开启B的网络转发功能。
使用如下命令查看当前主机是否已开启了核心转发，立即生效，但是重启网络配置后会失效
方法1：
root@ubuntu:~# cat /proc/sys/net/ipv4/ip_forward 0 root@ubuntu:~# root@ubuntu:~# root@ubuntu:~# echo 1 >/proc/sys/net/ipv4/ip_forward root@ubuntu:~# cat /proc/sys/net/ipv4/ip_forward 1
方法2：
sysctl -w net.ipv4.ip_forward=1
想要永久生效就只能配置系统的/etc/sysctl.conf文件，在配置文件中将net.ipv4.ip_forward设置为1
由于当前的iptables的角色为网络防火墙，所以需要在filter表中的FORWARD链中设置规则
可以使用白名单机制 先添加一条默认拒绝的规则，然后再为所需要放行的报文设置规则
配置规则时需要考虑方向问题，针对请求报文和回应报文，考虑报文的源地址和目标地址，源端口和目标端口等
如eg
允许网络主机访问网络外主机的web服务和sshd服务
iptables -A FORWARD -j REJECT
iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD -d 10.1.0.0/16 -p tcp --sport 80 -j ACCEPT
iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 22 -j ACCEPT
iptables -I FORWARD -d 10.1.0.0/16 -p tcp --sport 22 -j ACCEPT
可以使用state扩展模块，对上述规则进行优化，使用如下配置可以省略许多 回应报文放行规则
iptables -A FORWARD -j REJECT
iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD -s 10.1.0.0/16 -p tcp --dport 22 -j ACCEPT
iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
当测试网络防火墙 默认前提是网络已经正确配置，如果出现问题 先确定主机防火墙规则的配置没有问题