rinetd 配置

rinetd 是一款轻量级 TCP/UDP 端口转发工具，它的核心价值在于用极低的系统资源占用，实现快速、稳定的端口映射与流量转发。 相比 iptables 的复杂规则和 socat 的繁琐参数，rinetd 的配置文件简洁直观，适合中小规模流量的端口转发场景，尤其适用于内网穿透、服务暴露和临时调试，但需要注意的是，rinetd 不支持四层以上的负载均衡策略，也不具备健康检查能力，在高并发或高可用要求下需搭配其他方案使用。

rinetd 的工作原理与核心优势

rinetd 运行在用户态，通过监听源端口，将接收到的 TCP 连接转发至目标 IP 和目标端口，它的转发逻辑完全由配置文件控制，默认配置仅需一行规则，即可完成从本机到任意地址的端口映射，优势体现在以下三点：

• 配置极简：所有规则集中在 /etc/rinetd.conf，无需记忆复杂命令。
• 性能稳定：基于 select 事件循环，在千兆内网下轻松跑满带宽。
• 进程开销小：单进程处理多路转发，无额外线程切换成本。

安装与基础配置

安装方式

在 Debian/Ubuntu 上执行：

apt-get install rinetd

在 CentOS/RHEL 上使用 EPEL 源：

yum install epel-release && yum install rinetd

配置文件格式

/etc/rinetd.conf 的基本语法为：

[源地址] [源端口] [目标地址] [目标端口] [协议]

• 源地址通常写 0.0.0 表示监听所有网卡。
• 协议可选 tcp 或 udp，默认为 tcp。
• 以 开头的行是注释。

示例：将本机 8080 端口转发至内网服务器 168.1.10 的 80 端口：

0.0.0 8080 192.168.1.10 80 tcp

修改配置后,执行 pkill -HUP rinetd 或 systemctl restart rinetd 使其生效。

启动与验证

systemctl enable rinetd systemctl start rinetd

验证命令：

telnet 127.0.0.1 8080

若连接成功且页面返回正常,说明转发生效。

高级配置技巧与踩坑指南

多端口转发与通配规则

可同时写入多行规则,例如同时转发 80、443 端口：

0.0.0 80 192.168.1.10 80 0.0.0.0 443 192.168.1.10 443

若希望转发所有端口,可使用 0.0.0 0 作为源端口（不推荐，因为会监听全部端口，存在安全隐患）。

仅允许特定源 IP 访问

通过指定源地址的限制,可以做到简单访问控制：

168.1.0/24 8080 10.0.0.5 80

但 rinetd 没有内置 ACL 白名单机制，如果要精确到单个 IP，建议配合防火墙使用。

内核参数调整

高并发下需修改文件描述符限制和 TCP 超时时间：

ulimit -n 65535 sysctl -w net.ipv4.tcp_fin_timeout=30 sysctl -w net.ipv4.tcp_tw_reuse=1

注意：tcp_tw_reuse

只对客户端生效，作为中转服务端时效果有限，慎用。

经验案例：使用 rinetd 实现云服务器端口转发

以西西云云服务器为例,我们将一台无公网 IP 的内网数据库服务器（0.0.8:3306）通过西西云公网服务器的 13306 端口暴露给外部开发人员临时调试。

操作过程：

1. 在西西云公网服务器（CentOS 7）上安装 rinetd。
2. 编辑 /etc/rinetd.conf，添加规则：

0.0.0 13306 10.0.0.8 3306 tcp

重启服务并验证端口监听。

遇到的问题与解决方案：

发现即使配置正确，外部连接依然超时，排查后发现是西西云安全组策略未放行 13306 端口，在西西云控制台的安全组规则中添加入方向 TCP 13306 后，立即生效。

经验总结： 使用 rinetd 前，务必先检查云服务商的安全组和本地防火墙（iptables/firewalld），否则容易误判为 rinetd 配置故障，对于长期稳定要求的业务，建议将 rinetd 注册为 systemd 服务，并开启自动重启，避免进程意外退出导致服务中断。

常见问题与性能调优

最大连接数受限

如果并发连接数超过默认值,需在启动脚本中提高进程限制，使用 systemd 时，可以在服务单元文件中添加：

LimitNOFILE=65535

UDP 转发注意事项

rinetd 对 UDP 支持存在局限，无法完整模拟 TCP 的状态机，在高丢包或乱序场景下可能出现丢包，生产环境建议使用

socat 或 nginx 的 stream 模块。

日志记录

默认 rinetd 不记录日志，如需日志，编辑配置文件取消 logfile 行注释：

logfile /var/log/rinetd.log

相关问答模块

问：rinetd 和 iptables 端口转发相比，哪种更好？

答：两者定位不同。iptables 在内核态工作，性能更高，适合超高并发和防火墙联动，但配置复杂度高，规则顺序敏感，出错后排查困难。rinetd 在用户态运行，配置清晰，便于理解和维护，适合中小流量或临时转发，如果业务量小且追求效率，选 rinetd；如果是核心生产链路或需要 分布 防护协同，则优先使用 iptables 或专业负载均衡产品。

问：rinetd 转发后，后端服务器看到的源 IP 是真实客户端 IP 吗？

答：不是，rinetd 在转发时会将连接源地址改为本机 IP（即 rinetd 所在服务器地址），后端程序如果依赖客户端 IP 做日志审计或风控，则需要在后端服务器上配置 PROXY protocol，或在 rinetd 源码层面进行自定义修改，对于大多数场景，通过 X-Forwarded-For（仅限 HTTP）或直接信任内网网关地址即可满足需求。

互动引导

如果你实际部署中遇到了转发失败、连接超时或性能瓶颈等奇葩问题，欢迎在评论区留言，把你使用的系统版本和 rinetd 配置贴出来，我会逐一为你分析，也可以分享你的 rinetd 使用技巧或替代方案，一起探讨更优的端口转发架构。