一台Windows服务器和一台Linux服务器摆在一起，没有交换机、没有路由器，手里只有一根网线，却想让两台机器都能正常上网。这就是“Windows与Linux服务器通过网线直连上网”要解决的事。这活儿听着小众，实际在临时机房搭建、设备搬迁调试、双机联调、嵌入式开发板联网这些场景里经常遇到。我第一次折腾这个配置的时候也踩了不少坑，网线类型搞错过、防火墙没放行、NAT转发忘了开、DNS指向不对，每一个问题都能卡住半小时。这篇文章把完整思路和实操步骤都说清楚，不管你是运维、测试还是搞嵌入式开发的，照着一遍下来基本都能通。
1. 哪些场景需要直连：先搞明白这个活儿解决什么问题
1.1 没有网络设备时的应急组网
先说说这活儿什么时候需要。最常见的一类场景是手头根本没有交换机或路由器，比如临时搭建测试环境，机房里只有两台服务器和一根网线；再比如现场调试设备，甲方环境里网络设备还没到位，但业务系统急着要联调。这个时候网线直连就是最快的组网方式——两台机器物理连上，各自配一个局域网IP，第一台能访问第二台，如果其中一台本身有外网连接，还能带着另一台一起上网。
第二类场景是跨网络隔离的调试。比如一台Windows跳板机连着一个办公网络，一台Linux服务器在另一个隔离网段，中间没有路由可达，但你又不想惊动网络管理员去加路由策略。直连一条网线，给两块网卡配一个独立的小网段，就能在不影响各自原网络的前提下，建立起一条技术沟通的“旁路通道”。
第三类是开发板上网。嵌入式开发板、树莓派这类设备经常只有有线网口，没有屏幕没有键盘，想让它联网、想通过SSH登录管理，最方便的办法就是用网线直连一台笔记本或者服务器，由主机做网关给开发板共享网络。这种情况下，主机往往是Windows，设备端跑的是Linux，正好就是这篇文章讲的组合。
无论哪种场景，核心需求其实就两个：一是两台机器能通过直连链路通信，二是借助其中一台的“外网口”让另一台也能访问互联网。搞清楚了需求，后面的配置思路自然就清晰了。
1.2 直连上网的技术路径拆解
“直连上网”听起来像是一根线插上就能用，但实际在系统层面至少要完成四件事。
第一件事是物理层和数据链路层就绪。网线直连后，两台机器的网卡需要协商出链路速率，各自得到一个“本地链路”的连通状态。现代网卡普遍支持自动翻转，所以直通线和交叉线基本都能用，这在后面会详细说。
第二件事是网络层互通。两台机器必须在同一个IP子网内，比如Windows配置/24，Linux配置/24，这样它们才能通过ARP解析到对方的MAC地址并直接通信。如果不在一个网段，就需要在中间配置路由设备，而直连场景没有路由设备，所以IP规划必须在同一网段。
第三件事是“网关”的确定。两台机器直连，谁当“网关”取决于谁有外网出口。比如Windows有两个网卡，一个连着外网，一个直连Linux，那么Windows就承担网关角色；反过来如果Linux有外网口，那Linux就是网关。网关的作用是接收另一台机器发来的“非本网段流量”，然后通过自己的外网口转发出去。
第四件事是流量转发和地址转换。网关一侧必须开启IP转发功能，否则流量到了网关就被丢弃；同时还要做NAT地址转换，把内网直连口的私有IP映射成外网口的IP去访问互联网。Windows上这个功能叫“Internet连接共享”，简称ICS；Linux上一般用iptables的MASQUERADE规则来实现。
把这四件事挨个拆开，每一步都不复杂，但很多人恰恰是因为只盯着某个细节、没搞懂整体链路，才反复配置不成功。后面每一章的实操，我都会按照这条链路逐层往下讲。
2. 准备阶段的三个关键选择：网线、IP规划、网卡协商
2.1 网线选型：直通线与交叉线还那么讲究吗
早年做网络的人都会背一条口诀：同类设备用交叉线，异类设备用直通线。电脑连电脑、交换机连交换机用交叉线；电脑连交换机、路由器用直通线。网线直连两台服务器，按说属于“同类设备”，应该用交叉线。
但从百兆以太网后期开始，几乎所有网卡都支持MDI-X自动翻转功能，网卡能自动检测到对端发来的线序，并自行调整发送和接收引脚。也就是说，你手头无论是T568A还是T568B线序，无论直通还是交叉，插上去都能协商成功。我实际测试下来，近十年生产的服务器、笔记本、开发板网卡基本都没有问题。
唯一需要留个心眼的是，如果碰上了很老旧的设备，或者某些特殊工控机的百兆网卡不支持自动翻转，那就老老实实找一根交叉线。判断网卡是否支持自动翻转，最直接的办法就是把线插上，看两端的网口状态灯是不是都亮起来、系统里网卡是否显示“已连接”。如果不亮，再考虑换线或者检查网卡配置。
网线本身的质量反而是更容易被忽略的点。直连距离短还好，超过三五十米，劣质网线的衰减就很明显。我个人建议尽量用超五类及以上的成品跳线，水晶头要压接可靠、铜片光亮那种。别小看这一步，我见过不少“怎么配置都不通”的怪问题，最后换一根网线就好了。
2.2 直连网段的规划与计算
网线插上以后，接下来是IP规划。直连网段要避开两边机器原有的局域网网段，避免路由冲突。举个例子，假设Windows连着公司的/24网络，直连Linux的那块网卡就不能再配成/24里的地址，否则Windows的系统路由表会乱掉，公司网络也会出问题。
直连网段我一般习惯用10.0.0.x或者192.168.137.x这类私有地址。有人会问，直连就两台机器，用/30这种掩码不是更省吗？理论上没错，/30可以提供2个可用IP，刚好够用。但在实际运维中，我不建议用这么抠的掩码，原因有三个：一是后续想在这个直连链路上再加一台设备，比如临时接个笔记本调试，/30就不够用了；二是一些老旧系统对非标准子网掩码的兼容性偶尔会出怪问题；三是在排障时，/24一眼就能看出“是同一个网段”，心理负担小很多。
以最常见的方案为例：
| 角色 | 直连网口IP | 子网掩码 | 说明 |
|---|---|---|---|
| 网关（有外网的一侧） | 同时作为客户端的默认网关 | ||
| 客户端（需要上网的一侧） | 与网关同一网段 |
至于默认网关的配置，客户端要把默认网关指向对端直连口IP，也就是上面表格里的网关地址。DNS在直连上网场景里往往被忽略，但少了它多半上不了网，后面会在Windows ICS和Linux NAT两个方案里分别说明。
还有一点要提醒：Windows系统的网卡如果配了静态IP，它可能会在后台生成一个自动跃点，同时存在多个网卡时默认路由可能选了错误的出口。遇到这种情况，可以在Windows的“高级TCP/IP设置”里手动调整接口跃点，或者用route命令查一下路由表，把默认路由明确指向直连网卡。这个坑在后面排查章节会详细展开。
2.3 物理链路确认与协商状态检查
开始配IP之前，养成先确认物理链路的习惯，能省掉后面一大半排障时间。插上网线后，Windows端打开网络适配器列表，Linux端用ethtool或者ip link命令查看，确认网卡状态是不是“已连接”。
# Linux下查看网卡链路状态 ip link show eth0 # 或者用ethtool查看详细协商信息 ethtool eth0我见过很多人上来就配IP、配路由，结果怎么都不通，最后发现是网线压根没插好，或者网口禁用着。物理链路确认的两个关键指标，一是状态是UP还是DOWN，二是速率协商结果。比如一端是千兆网卡，另一端是百兆网卡，两边会自动协商到百兆，这是正常的；但如果协商速率异常低，比如协商到了10Mbps全双工，通常就是网线质量或者水晶头接触不良。
物理链路通了以后，再配IP才有意义。Windows端打开“网络和共享中心 → 更改适配器设置 → 以太网 → 属性 → Internet协议版本4”，填入规划的静态IP；Linux端可以修改/etc/network/interfaces，或者用NetworkManager的nmcli命令，这个在第三章具体讲。
3. 方案A：Linux做网关，Windows通过NAT共享上网
这是我最常用的方案。原因很简单：Linux的iptables NAT功能稳定可控，转发规则清清楚楚，出了问题也容易排查。适合的场景是Linux服务器有外网口（比如连着机房交换机、光猫或者4G模块），Windows机器通过网线直连Linux上网。
3.1 Linux侧网络配置：双网卡与静态IP
假设Linux服务器有两块网卡，一块叫eth0连着外网，一块叫eth1直连Windows。先看一下当前网卡命名和状态：
ip addr show如果系统用的是较新的命名规则，网卡名可能是enp3s0、eno1之类的，不用纠结具体名字，原理一样。
编辑网络配置文件。Debian系的路径是/etc/network/interfaces，CentOS/RHEL 7及以下在/etc/sysconfig/network-scripts/ifcfg-eth1，CentOS 8/9或者Ubuntu 18.04以后很多默认走NetworkManager管理。考虑到篇幅，我以最常见的/ets/network/interfaces为例：
# 直连网口 eth1 auto eth1 iface eth1 inet static address netmask配置完重启网络服务或者用ifdown/ifup重新拉起这块网卡：
ifdown eth1 && ifup eth1如果系统默认用NetworkManager，建议直接用nmcli操作，避免配置文件被NM覆盖：
nmcli connection add type ethernet con-name direct ifname eth1 ip4 /24 nmcli connection up direct这里有个很关键的细节：直连网口不要配置默认网关。默认网关应该留在外网口eth0上，因为Linux要作为网关转发Windows的流量，它自己访问外网走eth0，如果eth1上也配了默认网关，会造成路由冲突，Windows发来的流量会被错误地引导。每次配置完都用ip route命令确认一下默认路由指向的是外网口。
3.2 开启IP转发与iptables NAT伪装
Linux默认是不会转发IP包的，因为内核参数net.ipv4.ip_forward默认是0。打开转发：
sysctl -w net.ipv4.ip_forward=1 echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf这个参数的作用，打个比方：一台机器收到一个目标地址不是自己的数据包，默认会直接扔掉；开启转发后，内核才会把数据包按照路由表往下一跳送出去。Windows发到网关Linux的包，目标地址是外网地址，所以Linux必须开启转发才能把它送往外网口。
接下来配iptables NAT规则。核心就一条MASQUERADE规则：
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE这条规则的意思是：从eth1进来、从eth0出去的流量，把源地址伪装成eth0的外网IP。为什么用MASQUERADE而不是SNAT？因为MASQUERADE会自动获取当前网卡的IP作为源地址，即使外网IP是动态获取的（比如DHCP或者PPPoE拨号）也能正常工作；SNAT则需要明确写上固定的源IP。对于服务器场景，如果外网口是固定IP，两者都行，但MASQUERADE更省心。
还要检查iptables的FORWARD链是否允许转发。很多发行版默认iptables规则是放行的，但如果你之前配置过防火墙策略，FORWARD链可能是DROP。加上放行规则更稳妥：
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT如果Linux上跑着firewalld，用firewall-cmd会更顺手：
firewall-cmd --permanent --add-masquerade firewall-cmd --reload这里要说明，firewalld的masquerade本质也是走的NAT表规则，只是封装成了更易用的接口。我个人的经验是，如果只需要临时分享上网，用iptables直来直去反而更清楚。
规则配好后，把iptables规则持久化，否则重启后失效。不同发行版命令略有不同：
# Debian/Ubuntu apt install iptables-persistent netfilter-persistent save # CentOS 7 service iptables save3.3 Windows侧网关与DNS设置
Linux侧就绪后，回到Windows侧。给直连网卡配置静态IP：
- IP地址：
- 子网掩码：
- 默认网关：
- 首选DNS：建议填写运营商的DNS，或者公共DNS地址。如果不知道填什么，可以先填网关地址，也就是让Linux帮你转发DNS请求，但前提是Linux侧放行了53端口流量。更稳妥的做法是直接用公共DNS。
配置完成后，Windows会通过网线直连链路向网关Linux发送数据包。验证网络是否通，我习惯按顺序做这几步：
# 第一步：验证直连物理链路通不通 ping -n 4 # 第二步：验证能否访问外网IP ping -n 4 # 第三步：验证DNS解析是否正常 nslookup www.example.com第一步通了说明二层三层没问题；第二步通了说明NAT转发和路由没问题；第三步通了说明DNS没问题。如果第二步能通、第三步不通，基本就是DNS配置问题，后面排查章节再展开。
3.4 连通性验证五步法
上面三步是基础验证，但真正严谨的验证我建议做满五步，尤其适合排查那种“半通不通”的诡异情况。
第一步，ping网关。确认直连链路本身没问题。 第二步，ping外网IP，比如ping一个公网IP的地址，绕过DNS，确认NAT转发和Linux路由是否正常。 第三步，ping域名，验证DNS解析。 第四步，在Linux上用tcpdump抓包确认流量确实到达了eth1：
tcpdump -i eth1 icmp -n如果Windows的ping请求能在tcpdump里看到，说明二层通信没问题；没抓到，说明Windows的流量压根没发到直连网口，问题在Windows侧路由。 第五步，在Linux上抓外网口的包，确认转发后的流量已经出了eth0：
tcpdump -i eth0 icmp -n这一步能抓到，基本可以断定Linux侧转发是正常的，剩下的问题多半在反向流量或者防火墙状态上。五步法配合着用，几乎能把问题范围精确缩小到某一台机器的某个网卡上。
4. 方案B：Windows做网关，Linux客户端上网（ICS反向版）
反过来，如果Windows连着外网，Linux通过网线直连Windows上网，这也是很常见的组合。Windows自带一个“Internet连接共享”功能，可以直接完成网关和NAT的工作，不用手敲iptables。
4.1 Windows ICS工作原理与启用方式
ICS全称Internet Connection Sharing，可以理解成Windows版的一键NAT。它的工作流程是这样的：你指定哪块网卡是“外网口”，Windows自动在那块网卡上开启NAT转发；同时把直连Linux的那块“内网口”强制设置为一个固定网段，并在这块内网口上自动开启DHCP服务，给对端设备分配IP、网关和DNS。
启用方式非常直白。打开“网络和共享中心 → 更改适配器设置”，右键单击连外网的那块网卡，选择“属性 → 共享”选项卡，勾选“允许其他网络用户通过此计算机的Internet连接来连接”。然后在后面的下拉框里选择“本地连接”对应的内网网卡（就是直连Linux那一块），确定即可。
这里有一个非常经典、很多人没注意到的信息：ICS启用后，Windows会自动把内网口的IP修改为，子网掩码为，并启动DHCP为对端分配-范围内的地址。也就是说，如果你之前手动配置过内网口的IP，启用ICS后会被Windows强制覆盖掉。这是设计如此，不要试着改回来自定义网段——一旦手动改了，ICS往往就不工作了，因为Windows的ICS服务默认把这个网段写死在代码逻辑里了。
4.2 Linux侧IP、路由、DNS配置
Windows侧ICS启用后，Linux侧基本不用太费心，因为ICS内置的DHCP服务会自动为Linux分配IP、网关和DNS。前提是Linux直连网口启用了DHCP客户端。
Debian/Ubuntu下，在/etc/network/interfaces里写成：
auto eth0 iface eth0 inet dhcp重启网卡后，用dhclient或者systemd-networkd重新获取一次IP：
dhclient eth0然后查看一下分配到的信息：
ip addr show eth0 ip route show cat /etc/resolv.conf正常情况下，Linux的IP会落在/24这个网段里，默认网关是，DNS也会被指向。检查完这些就可以直接ping外网了。
有一点要提醒：ICS的默认地址网段是，如果你原来的办公网络恰好用的也是这个网段，就会产生IP冲突。这种情况下ICS方案就不太合适，建议退回方案A，用Linux做网关，IP规划更自由。
4.3 ICS方案的优缺点与注意点
ICS最大的优点是省事，几秒钟就能把Windows变成路由器。但它也有几个先天局限。
一是灵活性差。网段固定、DHCP参数不可自定义、无法精细控制NAT规则，比如你想让内网设备访问Windows上某个特定端口，ICS本身不提供端口映射能力。二是稳定性一般。ICS依赖Windows的“Internet连接共享”服务，如果这个服务异常，或者Windows更新后网卡驱动重置，共享可能默默失效，而且故障提示不够直观。三是Windows防火墙可能拦截某些流量，启用ICS时系统会弹窗提示“将修改防火墙设置”，点确认的同时也要留意一下Windows Defender防火墙里是否对ICS相关流量放行了。
所以我的建议是：如果是生产环境或者需要长期稳定运行，优先用方案A；如果是临时测试、快速演示、或者Linux客户端本身变来变去需要DHCP动态分配，用ICS会更顺手。在跨平台运维中，两种方案都掌握是基本要求，不能只会一边。
还有一个细节值得注意：ICS模式下的Windows，其实也是“网关”，所以Linux客户端的默认路由必须指向Windows（一般是），不要自作聪明去配其他网关地址，否则数据包会走一条不存在的路。这个问题排查起来很隐蔽，因为Linux内网口IP可能是通的，ping Windows也能通，但就是上不了网。
5. 直连上网常见问题排查实录
这部分是整个直连方案最容易让人抓狂的地方。我把自己实际排查过程中遇到的高频问题整理成下面的内容，按出现频率从高到低排序。
5.1 网线插上后状态灯不亮怎么办
网线插上但系统没有反应，状态灯不亮或者一直闪黄灯，这是物理链路没起来的表现。先别急着改配置，按下面顺序排查。
换根网线试。这是最快速排除网线问题的方法，成本最低、最有效。 检查网口是否被禁用。Windows在“设备管理器 — 网络适配器”里看网卡“启用”状态；Linux用ip link set eth0 up手动拉起。 查看网卡自适应模式。把网卡强制设成100Mbps全双工再试一次，有些老工控网卡和交换机在自动协商时会失败。 如果两端都亮灯但系统还是显示“未连接”，那就不是网线的问题，而是驱动或固件层面的问题，重新装网卡驱动试试。
我遇到过一种很奇葩的情况：网线质量太差，导致网卡反复在1000M和100M之间抖动，状态灯一会亮一会灭。这种问题用ethtool看协商速率最容易暴露——速率一直在变，那基本可以断定网线物理层不稳定。
5.2 内网能通、外网不通的排查顺序
如果两台机器能互相ping通，但客户端上不了外网，问题基本集中在网关侧。排查顺序很重要，别乱跳。
第一步，先确认网关机器自己能不能上外网。在网关机器上ping一个外网IP，不通就从网关自身的网络配置查起。 第二步，确认IP转发已开启。在网关机器上执行sysctl net.ipv4.ip_forward，返回1才是正常的。很多Linux发行版默认不启用转发，即使iptables规则配得再对也没用。 第三步，检查NAT规则是否生效。在网关机器上查看iptables -t nat -L POSTROUTING -n -v，看看有没有匹配的包。如果规则里计数器是0，说明客户端发来的流量根本没走到NAT规则上。 第四步，检查防火墙FORWARD链。前面说过，FORWARD链默认可能是DROP。如果客户端的包到了网关但转发不出去，逐一排查iptables各链的ACCEPT/DROP策略。
下面这张表能帮你快速定位问题到底出在哪一层：
| 现象 | 可能原因 | 排查方向 |
|---|---|---|
| 互相ping不通 | 物理链路或IP网段问题 | 看网卡状态、核对IP子网 |
| 能ping网关，外网IP不通 | 网关未开启转发或NAT规则缺失 | 检查ip_forward、NAT表 |
| 外网IP能ping通，域名不通 | DNS配置问题 | 检查客户端DNS指向 |
| 网关能上网，客户端时通时不通 | 网线质量、防火墙状态拦截 | 检查物理链路和防火墙 |
5.3 DNS解析失败与防火墙误拦截
DNS问题在直连上网里非常高频，表现就是ping外网IP能通、ping域名报“找不到主机”。多数情况下是因为客户端没有配DNS，或者DNS指向了不可达的地址。
Windows客户端配了静态IP时，DNS一定要手动填。填什么呢？我建议优先填公共DNS，而不是网关地址。因为如果用网关做DNS代理，Linux侧的DNS服务（dnsmasq等）未必装、未必配置正确，往往成为新的故障点。填公共DNS的好处是少一跳，也减少一个故障环节。
Linux客户端如果用的DHCP，DNS一般是自动获取的；但手动配置静态IP时，同样要检查/etc/resolv.conf里的nameserver是否有效。
防火墙误拦截则是另一种隐蔽问题。Windows防火墙默认会拦截来自“公用网络”的入站请求。两台机器直连时，Windows往往会把这根直连网线识别的网络配置文件判定为“公用网络”，导致ping包（ICMP）被拦掉。解决办法有两个：一是到控制面板把直连这个网络改成“专用网络”；二是放行ICMP规则。如果你已经改了网络位置但还是ping不通，可以在“Windows Defender防火墙 — 高级设置 — 入站规则”里手动放行“文件和打印机共享(回显请求 - ICMPv4-In)”。
Linux侧类似的坑在ufw或firewalld上。开启ufw的默认规则可能拦截来自直连网口的流量，排查时记住FORWARD链和INPUT链是两个概念，NAT转发看FORWARD，ping本机看INPUT。
5.4 排查过程速查表
把这一章的内容浓缩成一张速查表，方便实际操作时对照：
| 排查步骤 | 命令/操作 | 预期结果 |
|---|---|---|
| 物理链路 | ip link / ethtool / Windows状态灯 | 显示UP，协商速率正常 |
| 本机IP | ip addr / ipconfig | 与对端同网段 |
| 本机路由 | ip route / route print | 默认路由指向网关 |
| 转发开关 | sysctl net.ipv4.ip_forward | 1 |
| NAT规则 | iptables -t nat -L | 有MASQUERADE规则且计数在增长 |
| 防火墙 | iptables -L FORWARD / firewall-cmd | 允许转发 |
| DNS | nslookup/nslookup | 能解析域名 |
每个步骤的预期结果都说得很清楚，哪一步不符合预期，哪一步就是问题所在。
6. 直连组网的延伸玩法与我的几点心得
直连网线经过一番配置，从一根“哑链路”变成了两个系统之间的信息高速公路。但它的价值远不止“上网”这一件事。
6.1 不止上网：直连还能做文件共享、远程管理、PXE安装
设置完网络基础之后，实际能做很多更有意思的事情。
文件传输是立竿见影的用途。Windows和Linux两台机器之间传大文件，走专用的直连网线比走公司局域网快得多。Linux上起一个Samba服务，Windows直接在资源管理器里访问；或者反过来在Windows上开FTP、开HTTP服务，Linux用wget/curl拉取。这个方法在机房环境里尤其好用——没有U盘，没有外网，两台机器之间互传文件全靠这根直连网线。
远程管理也是刚需。直连链路搭好后，就可以通过SSH从Windows远程登录Linux服务器，用RDP从Linux远程登录Windows桌面。平时管理服务器，不再需要额外搬一台显示器到机柜边上，用一根网线连过去就能完全控制。
再高级一点的玩法是用直连网线做PXE网络引导和系统安装。如果一台机器光驱坏了、U盘又没法用（比如服务器只有网口），可以在另一台机器上搭建一个TFTP/HTTP引导服务，目标机器通过网线从网络启动，然后自动加载安装程序装上系统。这种场景在无人值守装机时特别有用，直连链路比放在交换机上更可控，也不会干扰现有网络。
还有一个扩展思路：如果手头有三台以上机器需要互联，也可以临时把两台直连链路串起来，比如Windows — Linux1 — Linux2，中间那台Linux1配置好转发规则，把网线链路桥接或者路由起来，形成一个手拉手的“串糖葫芦”网络，解决没有交换机时的临时多机互联需求。前提是中间节点要开转发、配路由，本质上和单网关直连是一样的原理。
6.2 踩过几次坑之后的个人经验
最后分享几个我自己反复踩过、也帮别人排查时经常见到的坑，希望能帮你少走弯路。
第一，永远先查物理链路，再查IP。很多新手一上来就盯着一堆iptables规则看半天，最后发现网线根本没插好。物理链路、IP、路由、转发、防火墙、DNS，这个顺序一定不要打乱。
第二，Windows的ICS会强制改掉你的自定义IP，这是设计行为。如果你想用自定义网段，老老实实把ICS关掉，Windows只做普通客户端，让Linux做网关。两种模式不要混着来。
第三，Linux做网关时，直连网口千万不要配置默认网关。一个网卡一个默认路由就够了，配多了路由表会乱，Windows发来的包也可能被Linux从错误的口送出去。
第四，防火墙的排查要区分“访问本机”和“转发流量”两条路径。很多人只盯着INPUT链，但NAT转发走的是FORWARD链，两条链都要放行。
第五，跨平台直连非常考验耐心，因为两侧的操作系统日志风格完全不同。Windows上看事件查看器，Linux上看dmesg和journalctl，两边对照着看，往往比单看一边更早发现问题。
这个方案我实际用过很多次，从最初需要摸索半天，到后来几乎形成肌肉记忆，几分钟就能把链路理通。直连组网看上去只是一根网线的连接，背后涉及网络模型、路由交换、系统服务、防火墙策略的配合，把这个过程完整走一遍，对理解TCP/IP网络是如何在真实环境里运转的会有很大帮助。后面如果再遇到类似的临时组网需求，照着这套思路来，基本都能一次搞定。
