VMware 仅主机 + NAT 模式下 iptables 转发失败的排错全过程（MASQUERADE 挂错网卡）
目录 1. 实验环境 2. 故障现象 3. 排查过程 3.1 检查默认网关 3.2 确认 node1 到 jumper 的内网连通性 3.3 确认 jumper 自己能上外网 3.4 确认内核转发已开启 3.5 确认 FORWARD 链放行 3.6 抓包定位（关键转折点） 3.7 查看 NAT 规则（真相浮出水面） 3.8 核对真实的外网网卡名 4. 根因分析 5. 正确配置（最终生效） 6. 避坑清单（收藏备用） 7. 写在最后 前言 今天上午做 VMware 内网流量转外网的实验，照着教程一行一行敲命令，结果 node 能 ping 通网关，却死活 ping 不通百度。 我查了路由表、翻了 iptables 规则、确认了内核转发、关了 firewalld……几乎把 Linux 网络栈翻了个底朝天，几度想直接跳过这个实验。直到最后敲下 ip route get 8.8.8.8，盯着输出沉默了三秒——教程里写的是 ens160，而我的外网网卡，叫 ens33。更讽刺的是，之前加过的重复规则把真正的问题掩盖了整整一上午。 一个网卡名的错位，一次规则的冗余，让我怀疑人生了大半天。如果你也在做 NAT 转发实验，遇到"node 能 ping 通网关却上不了外网"，希望这篇排坑记录能帮你省下这几个小时——因为"低级错误"从来不低级，它只是隐蔽得恰到好处。 ...