环境:两个网卡,不同网段。
eth0 : 172.21.67.x
eth1 : 192.168.172.x
默认路由如下:
此时 下面的两种方法都是通的
ping 8.8.8.8 ---> 通
ping 8.8.8.8 -I eth0 ---> 通
ping 8.8.8.8 -I eth1 ---> 不通
按理说 指定 -I 参数,已经指定了 数据包从 eth1 发出去,和默认路由是无关的,当8.8.8.8 收到数据后,在发给设备,设备收数据的时候,会广播到每个网卡,只有目的地是自己的网卡才会接受数据包,其他的网卡则会抛弃,所以 ping 8.8.8.8 -I eth1 应该也会通才对。
但是为什么不通呢?
此时就要引入一个概念了!
参考Linux内核文档 documentation/networking/ip-sysctl.txt
rp_filter
即rp_filter参数有三个值,0、1、2,具体含义:
0:不开启源地址校验。
1:开启严格的反向路径校验。对每个进来的数据包,校验其反向路径是否是最佳路径(默认路由)。如果反向路径不是最佳路径(默认路由),则直接丢弃该数据包。
2:开启松散的反向路径校验。对每个进来的数据包,校验其源地址是否可达,即反向路径是否能通(通过任意网口),如果反向路径不同,则直接丢弃该数据包。
用通俗的话解释一下,就是eth1 有 incoming 数据包,Reverse Path Filtering 模块会将数据包的源地址和目的地址(srcIP->dstIP)调转过来成为(dstIP->srcIP),然后在路由表中查找这个(dstIP->srcIP) 的路由,如果出口(默认路由)恰好是 eth1 那么 rp_filter 测试通过,否则不通过/丢弃。
系统rp_filter参数的配置为:
[root@localhost ~]# sysctl -a | grep rp_filter
net.ipv4.conf.all.rp_filter=1
net.ipv4.conf.default.rp_filter=1
解决办法:
1. 修改路由表,使响应数据包从eth1出,即保证数据包的进出为同一个网卡。
2. 调整 rp_filter 参数。(注意all和default的参数都要改)
1) 修改/etc/sysctl.conf文件,然后sysctl -p刷新到内存。
2) 使用sysctl -w直接写入内存
sysctl -w net.ipv4.conf.all.rp_filter=0
3) 修改/proc文件系统
echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter