服务器内外网上网路由配置怎么设置？服务器双网卡路由表配置详解

服务器实现内外网同时上网的核心在于构建精准的路由策略与网络地址转换（NAT）规则，其本质是解决数据包“从哪里来，回哪里去”的路径对称性问题，通过配置策略路由，强制内网流量走指定网关，同时保留默认路由供外网或业务流量使用，是解决网络冲突、保障业务连续性的最佳实践。

核心结论：双网并行的逻辑架构

在服务器具备双网卡或多网卡的环境下，单纯依靠默认路由无法满足同时访问内部办公网与外部互联网的需求，核心解决方案必须建立在“路由表分层”与“NAT规则匹配”的双重机制之上。服务器内外网上网路由配置的成功关键，在于确保内网请求的回包不再被默认网关“劫持”,而是通过策略路由精确回流至内网网关。

网络拓扑与基础环境规划

实施路由配置前，必须明确网络拓扑结构,这是所有配置的基石。

1. 网络接口定义：
   通常服务器配置有两块物理网卡或逻辑接口。

   • Eth0（外网口）：连接互联网，配置公网IP或运营商分配的私网IP,网关指向运营商网关。
   • Eth1（内网口）：连接内部办公网或专网，配置内网IP段,通常不配置网关或配置内网网关。

2. IP地址与网关冲突分析：
   若两块网卡均配置了网关，操作系统会产生路由冲突，Linux系统默认只会生效最后加载的网关，或根据跃点数选择网关，导致其中一个网络不可达。专业建议是：外网网卡配置默认网关，内网网卡仅配置IP地址和子网掩码，切勿填写网关。

静态路由配置：构建基础连通性

在解决上网问题前,需先确保内网特定网段的可达性。

1. 添加静态路由规则：
   内网中往往包含多个业务网段（如财务系统、OA系统等），需通过内网网关（假设为192.168.1.1）访问。

   • 命令示例（Linux）：ip route add 10.0.0.0/8 via 192.168.1.1 dev eth1
   • 此命令告知服务器，访问10开头的内网地址时,必须经过eth1接口流出。
   • 持久化配置：需将路由规则写入/etc/sysconfig/network-scripts/route-eth1（CentOS）或/etc/netplan/（Ubuntu）配置文件中,确保重启后生效。

2. 验证基础连通性：
   使用ping命令测试内网业务IP，若此时能Ping通内网，且通过默认网关能访问互联网，说明基础路由表构建完成，但此时若内网需要主动访问服务器的某些服务，或服务器需通过内网网关上网,仍面临回包路径问题。

   

策略路由配置：解决多链路路径不对称

这是服务器内外网上网路由配置中最核心、也是技术难度最高的环节，当服务器需要通过内网网关访问互联网（如特定业务需求），或内网用户需通过服务器做跳板上网时,必须配置策略路由。

1. 创建路由表：
   在Linux系统中，需在/etc/iproute2/rt_tables文件中添加新的路由表名称，inner_net”。

   • 赋予表ID：200 inner_net。

2. 填充路由表规则：
   将内网流量的路由规则指向该独立路由表。

   • 设置表内默认网关：ip route add default via 192.168.1.1 dev eth1 table inner_net。
   • 此操作意味着，凡是查询“inner_net”这张路由表的数据包,都将走内网网关出去。

3. 设定策略路由规则（Rule）：
   如何让系统知道哪些数据包该查“inner_net”表？需使用ip rule命令。

   • 基于源地址匹配：ip rule add from 192.168.1.0/24 table inner_net。
   • 该规则表示，凡是源地址来自内网段的数据包，都查阅inner_net路由表，这确保了内网进来的请求，回包时依然走内网网关返回,实现了路径的闭环。

NAT与防火墙配置：保障网络转换顺畅

路由通了，并不代表能上网,还需解决IP地址转换问题。

1. 开启内核转发：
   修改/etc/sysctl.conf文件，设置net.ipv4.ip_forward = 1，并执行sysctl -p生效,这是服务器充当路由器或网关的前提。

2. 配置SNAT（源地址转换）：
   当服务器通过内网口上网时，数据包的源IP需转换为服务器内网口IP,否则回包无法送达。

   • Iptables示例：iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE。
   • 或者指定IP转换：iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j SNAT --to-source 192.168.1.100。
   • 重点注意：MASQUERADE（伪装）适用于动态IP环境，SNAT适用于静态IP环境,后者效率更高。

3. 防火墙策略放行：
   检查Firewalld或Iptables的Filter表,确保FORWARD链允许数据包通过。

   

   • iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT（内网到外网）
   • iptables -A FORWARD -i eth0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT（外网回包到内网）

故障排查与高可用建议

配置完成后,专业的运维监控必不可少。

1. 路由追踪测试：
   使用traceroute命令分别追踪外网地址和内网业务地址，观察第一跳是否分别指向了外网网关和内网网关，如果第一跳路径错误,说明策略路由未生效或优先级过低。

2. 抓包分析：
   利用tcpdump -i eth1 icmp抓取内网口数据，若能看到“request”请求但没有“reply”，通常是回包路由错误，被默认网关丢弃，此时应重点检查ip rule规则是否覆盖了该网段。

3. 配置备份与监控：
   生产环境中，路由规则丢失将导致业务中断，建议编写脚本定期备份路由表和iptables规则，并利用Zabbix等监控工具探测内外网链路的连通性，一旦链路中断,应触发告警机制。

---

相关问答

服务器配置了双网关后，为什么只能访问外网，无法访问内网资源？
解答：这是因为操作系统的路由表优先级机制导致的，默认情况下，系统只认一个默认网关，当外网网关作为默认网关时，访问内网IP的数据包会被错误地发送到外网网关，导致丢包，解决方案是删除内网网卡的网关配置，改用静态路由明确指定内网网段的路由路径，或者配置策略路由,根据数据包的来源地址强制指定路由表。

配置策略路由后，内网用户通过服务器上网速度很慢，如何优化？
解答：首先检查DNS解析，确认内网用户使用的DNS服务器响应速度，检查服务器的NAT规则，MASQUERADE模式会消耗一定的CPU资源进行IP追踪，若流量巨大，建议改为静态SNAT模式，检查服务器网卡带宽是否跑满，双网卡服务器往往存在中断亲和力问题，建议优化网卡多队列配置,将不同网卡的中断请求分发至不同CPU核心处理。

如果您在配置过程中遇到更复杂的网络拓扑问题,欢迎在评论区留言讨论。