在复杂的网络环境中，如何让数据包像智能快递一样精准送达？答案或许藏在Linux的策略路由技术中。这种基于源地址、协议或端口等条件动态选择路径的机制，如同为每个包裹贴上定制化配送标签，彻底改变了传统路由的“一刀切”模式。

一、传统路由的局限性

传统路由系统就像邮局的自动分拣机，仅根据包裹上的收件地址（目的IP）选择运输路线。所有发往同一地区的包裹，无论寄件人是谁，都会被塞进同一条传送带。这种模式在简单网络中运行良好，但在以下场景中显得力不从心：

1. 多出口网络：当企业拥有电信、联通双线接入时，传统路由无法让OA系统流量走低延迟专线，普通上网流量走经济线路

2. 安全隔离需求：财务部门的数据需要经过防火墙严格审查，而普通部门流量可直接转发

3. 服务质量分级：视频会议流量需要优先保障带宽，文件下载流量可接受延迟

这些复杂需求催生了策略路由技术，它通过多路由表+智能规则的组合，让网络流量管理如同机场的VIP通道系统——不同乘客根据身份特征走专属通道。

二、策略路由的核心机制

策略路由系统由两大核心组件构成：路由表矩阵和智能匹配规则，二者协同工作形成决策引擎。

2.1 路由表矩阵

Linux系统支持最多255张路由表，如同多层级物流中转站：

  • 本地表（255）：记录本机网卡地址、广播地址等，系统自动维护不可修改
  • 主表（254）：存储常规路由条目，传统route命令配置的规则存放于此
  • 默认表（253）：存放默认网关信息
  • 自定义表（1-252）：用户根据业务需求创建，如`vip_route`、`guest_route`等

    • 通过`cat /etc/iproute2/rt_tables`可查看已注册路由表，管理员可在此文件添加自定义表别名。

    2.2 智能匹配规则

    规则系统如同交通指挥中心，通过三级筛选机制引导流量：

    1. 优先级队列：0-32767的数值决定检测顺序，数值越小优先级越高

    2. 匹配条件：支持源/目的IP、端口、协议类型等18种过滤条件

    3. 执行动作：跳转指定路由表、拒绝转发或标记服务质量

    默认规则链包含三个关键节点：

    bash

    0: from all lookup local 最高优先级检查本地路由

    32766: from all lookup main 次优级检查主路由表

    32767: from all lookup default 最后检查默认路由

    新规则会插入32766之前，确保自定义规则优先于系统默认规则。

    三、配置实战：构建智能分流系统

    以下通过企业典型场景演示配置过程，假设：

  • 内网包含研发（192.168.1.0/24）和行政（192.168.2.0/24）两个子网
  • 出口有两条线路：电信（eth1）和联通（eth2）

    • 3.1 创建路由表

    编辑`/etc/iproute2/rt_tables`添加自定义表：

    bash

    200 telcom 电信路由表

    201 unicom 联通路由表

    3.2 填充路由表内容

    bash

    电信路由表配置

    ip route add 0.0.0.0/0 via 218.1.1.1 dev eth1 table telcom

    联通路由表配置

    ip route add 0.0.0.0/0 via 221.2.2.1 dev eth2 table unicom

    主表保留内网路由

    ip route add 192.168.0.0/16 dev eth0

    3.3 设置分流规则

    bash

    研发部门走电信线路

    ip rule add from 192.168.1.0/24 lookup telcom pref 1000

    行政部门走联通线路

    ip rule add from 192.168.2.0/24 lookup unicom pref 1001

    刷新路由缓存

    ip route flush cache

    3.4 验证配置效果

    bash

    查看规则列表

    ip rule show

    0: from all lookup local

    1000: from 192.168.1.0/24 lookup telcom

    1001: from 192.168.2.0/24 lookup unicom

    32766: from all lookup main

    测试路径走向

    traceroute -s 192.168.1.10 www. 应显示电信网关

    traceroute -s 192.168.2.20 www. 应显示联通网关

    四、进阶应用场景

    4.1 双活链路负载均衡

    Linux策略路由：基于源地址与多路由表的深度解析与配置实战

    通过nftables标记流量特征，实现应用级分流：

    bash

    标记SSH流量

    nft add rule ip mangle prerout tcp dport 22 meta mark set 0x1

    创建专属路由表

    ip route add default via 10.0.0.1 table ssh_route

    设置标记路由规则

    ip rule add fwmark 0x1 lookup ssh_route

    4.2 故障自动切换

    结合keepalived实现高可用：

    bash

    健康检测脚本

    ping -c 3 -I eth1 218.1.1.1 || ip route replace default via 221.2.2.1 dev eth2

    定时任务检测

    /5 /usr/local/bin/check_gateway.sh

    4.3 流量整形

    通过tc工具配合策略路由实现QoS：

    bash

    创建HTB队列

    tc qdisc add dev eth0 root handle 1: htb

    划分带宽类别

    tc class add dev eth0 parent 1: classid 1:10 htb rate 100Mbit ceil 100Mbit

    tc class add dev eth0 parent 1: classid 1:20 htb rate 50Mbit ceil 80Mbit

    绑定路由标记

    iptables -t mangle -A POSTROUTING -s 192.168.1.0/24 -j MARK --set-mark 10

    tc filter add dev eth0 protocol ip parent 1: prio 1 handle 10 fw flowid 1:10

    五、注意事项

    1. 规则优先级冲突：新规则默认插入现有规则之前，需注意pref参数设置

    2. 持久化配置：通过`/etc/rc.local`或NetworkManager脚本保存配置

    3. 性能影响：超过500条规则时建议启用路由缓存优化

    4. 安全审计：定期检查`ip rule list`防止未授权规则注入

    这种灵活的路由机制，已广泛应用于云计算的VPC网络、5G边缘计算节点的流量调度等领域。通过策略路由，网络管理员可以像交响乐指挥一样，精确控制每个数据包的流动轨迹，在复杂网络环境中实现智能化的流量治理。