服务器出口 IP 固定与多出口分流

发布时间:2026-07-18 10:40

## 概念是什么 调用第三方接口时，对端常要求提供固定来源 IP 做白名单，而多出口的服务器哪个网卡可达就会用哪个地址出去，来源漂移导致白名单时灵时不灵。出口固定与分流要解决的是确定性：让特定流量永远从指定网卡与指定公网 IP 出去，其余流量走默认路线。 ## 背后原理 内核选路默认只看目的地，策略路由加入了条件维度：按源地址、目标地址、进接口等条件先匹配规则，命中后查指定的路由表，表里再定下一跳与出口设备。于是给对端方向单独建表，表内路由指向第二网卡的网关，再加规则把去往对端的流量引到这张表，出口就固定了。 ``` ip route add 203.0.113.0/24 via 192.168.2.1 dev eth1 table 100 ip rule add to 203.0.113.0/24 table 100 ``` 回程同样重要：从 eth1 进来的连接，回包默认可能走 eth0，对端校验源地址不符会丢弃，需配合连接跟踪的回程标记或对偶规则处理。 ## 最小实操 三步落地：为固定出口建路由表并写入目标网段的路由；添加规则把目标流量引到该表；curl 带指定出口网卡验证来源地址。验证命令用 if 参数绑定出口网卡，再借助对端回显服务或对方日志确认到达的 IP。 ``` curl --interface eth1 ifconfig.me/cli ``` 规则与路由写进启动脚本或网络管理器配置持久化，重启不丢才算交付。 ## 常见错误 只做了去程没管回程，表现为部分请求成功部分超时。网关与网卡不配对，流量被送出错误的设备。顺云云服务器多出口场景先确认各出口的网关与掩码，逐段验证，白名单类的固定出口变更后主动知会对端，避免两边都在等对方生效。 日常维护上，出口配置的变更要走与防火墙同级的变更流程：出口地址是与对端约定的契约，变更前知会、变更后验证、变更记录归档，三步缺一不可。多出口机器的监控加上出口维度的探测，每个出口对关键对端的连通性独立告警，哪个出口劣化立即知道，而不是笼统的服务不可用。