如何从第三个子网访问 Ubuntu 服务器上的两个子网（双 NIC）？

Question 1

设置默认路由后，ubuntu VM 在 eth1 上收到一个数据包（来自 192.168.1.15：ping 192.168.7.100）。它将执行以下操作之一：

由于反向路径过滤而丢弃数据包：在没有到该数据包源的路由的接口上接收数据包。
通过 eth0 应答，因为 192.168.1.15 与 eth0 上通过 192.168.1.253 的默认路由匹配

行为取决于/proc/sys/net/ipv4/conf/{all,eth1}/rp_filter值，但默认为 drop：all/rp_filter = 1 和 eth1/rp_filter = 1

在未丢弃的情况下：路由器 ERL3 看到来自 192.168.1.7.100 的回复数据包，该数据包应位于 lan-mgmt 中，但从 lan-dmz 传输。根据您写的路由器配置中可能描述的设置，但我不知道：

会将其丢弃，原因大致与 ubuntu 在启用 rp_filter 时将其丢弃的原因相同：它的路由在其他地方
无论如何都会接受。

假设 ERL3 接受它。那么“修复”就很简单了：通过禁用反向路径过滤来降低 ubuntu 的安全性：

echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter
echo 0 > /proc/sys/net/ipv4/conf/eth1/rp_filter

參考文獻：https://www.kernel.org/doc/Documentation/networking/ip-sysctl.txt（rp_过滤器）

（其工作方式是，eth0 保持受保护，但这与此无关）

先试一下，如果有效，问题就解决了。考虑将两者替换echo 0为echo 2仅用于 eth1（松散模式）。但请考虑这仍然是一个问题：非对称路由可能会产生其他问题，尤其是在防火墙方面。

如果路由器 ERL3 也在过滤（即：上述方法不起作用）：ubuntu 必须知道 192.168.1.0/24 的存在，并且使用table和rule设置正确的路由。除了如何解释之外，解释所有为什么有点困难，这里有一个参考，虽然不完全适用于这种情况，但可以主要基于（我在这里做了）：

參考文獻：http://lartc.org/howto/lartc.rpdb.multiple-links.html

我选择任意表 7 和 67 来匹配 192.168.7.0/24 和 192.168.67.0/24。从空路由开始（除了自动创建的本地 lan 路由之外），然后：

ip route add 192.168.67.0/24 dev eth0 src 192.168.67.100 table 67
ip route add default via 192.168.67.253 table 67
ip route add 192.168.7.0/24 dev eth1 src 192.168.7.100 table 7
ip route add 192.168.1.0/24 via 192.168.7.253 table 7 #enable only LAN to have a route to access MGMT. Feel free to replace 192.168.1.0/24 with default, you have a firewall too.

我不知道这是否真的有必要，但文档中是这么说的……：

ip route add 192.168.7.0/24 dev eth1 src 192.168.7.100
ip route add 192.168.67.0/24 dev eth0 src 192.168.67.100

您的默认路线保持不变，这里再次采用ip route的语法：

ip route add default via 192.168.67.253

真正重要的部分是告诉使用正确的界面：

ip rule add from 192.168.67.100 table 67
ip rule add from 192.168.7.100 table 7

最后注意：确保 ubuntu 没有路由，否则被攻陷的 DMZ 主机可能会尝试通过 ubuntu 管理其他主机：

echo 0 > /proc/sys/net/ipv4/conf/default/forwarding
echo 0 > /proc/sys/net/ipv4/conf/all/forwarding

Answer