如何让CentOS双网卡一张上外网一张通内网？

在服务器管理领域，为了实现更高的安全性、性能和网络管理的清晰度，经常需要在一台服务器上配置多个网络接口卡（网卡），并将它们连接到不同的逻辑或物理网络，CentOS作为一款广泛使用的企业级Linux发行版，提供了强大而灵活的网络配置能力，使得双网卡乃至多网卡的隔离配置成为一项常规但至关重要的任务，本文将深入探讨在CentOS系统中如何实现双网卡隔离，从规划、配置到验证,提供一套完整且清晰的实践指南。

规划与准备

在动手配置之前，周密的规划是成功的关键，需要明确双网卡的应用场景，最常见的场景是“一内一外”，即一个网卡连接内部局域网（LAN），用于访问内部资源、数据库或进行管理；另一个网卡则连接外部网络（WAN），如互联网，用于对外提供服务，这种架构的核心目标是：内部网络和外部网络在默认情况下不能直接通信，所有跨网络的流量都必须经过这台服务器的审查和控制，从而形成一个安全的“隔离带”。

假设我们有以下网络环境规划：

在配置前，首先需要确认系统已识别到两个网卡，可以使用 ip addr 命令查看所有网络接口及其状态，确保 eth0 和 eth1 都已列出。

配置网络接口

CentOS 7及更早版本主要使用位于 /etc/sysconfig/network-scripts/ 目录下的 ifcfg-<interface_name> 文件进行网络配置，我们将以这种方式为例进行详细说明,因为它直观且易于理解。

配置外网网卡 (eth0)

编辑或创建 /etc/sysconfig/network-scripts/ifcfg-eth0 文件：

vi /etc/sysconfig/network-scripts/ifcfg-eth0

这是连接外部网络的配置：

TYPE=Ethernet
BOOTPROTO=static
DEFROUTE=yes
NAME=eth0
DEVICE=eth0
ONBOOT=yes
IPADDR=203.0.113.10
NETMASK=255.255.255.0
GATEWAY=203.0.113.1
DNS1=8.8.8.8
DNS2=8.8.4.4

关键参数解析：

• BOOTPROTO=static: 使用静态IP地址。
• ONBOOT=yes: 确保系统启动时激活此网卡。
• IPADDR, NETMASK: 分配给该网卡的IP地址和子网掩码。
• GATEWAY: 至关重要的配置，这是此网卡所在网络的默认网关，只有连接外部网络的网卡需要设置网关,以便服务器能够访问互联网。
• DNS1, DNS2: 域名解析服务器地址,通常与外网网卡关联。

配置内网网卡 (eth1)

编辑或创建 /etc/sysconfig/network-scripts/ifcfg-eth1 文件：

vi /etc/sysconfig/network-scripts/ifcfg-eth1

TYPE=Ethernet
BOOTPROTO=static
DEFROUTE=no
NAME=eth1
DEVICE=eth1
ONBOOT=yes
IPADDR=192.168.10.1
NETMASK=255.255.255.0

关键参数解析：

• DEFROUTE=no: 这是实现隔离的关键一步，它告诉系统不要将此网卡设置为默认路由，如果省略此行或设置为 yes，系统可能会尝试通过内网网卡访问外网,导致网络不通或不稳定。
• 没有 GATEWAY 行: 同样地，内网网卡不应配置网关，否则会与外网网关产生冲突,形成路由黑洞。

配置完成后,保存文件并重启网络服务以使配置生效：

systemctl restart network

实现网络隔离的核心

仅仅配置IP地址和网关并不完全等同于“隔离”，真正的隔离在于控制数据包的转发，Linux内核本身就是一个强大的路由器，但默认情况下，它的IP转发功能是关闭的，这正是我们所需要的状态,因为它天然地阻止了数据包从一个网络接口被转发到另一个网络接口。

我们可以通过以下命令检查IP转发的状态：

sysctl net.ipv4.ip_forward

如果输出为 net.ipv4.ip_forward = 0，则表示转发功能已禁用，这是实现基础网络隔离的理想状态，在这种状态下，服务器本身可以同时与内网和外网通信（从服务器ping内网主机和外网网站），但内网和外网之间无法通过这台服务器直接通信，内网的一台电脑（192.168.10.2）无法ping通外网网关（203.0.113.1）,反之亦然。

如果需要永久确保此功能被禁用（尽管默认就是禁用的），可以编辑 /etc/sysctl.conf 文件,确保包含以下行：

net.ipv4.ip_forward = 0

然后执行 sysctl -p 使配置立即生效。

验证与排错

配置完成后,必须进行全面的验证。

1. 检查路由表：执行 ip route show 或 route -n，你应该能看到一条指向 0.0.0 的默认路由，其网关是 0.113.1，并且这条路由是通过 eth0 设备的，应该有一条通往 168.10.0/24 网络的路由，通过 eth1 设备，如果出现两条默认路由，说明配置有误，需要检查 DEFROUTE 和 GATEWAY 设置。

2. 服务器连通性测试：

   • ping 203.0.113.1 (外网网关)：应该通。
   • ping 8.8.8.8 (公网IP)：应该通。
   • ping 192.168.10.2 (假设的内网主机)：应该通。

3. 隔离效果验证：

   • 在一台内网主机（如192.168.10.2）上，尝试 ping 203.0.113.1 (外网网关) 或 ping 8.8.8.8，结果应该是“请求超时”或“目标不可达”。
   • 如果测试失败，说明隔离配置成功，如果内网主机可以访问外网，则意味着服务器的IP转发功能被意外开启了，或者存在其他路由策略，需要重新检查 sysctl 设置。

通过以上步骤，我们就在CentOS上成功实现了一个基础但非常有效的双网卡隔离环境，这种架构为部署防火墙、网关、代理服务器或需要同时访问内外网的应用服务提供了坚实且安全的基础。

相关问答FAQs

Q1: 为什么我配置了两个默认网关后，服务器的网络会变得时断时续，甚至完全无法访问外网？

A: 这是一个典型的路由冲突问题，也称为“异步路由”，当系统中有两条默认路由（一个指向外网网关，一个指向内网网关）时，内核在决定发送数据包使用哪条路径时会产生困惑，它可能会根据路由策略的优先级或度量值随机选择一条，一个去往互联网的请求包可能通过外网网卡发出，但返回的数据包可能被错误地路由到内网网关，导致通信失败，解决方法就是遵循最佳实践：整个系统中只应存在一个默认网关，并且这个网关通常应该指向通往更广阔网络（如互联网）的接口，对于另一个网卡，只需配置IP地址和子网掩码，并确保 DEFROUTE=no，系统会自动为其添加一条直连网段的路由,而不会将其设为默认出口。

Q2: 除了完全禁用IP转发，有没有办法实现更精细的隔离控制，比如只允许内网的特定IP访问外网的特定端口？

A: 当然有，禁用IP转发（net.ipv4.ip_forward = 0）实现的是“完全隔离”，是一种“默认拒绝”的策略，如果你需要“受控访问”，即有选择性地允许某些流量通过,你需要两步：

1. 启用IP转发：将 net.ipv4.ip_forward 设置为 1,让内核具备转发数据包的能力。
2. 配置防火墙规则：使用 firewalld（CentOS 7+默认）或 iptables 来定义详细的转发策略，在 firewalld 中，你可以将两个网卡划入不同的zone（如external和internal），然后配置rich rules（富规则）来精确控制流量，一条规则可能看起来像这样：“允许来自 168.10.0/24 网段，目标端口为80（HTTP）和443（HTTPS）的流量，从 internal zone转发到 external zone”，这种方式将服务器从一个简单的隔离设备升级为一个功能强大的状态检测防火墙,提供了极高的灵活性和安全性。