最近在调试一个虚拟网络,遇到一些转发难题,作个汇总。
1、用tcpdump抓包,确认已经收到报文、但是发不出报文。收不到的情况这里不讨论;能发出报文但是对方收不到可能是路由错了,也可能是接收方的问题,这里也不细说了。
2、看目的地址是不是正确的。目的地址不是本机的才会转发,或者DNAT成非本机地址也可以。
3、看报文入口网卡的forward开关有没有打开,如sysctl net.ipv4.conf.enp2s0.forwarding,必须是1。sysctl net.ipv4.conf.enp2s0.forwarding=1
4、检查iptables中有没有规则将这个报文丢弃。通常要检查mangle/nat/filter的PREROUTING/FORWARD/POSTROUTING这些链。
5、检查下一跳是否可达。转发目的地址与本机同网段的,直接看目的地址是否可达;不同网段的,看网关是否可达。一般ping一下就行。ping不通的话,用arp -an看MAC地址有没有解析成功。如果arp显示incomplete说明链路不通。
6、如果以上都没有问题,而报文的源地址并非上一跳地址,那么要检查反向路由有没有问题,也就是看报文的源地址是不是可达。默认情况下系统会检查这个。不可达的话,要么配上反向路由,要么把这个检查关掉。比如:
以上两条开关都要关掉。因为只要其中一个打开就会生效。sysctl net.ipv4.conf.all.rp_filter=0 sysctl net.ipv4.conf.enp2s0.rp_filter=0