静态路由配置后跨接口流量转发异常：无法从服务器1ping通服务器2的172.22.0.3地址

看起来你碰到了一个很典型的跨接口路由+转发问题，我帮你拆解下场景和可能的解决方向：

先明确你的两台服务器配置（方便后续排查） #

• 服务器1（发起ping的机器）：
  • 网卡eth0：192.168.1.200
  • 手动配置静态路由：ip route add 172.22.0.3 via 192.168.1.172
• 服务器2（转发/目标机器）：
  • 网卡eno0：192.168.1.172，网卡eno1：172.22.0.3
  • 开启IP转发：net.ipv4.ip_forward = 1
  • 添加NAT规则：iptables -t nat -A POSTROUTING -s 192.168.1.200/24 -j MASQUERADE

问题核心分析 #

你提到服务器2能抓到ping请求但没有回包到服务器1，大概率是回包路由路径错误或者防火墙规则拦截，具体有几个常见坑：

1. 服务器2的回包走了错误的接口

这是最常见的原因：服务器2收到来自服务器1的ping包后，响应回包的目标是192.168.1.200，如果服务器2的路由表中默认路由指向eno1接口（比如eno1接了公网或其他网段），回包会从eno1发出去，而不是走eno0回到192.168.1.0/24网段，服务器1自然收不到。

排查&解决：

• 查看服务器2的路由表：ip route show
• 确认是否存在针对192.168.1.0/24的直连路由（类似192.168.1.0/24 dev eno0 proto kernel scope link src 192.168.1.172的条目）
• 如果没有这条路由，手动添加：ip route add 192.168.1.0/24 dev eno0
• 用tcpdump验证回包出口：在服务器2的eno0和eno1分别抓ICMP包，看回包是否从eno0发出：

  # 在eno0抓包
  tcpdump -i eno0 icmp
  # 新开终端在eno1抓包
  tcpdump -i eno1 icmp
  

2. 防火墙规则拦截了流量

你的NAT规则只处理了POSTROUTING的源流量，但FORWARD或INPUT链可能默认拒绝了相关ICMP包：

• 检查服务器2的FORWARD链：执行iptables -L FORWARD -v，如果默认规则是DROP，添加允许双向ICMP的规则：

  iptables -A FORWARD -s 192.168.1.200 -d 172.22.0.3 -p icmp -j ACCEPT
  iptables -A FORWARD -s 172.22.0.3 -d 192.168.1.200 -p icmp -j ACCEPT
  

• 检查服务器2的INPUT链：因为ping的目标是服务器2的eno1接口IP，响应包会进入INPUT链，确保允许ICMP：

  iptables -A INPUT -p icmp -j ACCEPT
  

• 检查服务器1的防火墙：服务器1可能拒绝了来自172.22.0.3的ICMP响应，可临时关闭防火墙测试（比如systemctl stop firewalld），如果能ping通再调整规则允许相关流量。

3. NAT规则的冗余（可选）

其实你这个场景里，ping的目标是服务器2自己的eno1接口IP，不是转发到其他网段的机器，所以POSTROUTING的MASQUERADE规则是多余的——流量并没有离开服务器2去其他网段，这个规则不会生效，可以先删掉测试：iptables -t nat -D POSTROUTING -s 192.168.1.200/24 -j MASQUERADE

总结排查顺序 #

1. 先验证服务器2的回包出口是否正确（tcpdump+路由表检查）
2. 检查两台服务器的防火墙规则（重点是服务器2的FORWARD/INPUT，服务器1的INPUT）
3. 去掉冗余的NAT规则再测试

备注：内容来源于stack exchange，提问作者luke