如何使主网卡的Secondary IP可路由？

看起来你遇到的问题非常典型——Secondary IP已经配置到位，ARP请求和回复都正常交互，但就是没法正常通信。我来帮你排查几个核心关键点：

1. 检查反向路径过滤（rp_filter）设置 #

这是导致这类问题最常见的原因。Linux内核的rp_filter机制默认会验证数据包的源地址是否存在于系统路由表中，当数据包发送到你的Secondary IP（172.20.11.253）时，系统可能会用主IP（172.20.11.35）的路由条目来做验证，直接丢弃不符合的数据包。

• 临时测试关闭：执行以下命令立即生效（重启后失效）

  echo 0 > /proc/sys/net/ipv4/conf/eth0/rp_filter
  echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter
  

• 永久生效配置：编辑/etc/sysctl.conf或者/etc/sysctl.d/99-rp-filter.conf文件，添加以下内容：

  net.ipv4.conf.eth0.rp_filter = 0
  net.ipv4.conf.all.rp_filter = 0
  

  然后执行sysctl -p加载新配置。

2. 配置源地址路由规则 #

即使ARP交互正常，系统回复数据包时可能默认使用主IP作为源地址，导致对方收到回复后因为源IP不符而丢弃。你需要添加专门的路由规则，确保从Secondary IP进入的请求，用该IP作为源地址回复：

• 添加源地址匹配规则：

  ip rule add from 172.20.11.253 table 100
  

• 给这个规则对应的路由表添加默认路由：

  ip route add default via 172.20.15.253 dev eth0 table 100
  

• 如果需要永久保存这些规则，可以将配置写入/etc/iproute2/rt_tables和对应的路由规则文件中（不同发行版路径略有差异）。

3. 排查防火墙/iptables规则 #

有可能你的防火墙规则拦截了指向Secondary IP的ICMP或其他流量。可以先临时关闭防火墙做测试：

• 对于firewalld：

  systemctl stop firewalld
  

• 对于iptables：

  iptables -F
  

如果测试后能正常ping通，再针对性地添加允许Secondary IP流量的防火墙规则。

4. 验证路由表优先级 #

你添加的172.20.10.198 dev eth0 src 172.20.11.253是主机路由，优先级高于默认路由，但它只针对目标为172.20.10.198的流量。而问题可能出在回复流量的源地址选择上，所以上面的源路由规则会更有效。

建议先从第一步的rp_filter排查开始，这大概率能解决你的问题，如果不行再依次尝试后续步骤。

备注：内容来源于stack exchange，提问作者Hussain Nagri