VM secondary IP仅被特定源IP ping不通且返回Destination Port Unreachable的原因排查

你遇到的这个场景挺典型的——VMware虚拟机的ens160网卡绑定了两个同网段IP：主IP10.233.0.2和secondary IP10.233.0.3，但从源IP10.233.15.102只能ping通主IP，ping secondary IP时收到的是从10.233.0.3返回的Destination Port Unreachable；而从另一个源IP10.233.14.102却能正常ping通两个IP。结合这个现象，我梳理了几个最可能的排查方向：

1. 反向路径过滤（RP Filter）配置问题 #

这是这类问题最常见的诱因。Linux系统的rp_filter机制会校验数据包的反向路径合法性：当10.233.15.102发ping包到10.233.0.3时，虚拟机内核默认可能从主IP10.233.0.2回复（因为默认路由绑定主IP），但严格模式的rp_filter会检查到“回复源IP和接收目的IP不匹配”，直接丢弃回复包并返回不可达错误。而10.233.14.102可能刚好处于rp_filter宽松规则允许的范围内，或者虚拟机有针对该网段的特殊路由配置。

你可以用以下命令查看当前配置：

sysctl net.ipv4.conf.all.rp_filter
sysctl net.ipv4.conf.ens160.rp_filter

• 0 = 宽松模式（不校验反向路径）
• 1 = 严格模式（严格校验，默认值）
• 2 = 松散模式（只要反向路径在路由表中存在即可）
  如果是严格模式，临时改成0或2测试：sysctl -w net.ipv4.conf.ens160.rp_filter=0

2. 路由表或策略路由的差异 #

虚拟机上可能针对不同源网段配置了差异化的策略路由。比如针对10.233.14.0/24有专门的路由条目，让回复流量从10.233.0.3发出；而针对10.233.15.0/24的流量只能走主IP10.233.0.2，触发了rp_filter的拦截逻辑。

可以用以下命令查看路由和规则：

ip route show
ip rule show

检查是否存在针对源网段的路由策略，比如基于源IP的路由表跳转规则。

3. VMware虚拟交换机的端口组配置 #

检查VMware vSwitch或分布式交换机的端口组是否存在IP地址限制或流量过滤规则——比如端口组只允许10.233.14.0/24访问10.233.0.3，直接阻断了10.233.15.0/24的请求。另外，虚拟交换机“安全”选项里的MAC地址欺骗、IP地址欺骗规则如果过于严格，也可能导致secondary IP的流量被拦截。

4. 本地防火墙规则限制 #

虚拟机上的iptables或nftables防火墙可能配置了针对10.233.15.102 + 10.233.0.3的拦截规则，或者针对ICMP协议的过滤规则，只允许主IP响应特定源的ping请求。

可以用以下命令查看防火墙规则：

# iptables环境
iptables -L -n -v
# nftables环境
nft list ruleset

重点查看是否有针对目标IP10.233.0.3或源IP10.233.15.102的DROP/REJECT规则。

5. ARP缓存或邻居表异常 #

源主机10.233.15.102的ARP缓存可能没有10.233.0.3对应的MAC地址，或者缓存了错误条目；虚拟机上的邻居表也可能存在异常，导致无法正确响应来自10.233.15.102的ARP请求。

• 在源主机上清除ARP缓存后重试：arp -d 10.233.0.3
• 在虚拟机上查看邻居表状态：ip neigh show

备注：内容来源于stack exchange，提问作者Vladimir