配置网络栈从TAP设备接收双向UDP流量，解决双IP/MAC配置冲突导致的通信失效问题

兄弟，我太懂你踩的这个坑了——本来给监听节点C单配A的IP/MAC还能正常收到B发过来的流量，结果一加上B的IP/MAC配置就直接歇菜，这本质上是本地网络栈的路由优先级冲突在搞事：当你把A和B的IP都绑在同一个设备上时，系统会默认认为这两个IP都是“本地地址”，收到目标为A/B的数据包时，会直接走本地路由处理，根本不会把流量交给你的nc监听进程，甚至还会因为IP冲突直接丢弃数据包。

下面给你三个实用的解决方案，从干净隔离到快速抓包都有，按需选：

方案一：用网络命名空间隔离两个身份（最推荐，彻底解决冲突） #

网络命名空间相当于给系统开了两个独立的“虚拟网卡环境”，A和B的IP/MAC分别放在不同的命名空间里，互相完全不干扰。步骤如下：

1. 创建两个独立的命名空间，分别对应A和B的角色：

   ip netns add ns-A
   ip netns add ns-B
   

2. 把你的TAP设备挂到一个桥接设备上（让两个命名空间都能共享TAP的流量）：

   # 假设你的TAP设备叫tap0，先启动它
   ip link set tap0 up
   # 创建桥接设备br0，把tap0挂上去
   ip link add name br0 type bridge
   ip link set tap0 master br0
   ip link set br0 up
   

3. 给每个命名空间创建veth对（一端连桥，一端进命名空间），并配置对应的IP/MAC：

   # 给ns-A配置A的身份
   ip link add veth-A type veth peer name veth-A-br
   ip link set veth-A-br master br0 && ip link set veth-A-br up
   ip link set veth-A netns ns-A
   ip netns exec ns-A ip link set veth-A up
   ip netns exec ns-A ip link set veth-A address <A的MAC地址>
   ip netns exec ns-A ip addr add <A的IP地址>/24 dev veth-A
   
   # 给ns-B配置B的身份
   ip link add veth-B type veth peer name veth-B-br
   ip link set veth-B-br master br0 && ip link set veth-B-br up
   ip link set veth-B netns ns-B
   ip netns exec ns-B ip link set veth-B up
   ip netns exec ns-B ip link set veth-B address <B的MAC地址>
   ip netns exec ns-B ip addr add <B的IP地址>/24 dev veth-B
   

4. 分别在两个命名空间里启动nc监听：

   # 新开终端监听A的IP，接收B发的流量
   ip netns exec ns-A nc -v -u -l <A的IP> 2000 | hd
   # 再开一个终端监听B的IP，接收A发的流量
   ip netns exec ns-B nc -v -u -l <B的IP> 2000 | hd
   

   这样两个监听进程完全在独立的网络环境里，不会有任何IP冲突，完美接收双向流量。

方案二：用路由策略+iptables绕开本地路由（不用隔离，适合轻量场景） #

如果不想搞复杂的命名空间，也可以通过修改路由规则和iptables，让系统把目标为A/B的流量直接交给nc进程，而不是当成本地IP处理：

1. 给TAP设备配置基础IP，再把A和B的IP设为secondary（次要IP）：

   ip link set tap0 up
   # 先配一个无关的基础IP，比如192.168.1.254/24
   ip addr add 192.168.1.254/24 dev tap0
   # 添加A和B的IP作为次要IP
   ip addr add <A的IP>/24 dev tap0 secondary
   ip addr add <B的IP>/24 dev tap0 secondary
   

2. 添加路由策略，让目标为A/B的流量强制走tap0，不走本地路由：

   # 给A的IP单独建路由表100，强制流量走tap0
   ip rule add to <A的IP> lookup 100
   ip route add <A的IP> dev tap0 table 100
   # 给B的IP单独建路由表200，同理处理
   ip rule add to <B的IP> lookup 200
   ip route add <B的IP> dev tap0 table 200
   

3. 用iptables放行nc的监听流量，同时阻止系统的IP冲突报错：

   # 允许UDP 2000端口的流量进入监听进程
   iptables -A INPUT -p udp --dport 2000 -j ACCEPT
   # 阻止系统对A/B IP的不可达响应，避免干扰流量
   iptables -A OUTPUT -p icmp --icmp-type destination-unreachable -d <A的IP> -j DROP
   iptables -A OUTPUT -p icmp --icmp-type destination-unreachable -d <B的IP> -j DROP
   

   配置完后直接在主系统启动两个nc进程监听即可，系统会把流量正确转发给监听程序。

方案三：直接用抓包工具替代nc（最省事，适合仅抓包需求） #

如果你的核心需求只是捕获A和B之间的UDP流量，其实根本不用给C配置A/B的IP/MAC！直接用tcpdump或者tshark在TAP设备上抓包就行：

1. 先开启TAP设备的混杂模式（确保能捕获所有链路层流量）：

   ip link set tap0 promisc on
   

2. 直接抓UDP 2000端口的流量，实时查看十六进制格式：

   tcpdump -i tap0 udp port 2000 -X
   # 如果要保存到文件后续分析，用这个命令
   tcpdump -i tap0 udp port 2000 -w udp_capture.pcap
   

   这种方式完全绕开了IP/MAC配置的问题，因为TAP设备本身就是在链路层捕获所有流量，只要开了混杂模式，就能拿到A和B之间的所有UDP数据包。

备注：内容来源于stack exchange，提问作者Aleksandarf