如何在跨不同网络场景下配置DSR负载均衡，实现服务器B直接向客户端发送响应数据包

算力阿峰

2026-4-22

嗨，我来帮你梳理下这个跨网络DSR配置的具体思路，这类场景我之前处理过不少，核心是要保证两个关键环节：A转发请求时保留客户端源IP，B回包时把源IP伪装成A的公网IP，同时确保B能直接打通到客户端的路由。

下面是分步骤的配置要点：

一、先明确核心逻辑

你要的流程是：

客户端 → 服务器A（195.45.10.2） → 服务器B（85.10.20.2，源IP保留客户端IP） → B直接回包给客户端（源IP替换为A的195.45.10.2）

这里的关键是A只做IP层转发（不做NAT），B负责完成源IP伪装，同时B必须有独立的公网访问能力（不能只能通过A出公网，否则没法直接回客户端）。

首先开启IP转发功能，让A能转发数据包：
临时生效：echo 1 > /proc/sys/net/ipv4/ip_forward
永久生效：编辑/etc/sysctl.conf，把net.ipv4.ip_forward=1注释去掉，然后执行sysctl -p
关闭A上针对客户端流量的SNAT规则（如果有的话），必须保留客户端的源IP转发给B，不能做地址转换
配置转发规则，允许A把客户端的请求转发到B：
用iptables的话，在FORWARD链添加允许规则：
iptables -A FORWARD -s 0.0.0.0/0 -d 85.10.20.2 -j ACCEPT
（如果是特定端口的服务，比如80端口，可以加-p tcp --dport 80来缩小范围）
确保A和B之间的网络连通，A上有到B的路由（如果不在同一网段，需要添加静态路由，比如ip route add 85.10.20.2/32 via [A到B的网关IP]）

这部分是核心，要完成两个动作：接收带客户端源IP的请求，回包时替换源IP为A的公网IP

首先确保B能接收A转发来的数据包：B上要有到A的路由，或者B的网关能连通到A
配置源IP替换（SNAT），让B的响应数据包源IP变成A的195.45.10.2：
针对服务端口（比如80端口）配置精准规则：
iptables -t nat -A POSTROUTING -p tcp --sport 80 -j SNAT --to-source 195.45.10.2
如果是所有服务，可以简化为：
iptables -t nat -A POSTROUTING -d 0.0.0.0/0 -j SNAT --to-source 195.45.10.2
（注意：这个规则只针对B发往外网的响应，不会影响B内部的流量）
关键前提：B必须能直接访问公网客户端，也就是B的网络要有独立的公网出口，或者有路由能直接指向公网网关，不能只能通过A出公网，否则数据包还是会走A，达不到DSR的效果

在客户端抓包：请求的目标IP是195.45.10.2，响应的源IP也是195.45.10.2，符合TCP连接的四元组，客户端能正常接收
在服务器A上抓包：只能看到客户端发过来的请求数据包，看不到B回给客户端的响应数据包（因为B直接回了），这就说明DSR生效了
在服务器B上抓包：能看到来自客户端真实IP的请求（源IP是客户端，目标IP是B的85.10.20.2），响应数据包的源IP已经被替换成195.45.10.2，直接发往客户端

TCP连接的四元组必须严格匹配：客户端请求是「客户端IP:端口 → A_IP:端口」，所以B的响应必须是「A_IP:端口 → 客户端IP:端口」，否则客户端会丢弃数据包，这就是为什么B必须做SNAT替换源IP
如果A和B不在同一个二层网络，A转发的是IP层数据包，B的服务要监听在自己的IP（85.10.20.2）上，不需要绑定A的公网IP
不要在A上做任何针对客户端流量的NAT，必须保留客户端源IP，否则B拿到的是A的IP，没法直接回客户端

备注：内容来源于stack exchange，提问作者Ehsan Hosseini