Netplan桥接多网卡故障：桥接客户端无法与网关通信

看起来你遇到的问题很典型：在VirtualBox环境下用Netplan桥接多个内部网卡后，客户端能通过DHCP获取地址，也能收到网关的ICMP请求，但网关就是收不到客户端的回复。从你提供的tcpdump结果来看，客户端确实发送了回复包，但这些包没有到达网关的桥接口，这大概率是桥的MAC地址配置和接口关联方式导致的。

问题根源分析 #

1. 多余的虚拟接口定义：你在Netplan里为每个要桥接的物理网卡（enp0s9/10/16）定义了bridge4/5/6这类match式的虚拟接口，这其实没必要，反而可能让systemd-networkd在处理包转发时出现关联混乱。
2. 桥的随机MAC地址：默认情况下，Netplan创建的桥会生成一个随机MAC地址（比如你看到的da:13:a8:43:d8:34）。当客户端回复网关时，包的目标MAC是这个随机地址，但物理网卡收到包后，内核可能因为MAC不匹配而没有把包转发到桥接口，导致网关收不到回复。这也解释了为什么你手动指定桥的MAC为某块物理网卡的MAC时，对应客户端就能通信——因为此时回复包的目标MAC和物理网卡的MAC一致，能被正确转发到桥。

解决方案 #

1. 简化Netplan配置，直接桥接物理网卡 #

修改你的网关Netplan配置（/etc/netplan/00-gateway.yaml），去掉多余的bridge4/5/6定义，直接把物理网卡加到桥的interfaces列表里，同时为桥指定一个固定的MAC地址（任选一个桥接物理网卡的MAC即可）：

network:
  version: 2
  renderer: networkd
  ethernets:
    enp0s3:
      dhcp4: true
      dhcp6: false
      nameservers:
        search: [home.mylab.org]
        addresses: [192.168.1.1]
    enp0s8:
      dhcp4: false
      dhcp6: false
      addresses: [192.168.100.1/25]
      nameservers:
        search: [home.mylabtest.org]
        addresses: [192.168.100.1]
    # 显式禁用桥接物理网卡的DHCP，避免自动配置干扰
    enp0s9:
      dhcp4: false
      dhcp6: false
    enp0s10:
      dhcp4: false
      dhcp6: false
    enp0s16:
      dhcp4: false
      dhcp6: false
  bridges:
    br0:
      interfaces: [enp0s9, enp0s10, enp0s16]
      dhcp4: false
      dhcp6: false
      addresses: [192.168.100.129/26]
      nameservers:
        search: [home.mylabtest.org]
        addresses: [192.168.100.1]
      parameters:
        stp: false
        forward-delay: 30
      # 指定桥的MAC为其中一个物理网卡的MAC（比如enp0s9的）
      macaddress: 08:00:27:52:5a:65

2. 确保桥的MAC地址稳定（可选） #

如果不想手动指定MAC，也可以配置systemd-networkd让桥使用固定的MAC策略。创建/etc/systemd/network/00-bridge-mac.link文件：

[Match]
Type=bridge

[Link]
MACAddressPolicy=persistent

这个策略会生成一个基于机器ID和接口名称的固定MAC，不会随接口变化而改变。

3. 关闭反向路径过滤（RP Filter） #

反向路径过滤可能会因为源IP和接收接口不匹配而丢弃包，临时关闭相关接口的RP Filter：

echo 0 > /proc/sys/net/ipv4/conf/br0/rp_filter
echo 0 > /proc/sys/net/ipv4/conf/enp0s9/rp_filter
echo 0 > /proc/sys/net/ipv4/conf/enp0s10/rp_filter
echo 0 > /proc/sys/net/ipv4/conf/enp0s16/rp_filter

要永久生效，创建/etc/sysctl.d/99-disable-rp-filter.conf：

net.ipv4.conf.br0.rp_filter = 0
net.ipv4.conf.enp0s9.rp_filter = 0
net.ipv4.conf.enp0s10.rp_filter = 0
net.ipv4.conf.enp0s16.rp_filter = 0

然后执行sysctl --system生效。

4. 应用配置并重启网络 #

执行以下命令让配置生效：

netplan generate
netplan apply

验证步骤 #

1. 检查桥接口状态：brctl show，确认enp0s9/10/16都已被br0 enslaved。
2. 查看桥的MAC地址：ip a show br0，确认MAC是你指定的地址。
3. 测试连通性：从网关ping客户端（比如ping 192.168.100.130），应该能收到回复。
4. 再次用tcpdump验证：在网关的br0接口抓包，应该能看到客户端的ICMP回复。

备注：内容来源于stack exchange，提问作者Steve O