概述

有朋友私信问了iptables和ip route都有路由转发的功能，这中间有什么区别呢？所以后来花了几天时间整理的这方面内容，仅供参考。

路由策略 （使用 ip rule 命令操作路由策略数据库）

1、ip rule 命令：

Usage: ip rule [ list | add | del ] SELECTOR ACTION （add 添加；del 删除； llist 列表）SELECTOR := [ from PREFIX 数据包源地址] [ to PREFIX 数据包目的地址] [ tos TOS 服务类型][ dev STRING 物理接口] [ pref NUMBER ] [fwmark MARK iptables 标签]ACTION := [ table TABLE_ID 指定所使用的路由表] [ nat ADDRESS 网络地址转换][ prohibit 丢弃该表| reject 拒绝该包| unreachable 丢弃该包][ flowid CLASSID ]TABLE_ID := [ local | main | default | new | NUMBER ]

2、作用

基于策略的路由比传统路由在功能上更强大，使用更灵活，它使网络管理员不仅能够根据目的地址而且能够根据报文大小、应用或IP源地址等属性来选择转发路径。

linux 高级路由即基于策略的路由，比传统路由在功能上更强大，使用也更灵活，它不仅能够像传统路由一样，根据目的地址来转发数据，而且也能够根据报文大小、应用，协议或ip源地址来选择路由转发路径。

3、规则

在 Linux 系统启动时，内核会为路由策略数据库配置三条缺省的规则：

0 匹配任何条件 查询路由表local(ID 255) 路由表local是一个特殊的路由表，包含对于本地和广播地址的高优先级控制路由。rule 0非常特殊，不能被删除或者覆盖。32766 匹配任何条件 查询路由表main(ID 254) 路由表main(ID 254)是一个通常的表，包含所有的无策略路由。系统管理员可以删除或者使用另外的规则覆盖这条规则。32767 匹配任何条件 查询路由表default(ID 253) 路由表default(ID 253)是一个空表，它是为一些后续处理保留的。对于前面的缺省策略没有匹配到的数据包，系统使用这个策略进行处理。这个规则也可以删除。

PS：路由表和策略区别：

规则指向路由表，多个规则可以引用一个路由表，而且某些路由表可以没有策略指向它。如果系统管理员删除了指向某个路由表的所有规则，这个表就没有用了，但是仍然存在，直到里面的所有路由都被删除，它才会消失。

路由表 （使用 ip route 命令操作静态路由表）

1、概念

所谓路由表，指的是路由器或者其他互联网网络设备上存储的表，该表中存有到达特定网络终端的路径，在某些情况下，还有一些与这些路径相关的度量。路由器的主要工作就是为经过路由器的每个数据包寻找一条最佳的传输路径，并将该数据有效地传送到目的站点。由此可见，选择最佳路径的策略即路由算法是路由器的关键所在。为了完成这项工作，在路由器中保存着各种传输路径的相关数据——路由表（Routing Table），供路由选择时使用，表中包含的信息决定了数据转发的策略。打个比方，路由表就像我们平时使用的地图一样，标识着各种路线，路由表中保存着子网的标志信息、网上路由器的个数和下一个路由器的名字等内容。路由表根据其建立的方法，可以分为动态路由表和静态路由表。

2、路由表分类

linux 系统中，可以自定义从 1－252个路由表，其中，linux系统维护了4个路由表：

0#表： 系统保留表253#表： defulte table 没特别指定的默认路由都放在改表254#表： main table 没指明路由表的所有路由放在该表255#表： locale table 保存本地接口地址，广播地址、NAT地址 由系统维护，用户不得更改

3、常用命令

路由表的查看可有以下二种方法：

ip route list table table_numberip route list table table_name

路由表序号和表名的对应关系在 /etc/iproute2/rt_tables 文件中，可手动编辑。路由表添加完毕即时生效，下面为实例：

ip route add default via 192.168.1.1 table 1 在一号表中添加默认路由为192.168.1.1ip route add 192.168.0.0/24 via 192.168.1.2 table 1 在一号表中添加一条到192.168.0.0网段的路由为192.168.1.2使用 ip route , ip rule , iptables 配置策略路由

需求：公司内网要求192.168.0.100以内的使用 10.0.0.1 网关上网（电信），其他IP使用 20.0.0.1 （网通）上网。

实现：

1、首先要在网关服务器上添加一个默认路由，当然这个指向是绝大多数的IP的出口网关。

ip route add default gw 20.0.0.1

2、通过 ip route 添加一个路由表

ip route add table 3 via 10.0.0.1 dev ethX (ethx是10.0.0.1所在的网卡,3 是路由表的编号)

3、添加 ip rule 规则

ip rule add fwmark 3 table 3 （fwmark 3是标记，table 3 是路由表3 上边。 意思就是凡事标记了 3 的数据使用table3 路由表）

4、使用iptables给相应的数据打上标记

iptables -A PREROUTING -t mangle -i eth0 -s 192.168.0.1 -192.168.0.100 -j MARK --set-mark 3

因为mangle的处理是优先于 nat 和fiter表的，所以相依数据包到达之后先打上标记，之后在通过ip rule规则，对应的数据包使用相应的路由表进行路由，最后读取路由表信息，将数据包送出网关。

这里可以看出 Netfilter 处理网络包的先后顺序：接收网络包，先 DNAT，然后查路由策略，查路由策略指定的路由表做路由，然后 SNAT，再发出网络包。

关于ip rule，ip route，iptables 三者之间的关系就简单介绍到这了，想学习网络的可以深入研究下。后面会分享更多devops和DBA方面的内容，感兴趣的朋友可以关注下。