2026-04-24本文的图片均来自于张彦飞内功修炼博文为作者的学习笔记一 、Linux中的路由表路由表可以理解为一种网络命名空间级别的资源。每个net namespace都会有自己独立的一套网络栈资源包括IPv4/IPv6 协议栈相关状态路由表也就是 FIBForwarding Information Baseloopback 设备iptables/netfilter 规则/proc/sys/net/ipv4/*这类网络内核参数所以严格来说不是“一台 Linux 只有一套路由表”而是“每个网络命名空间都有一套路由相关资源”。Docker、Kubernetes、容器网络能够隔离网络视图靠的就是这种 namespace 级别的隔离。这张图表达的是进程通过nsproxy引用不同类型的命名空间其中网络命名空间对应内核里的struct net。默认网络命名空间里有自己的 IPv4 栈、loopback 设备、路由表、iptables 等资源通过CLONE_NEWNET创建新网络命名空间后新 namespace 也会拥有独立的这套资源。一个关键结论是路由表不是进程私有的而是进程所在的网络命名空间私有的。同一个网络命名空间里的多个进程看到的是同一套路由表不同网络命名空间里的进程看到的路由表可以完全不同。来看下路由表在源码中定义这张源码图展示了内核里的包含关系structnet{structnetns_ipv4ipv4;}structnetns_ipv4{structhlist_head*fib_table_hash;}也就是说struct net表示一个网络命名空间其中的netns_ipv4保存 IPv4 协议栈状态fib_table_hash指向这个 namespace 下的所有 IPv4 路由表。路由查找时内核会从当前包所属的struct net出发而不是全局找一张表。这张图说明 Linux 可以支持多张路由表。常见表编号如下255 local本地路由表记录本机地址、广播地址等特殊路由通常由内核自动维护。254 main主路由表大多数ip route add或发行版网络配置生成的普通路由都在这里。253 default默认策略路由表通常为空保留给策略路由后处理。0 unspec特殊编号不代表日常使用的一张普通表。如果开启CONFIG_IP_MULTIPLE_TABLES用户还可以在/etc/iproute2/rt_tables中增加自定义表名例如图里的200 eth0_tabl。但要注意“有多张表”不等于“都会自动查”。真正查哪张表还要看ip rule规则。这张图用传统route -n命令展示默认路由表。各字段含义如下Destination目的地址可以是具体主机 IP也可以是一个网段。Gateway下一跳网关。0.0.0.0表示直连不需要交给下一跳路由器。Genmask子网掩码和Destination一起描述匹配范围。FlagsU表示该路由可用G表示需要经过网关。Iface出接口也就是最终从哪块网卡发出去。现代 Linux 更常用ip route查看主路由表例如iprouteiproute show table mainiproute show tablelocal排查“某个目的 IP 到底会怎么走”时ip route get比单纯看表更直观iproute get192.168.2.25它会把内核实际选出的下一跳、出接口、源地址等信息展示出来。这张图展示了几类常见路由修改方式主机路由只匹配一个具体 IP例如192.168.0.100/32。网络路由匹配一个网段例如192.168.1.0/24。默认路由兜底规则目的地址没有匹配到更精确路由时使用。路由匹配的核心规则是最长前缀匹配。比如同时存在192.168.1.0/24和0.0.0.0/0访问192.168.1.20会优先命中/24而不是默认路由。默认路由只是最后兜底不是优先级最高。二、网络收发过程与路由表发送时这张图说明本机主动发送数据时路由发生在网络层。大致路径是用户态 send/write - 传输层 tcp_write_xmit() - 网络层 ip_queue_xmit() - 路由选择 - __ip_local_out() - ip_output() - 设备层/网卡驱动发送方向查路由的目的不是判断“是不是本机包”而是决定该从哪块网卡发出下一跳 IP 是谁源 IP 该选哪个这条路径的 MTU、TTL、输出函数等dst信息是什么图中还把 netfilter 的两个发送方向钩子标了出来OUTPUT本机产生的包在路由选择之后、真正输出之前经过。POSTROUTING即将离开协议栈前经过SNAT/MASQUERADE 常发生在这里。核心源码这张源码图的重点是ip_queue_xmit()。它会先检查 socket 上有没有缓存好的路由也就是__sk_dst_check()。如果没有缓存才调用ip_route_output_ports(...)查到路由后会通过sk_setup_caps()把路由结果缓存到 socket 上并通过skb_dst_set_noref()把dst信息挂到当前skb上。这样后续dst_output()才知道该调用哪个输出函数、从哪个设备走。这里有一个容易忽略的点发送路径不是每个包都完整查一次路由。对于已经建立的 TCP 连接路由结果可以缓存在 socket 上后续发送可以复用直到缓存失效。接收过程这张图说明接收方向也需要路由。大致路径是网卡收到包 - 设备层 - ip_rcv() - PREROUTING - 路由选择 - ip_local_deliver() - INPUT - tcp_v4_rcv() - socket 接收缓冲区接收方向查路由的核心目的是判断这个包下一步该怎么处理如果目的地址属于本机走ip_local_deliver()交给上层协议。如果目的地址不属于本机但允许转发走ip_forward()。如果既不是本机包也不允许转发或者查不到合适路由就丢弃。这里的PREROUTING是路由前钩子所以 DNAT 常放在这里。原因是目的地址改完之后再进行路由判断内核才能把包转到新的目的地。这张源码图展示了接收方向的关键入口。ip_rcv_finish()中如果发现skb上还没有dst就会调用ip_route_input_noref(...)进一步走到慢路径ip_route_input_slow(...)接收方向的路由输入参数包括目的地址daddr、源地址saddr、TOS、入接口dev等。内核不仅看目的 IP也会结合入接口、反向路径检查、是否本地地址、是否广播/组播等条件判断。如果不是本机的包这张图展示转发路径。它不是本机应用程序收包也不是本机应用程序发包而是 Linux 像路由器一样把包从一个接口转到另一个接口。大致路径是ip_rcv() - PREROUTING - 路由判断目的地址不是本机 - ip_forward() - FORWARD - ip_output() - POSTROUTING - 设备层/网卡驱动转发不是默认开启的。IPv4 转发需要打开sysctl-wnet.ipv4.ip_forward1如果ip_forward0即使路由表中知道下一跳Linux 默认也不会帮别人的包做三层转发。所以为什么需要路由发送过程需要判断用哪个网卡发送、下一跳是谁、源地址选哪个。接收过程需要判断是否是发送给本机的包。转发过程需要判断不是本机的包应该转发到哪里或者应该丢弃。三、路由查找的内核实现首先明确发送过程调用ip_route_output_ports来查找路由。接收过程调用ip_route_input_slow来查找路由。两个方向最终都会进入 FIB 查询逻辑核心是fib_lookup。没有开启多路由表的方式若开启又是另外一种方式这张源码图展示的是未开启CONFIG_IP_MULTIPLE_TABLES时的简化逻辑fib_lookup() - 查 RT_TABLE_LOCAL - 命中则返回 - 查 RT_TABLE_MAIN - 命中则返回 - 返回 ENETUNREACH也就是说先查local表再查main表。命中后立即返回不会继续往下查。local表优先级高于main表。这也是为什么访问本机 IP 往往不会真的从物理网卡出去而是走lo。因为本机地址会被内核自动放进local表类型是local优先于main表里的普通路由。如果开启了策略路由也就是CONFIG_IP_MULTIPLE_TABLES逻辑会交给 RPDBRouting Policy Database。此时ip rule决定先查哪张表。默认规则通常是0: from all lookup local 32766: from all lookup main 32767: from all lookup default这套默认规则和前面“先 local 后 main”的效果一致。区别是开启策略路由后可以增加规则例如按源 IP、fwmark、入接口等条件选择不同路由表。收发缩略图这张图把接收、本机发送、转发三条路径放在一起路径 1 和 2接收给本机的包经过ip_rcv()、路由选择、ip_local_deliver()最后进入 socket 接收缓冲区。路径 3不是本机的包如果允许转发则进入ip_forward()。路径 4 和 5本机发包传输层调用网络层先路由选择再从设备层发出。图中间的“路由核心”可以理解为 FIB 查询结果。查询结果会变成dst_entry/rtable挂到skb上也可能缓存到 socket 上。后续dst_input()或dst_output()会根据这个dst中的函数指针决定下一步调用ip_local_deliver、ip_forward还是ip_output。补充一个关键边界路由表只决定三层路径例如下一跳和出接口。真正把 IP 下一跳变成 MAC 地址是 ARP/邻居子系统负责的。发送路径后面还会经过ip_finish_output2() - 查找或创建 neighbour - 必要时触发 ARP - 封装二层头 - dev_queue_xmit()所以“查到路由”并不等于“已经知道目的 MAC”。路由解决去哪儿邻居子系统解决二层怎么送。物理网络时代和容器网络时代再来额外理解一个概念这张图是传统物理网络视角。两组不同网段的机器例如192.168.0.0/24和192.168.1.0/24通常通过交换机和路由器互通。单台 Linux 服务器更多是终端角色它只需要把包交给默认网关不需要自己充当别的主机之间的路由器。注意这里可以更准确地说同网段互通主要依赖二层交换和 ARP。跨网段互通依赖三层路由器或三层交换设备。普通物理服务器通常只配置本机路由和默认网关不负责大量转发别人的包。但是容器云时代之后这张图展示了容器/overlay 网络下的问题。容器拥有自己的 IP例如左侧宿主机上有192.168.0.2/24、192.168.0.3/24右侧宿主机上有192.168.1.2/24、192.168.1.3/24。这些 IP 不一定在物理网络中真实可达物理网络只认识宿主机网卡 IP例如10.162.0.100、10.162.0.101。因此宿主机的 Linux 网络命名空间开始承担更重要的转发角色。常见 Docker bridge 链路是容器 eth0 - veth pair - 宿主机 bridge如 docker0/br0 - 宿主机路由判断 - eth0 物理网卡容器访问外网时常见做法是在宿主机上做 SNAT/MASQUERADEPOSTROUTING - MASQUERADE/SNAT也就是把容器私有源地址改成宿主机地址外部网络才知道如何回包。外部访问容器服务时常见做法是 DNATPREROUTING - DNAT也就是外部请求先到宿主机 IP 和端口再被改写到容器 IP 和端口。overlay 网络表面上像是“跨宿主机容器处于同一张虚拟网络”但底层仍然离不开路由和转发。它通常会把容器包封装进宿主机之间可达的物理网络包里例如 VXLAN 这类隧道。外层包靠宿主机物理网络路由内层包靠容器网络的转发表或路由逻辑。所以一切的原因就是需要建立容器的互通。而容器互通的本质是让宿主机网络栈、路由表、iptables、bridge、veth、隧道等组件协同工作。四、易混点总结1. 路由表和 ARP 不是一回事路由表回答的是目的 IP 应该往哪里走从哪个接口出去下一跳 IP 是谁ARP/邻居子系统回答的是下一跳 IP 对应的 MAC 地址是什么二层头应该怎么封装所以发包路径通常是先查路由再查邻居。2. iptables/netfilter 不是路由表iptables 是基于 netfilter 钩子的规则系统。它不负责“最长前缀匹配”这种路由选择但它可以在路由前后影响包PREROUTING路由前DNAT 常在这里改变目的地址。INPUT确定是本机接收后进入。FORWARD确定是转发包后进入。OUTPUT本机发出的包会经过。POSTROUTING发出前最后阶段SNAT/MASQUERADE 常在这里发生。因此 iptables 可以改变路由判断的输入也可以在路由判断后决定是否放行但它本身不是路由表。3. tcpdump 和 netfilter 的先后顺序要分方向看接收方向上tcpdump 的抓包点在网络设备层通常早于 IP 层的PREROUTING。因此即使包后面被 netfilter 丢弃tcpdump 仍然可能抓到。发送方向上包先经过协议栈和 netfilter再到网络设备层的抓包点。如果包在OUTPUT或POSTROUTING被丢弃tcpdump 可能抓不到它。这也是排查防火墙问题时很容易误判的地方抓不到包不一定代表应用没发也可能是还没到抓包点就被规则处理掉了。4. local 表通常不是手工维护的主战场local表记录本机地址、广播地址等特殊路由通常由内核随着地址配置自动维护。日常添加普通路由大多数情况下改的是main表。查看时可以用iproute show tablelocaliproute show table mainiprule show如果看到访问本机 IP 走lo不要觉得奇怪这是local表优先匹配的正常结果。五、扩展阅读《深入理解 Linux 网络》来今天飞哥带你理解 iptables 原理图解 Linux 网络包接收过程25 张图一万字拆解 Linux 网络包发送过程用户态 tcpdump 如何实现抓到内核网络包的?参考交叉阅读25 张图一万字拆解 Linux 网络包发送过程腾讯云镜像图解 Linux 网络包接收过程IT之家镜像来今天飞哥带你理解 iptables 原理腾讯云镜像用户态 tcpdump 如何实现抓到内核网络包的腾讯云镜像ip-route(8) Linux manual pageip-rule(8) Linux manual pageLinux IP sysctl 文档