Linux策略路由（Policy-Based Routing, PBR）的全面解析

一、引言

策略路由突破了传统基于目标地址的路由限制，通过多维度决策（源地址、协议类型、QoS标记等）实现灵活流量控制。典型应用场景包括：
多运营商出口负载均衡

服务链（Service Chaining）

网络功能虚拟化（NFV）流量引导

二、技术背景
与传统路由对比

特性 传统路由 策略路由

决策依据 目标地址 多字段组合（DSCP/源端口/协议等）
路由表结构 单一路由表 多路由表（最多255个）
优先级 最长前缀匹配 规则优先级+匹配条件

内核实现架构

graph LR
A[Netfilter Hook] --> B{策略规则匹配}
–>匹配
C[指定路由表]

–>未匹配
D[主路由表]

–> E[路由查找]

三、核心特性与算法原理
处理流程图

graph TD
A[数据包进入] --> B{规则集遍历}
–> C[优先级最高的匹配规则]

–> D[关联路由表查询]

–> E[执行路由动作]

subgraph 决策逻辑

–> F[匹配条件: 源IP/ToS/接口等]

end

核心算法伪代码

def policy_route(packet):
for rule in sorted(rules, key=lambda x: x.priority):
if match(rule, packet):
route_table = rule.route_table
return lookup(route_table, packet.dst)
return main_table_lookup(packet.dst)

四、环境准备
内核要求

验证内核支持

grep IP_MULTIPLE_TABLES /boot/config-$(uname -r)
预期输出：CONFIG_IP_MULTIPLE_TABLES=y

工具安装

sudo apt install iproute2 tc

网络命名空间准备

创建测试环境

ip netns add pbr_test
ip link add veth0 type veth peer name veth1
ip link set veth1 netns pbr_test

五、多场景实现

场景1：多WAN出口负载均衡

创建自定义路由表

echo “200 wan1” >> /etc/iproute2/rt_tables
echo “201 wan2” >> /etc/iproute2/rt_tables

添加策略规则

ip rule add from 192.168.1.100 table wan1
ip rule add from 192.168.1.101 table wan2

配置路由表

ip route add default via 1.1.1.1 dev eth0 table wan1
ip route add default via 2.2.2.2 dev eth1 table wan2

场景2：Kubernetes服务链

Calico NetworkPolicy 实现

apiVersion: crd.projectcalico.orgv1
kind: NetworkPolicy
metadata:
name: pbr-service-chain
spec:
selector: app == ‘middleware’
types:
Ingress

ingress:
action: “NextTier”

source:
  selector: app == 'frontend'
destination:
  selector: app == 'backend'

场景3：QoS流量分级

标记流量

tc filter add dev eth0 protocol ip parent 1:0 prio 1 u32
match ip src 10.0.0.0/24 flowid 1:10

基于标记的路由

ip rule add fwmark 10 table qos_high
ip route add default via 10.0.1.1 dev tun0 table qos_high

六、实际测试案例
测试拓扑

[Client] --(不同源IP)–> [PBR网关] --> {ISP1, ISP2}

验证脚本

import subprocess

def test_pbr(src_ip):
cmd = f"ip route get 8.8.8.8 from {src_ip}"
result = subprocess.check_output(cmd, shell=True).decode()
print(f"Route for {src_ip}: {result.split(‘dev’)[1].split()[0]}")

test_pbr(“192.168.1.100”) # 应输出eth0
test_pbr(“192.168.1.101”) # 应输出eth1

结果分析

查看规则命中统计

ip -s rule list
输出示例：

32765: from 192.168.1.100 lookup wan1 [成功 1523次]

32766: from 192.168.1.101 lookup wan2 [成功 874次]

七、疑难解答

常见问题排查矩阵
现象 诊断命令 解决方案

规则未生效 ip rule show 检查优先级冲突
路由表缺失 ip route show table X 确认路由表初始化
流量标记丢失 tc -s filter show 检查tc过滤器顺序

八、未来展望

技术趋势
eBPF增强：动态加载策略规则

  SEC("classifier")

int pbr_ebpf(struct __sk_buff *skb) {
// 基于XDP实现高速策略路由

AI驱动：实时流量模式分析与策略优化

现存挑战
大规模规则集下的性能衰减

容器网络与主机策略的协同管理

九、总结

策略路由的核心价值：
网络可编程性：实现流量工程精细化控制

架构解耦：分离路由决策与数据转发平面

服务融合：支持SDN/NFV新型架构

生产环境建议：
关键业务：主备策略+健康检查

云环境：结合CNI插件实现命名空间隔离

运营商网络：BGP+策略路由实现智能选路

通过上述技术方案，策略路由可有效解决复杂网络环境中的流量调度问题。实际部署时建议结合conntrack模块实现有状态策略，并通过Prometheus等工具监控规则命中率。对于超大规模部署，可考虑使用FRRouting等专业路由套件进行扩展。