最初发布在Unix和Linux上，但没有人能够回答，因此在这里迁移问题：
我的问题是关于具有2个WAN和带有负载平衡的LAN（NAT）端口的CentOS 5上基于源的策略路由，但是首先要进行一些说明，然后再开始描述问题。
我知道这个话题已经在堆栈交换中多次出现，并且似乎排名前5位的答案是（从最大到最小）。
- 禁用rp_filter
- 基于标记/连接标记的策略路由
- 基于IP的策略路由（添加更多IP）
- 安装pfSense，Shorewall，Ubuntu ?、等等...
- 购买昂贵的Cisco / 3com / Juniper / Etc ...路由器
在大多数情况下，某些答案是正确的，但对我来说，解决方案1和2没做运动（我不放弃至少第2点，因为我的设置可能有问题），第3点基本上是隔离问题而不是解决它（这也增加了路由表的复杂性），解决方案4和5超出了范围，因为我没有资源来购买专用硬件，也无法脱机服务器，因为它已经投入生产，因此可以总结一下更换CentOS服务器出现了“更好”的情况。
好了，现在回到问题所在，让我们先描述一下当前的设置...
接口：
eth1: IP: 10.0.0.1, GW: 10.0.0.1, NM: 255.255.255.0 (LAN)
eth0: IP: 10.0.1.1, GW: 10.0.1.254, NM: 255.255.255.0 (ISP1 - ADSL Router)
eth2: IP: 10.0.2.1, GW: 10.0.2.254, NM: 255.255.255.0 (ISP2 - ADSL Router)
/etc/sysctl.conf：
# Controls IP packet forwarding
net.ipv4.ip_forward = 1
# Controls source route verification
net.ipv4.conf.default.rp_filter = 0
# Do not accept source routing
net.ipv4.conf.default.accept_source_route = 0
# Controls the use of TCP syncookies
net.ipv4.tcp_syncookies = 1
# Ignoring broadcasts request
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.icmp_ignore_bogus_error_messages = 1
的/ etc / iproute2的/ rt_tables：
#
# reserved values
#
255 local
254 main
253 default
0 unspec
#
# local
#
#1 inr.ruhep
2 ISP1
3 ISP2
/ etc / sysconfig / network-scripts / route-eth0：
10.0.1.0/24 dev eth0 src 10.0.1.1 table ISP1
default via 10.0.1.254 dev eth0 table ISP1
/ etc / sysconfig / network-scripts / route-eth2：
10.0.2.0/24 dev eth2 src 10.0.2.1 table ISP2
default via 10.0.2.254 dev eth2 table ISP2
/ etc / sysconfig / network-scripts / rule-eth0：
fwmark 2 table ISP1
from 10.0.1.1 table ISP1
/ etc / sysconfig / network-scripts / rule-eth2：
fwmark 3 table ISP2
from 10.0.2.1 table ISP2
/ etc / sysconfig / iptables：
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
# Basic Rules
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth2 -m state --state RELATED,ESTABLISHED -j ACCEPT
# SSH
-A INPUT -i eth0 -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -i eth2 -m tcp -p tcp --dport 22 -j ACCEPT
# OpenVPN
-A INPUT -i eth0 -m udp -p udp --dport 1194 -j ACCEPT
-A INPUT -i eth2 -m udp -p udp --dport 1194 -j ACCEPT
# Allow everything from LAN
-A INPUT -i eth1 -j ACCEPT
# Allow everything from the VPN
-A INPUT -i tun0 -j ACCEPT
# Default Drop on everything else
-A INPUT -j DROP
# Allow forwarding from LAN and VPN
-A FORWARD -i eth1 -j ACCEPT
-A FORWARD -i tun0 -j ACCEPT
# Allow all outbound traffic
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth1 -j ACCEPT
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
# DNAT to Developer Box (SSH Server)
-A PREROUTING -i eth0 -p tcp -m tcp --dport 2222 -j DNAT --to-destination 10.0.0.200:2222
-A PREROUTING -i eth2 -p tcp -m tcp --dport 2222 -j DNAT --to-destination 10.0.0.200:2222
# SNAT
-A POSTROUTING -o eth0 -j SNAT --to-source 10.0.1.1
-A POSTROUTING -o eth2 -j SNAT --to-source 10.0.2.1
COMMIT
*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
# Mark Based Routing? (based on NerdBoys site)
-A PREROUTING -j CONNMARK --restore-mark
-A PREROUTING --match mark --mark 2 -j ACCEPT
-A PREROUTING -i eth0 -j MARK --set-mark 2
-A PREROUTING --match mark --mark 3 -j ACCEPT
-A PREROUTING -i eth2 -j MARK --set-mark 3
-A PREROUTING -j CONNMARK --save-mark
COMMIT
使用gwping bash脚本可以实现负载平衡，该脚本基本上监视2个WAN（eth0和eth2）并像这样在服务器中设置默认路由和权重（在负载平衡或2个wan正常运行时）：
ip route replace default scope global nexthop via 10.0.1.1 dev eth0 weight 1 nexthop via 10.0.2.1 dev eth1 weight 1
我的问题是，即使使用这种设置，很多人似乎都同意这是正确的设置，即使从包访问数据包，仍然存在从外部访问网络内部服务的问题（特别是ssh开发人员盒和OpenVPN）被“标记”并据此进行路由的话，开发人员的回答总是指向错误的路径。我不知道是不是在漏斗区或nat区中遗漏了某些东西，还是根本误解了基于源的路由，无论如何，如果有人知道如何进行相应的工作，将不胜感激。
我的设置来源是：
lartc.org/lartc.html#LARTC.RPDB.MULTIPLE-LINKS
fatalsite.net/?p=90
nerdboys.com/2006/05/05/conning-the-mark-multiwan-connections-using-iptables-mark-connmark-and-iproute2/
policyrouting.org/PolicyRoutingBook/ONLINE/CH08.web.html
unix.stackexchange.com/questions/58635/iptables-set-mark-route-diferent-ports-through-different-interfaces
unix.stackexchange.com/questions/22770/two-interfaces-two-addresses-two-gateways
bulma.net/body.phtml?nIdNoticia=2145
最亲切的问候
PS1：我发现一个网站，其说法是路由表中的标记应与iptables标记相差+ 1（kim.attr.ee/2010/08/source-based-policy-routing-on-centos.html）这是真的？或这个网站是不正确的。
更新15/08/2013 22:15
经过更多的研究和调试后，我发现一个网站，上面说我忘记在路由后表中添加SNAT部分，因此我将此规则添加到iptables配置中：
-A POSTROUTING --match mark --mark 2 -j SNAT --to-source 10.0.1.1
-A POSTROUTING --match mark --mark 3 -j SNAT --to-source 10.0.2.1
但是我仍然无法从网络外部连接到devbox。从好的方面来说，iptables -t nat -nvL POSTROUTING会提示基于connmark的策略路由的工作方式，因此它可能与ISP1和ISP2路由器边缘有关：
Chain POSTROUTING (policy ACCEPT 520 packets, 56738 bytes)
pkts bytes target prot opt in out source destination
0 0 SNAT all -- * * 0.0.0.0/0 0.0.0.0/0 MARK match 0x2 to:10.0.1.1
6 312 SNAT all -- * * 0.0.0.0/0 0.0.0.0/0 MARK match 0x3 to:10.0.2.1
903 70490 SNAT all -- * eth0 0.0.0.0/0 0.0.0.0/0 to:10.0.1.1
931 78070 SNAT all -- * eth2 0.0.0.0/0 0.0.0.0/0 to:10.0.2.1
另外，我还从设置中添加了更多信息，因为有人开始用尽想法，所以请有人丢下我的救命笔...>。<
ip路由显示：
10.8.0.2 dev tun0 proto kernel scope link src 10.8.0.1
10.0.2.0/24 dev eth2 proto kernel scope link src 10.0.2.1
10.0.0.0/24 dev eth1 proto kernel scope link src 10.0.0.1
10.8.0.0/24 via 10.8.0.2 dev tun0
10.0.1.0/24 dev eth0 proto kernel scope link src 10.0.1.1
169.254.0.0/16 dev eth2 scope link
default
nexthop via 10.0.1.254 dev eth0 weight 1
nexthop via 10.0.2.254 dev eth2 weight 1
ip规则显示：
0: from all lookup 255
1024: from all fwmark 0x2 lookup ISP1
1025: from all fwmark 0x3 lookup ISP2
2024: from 10.0.1.1 lookup ISP1
2025: from 10.0.2.1 lookup ISP2
32766: from all lookup main
32767: from all lookup default
新来源：
sarcasmasaservice.com/2013/04/linux-routing-capabilities-my-abuse-thereof/
最亲切的问候