多网卡环境下，如何确保 FORWARD 链正确处理跨网段流量？——从内核路由决策到云原生网关的全链路保障
作者：九师兄
凌晨两点，告警系统拉响红色警报：
“跨可用区（AZ）部署的 Flink JobManager 无法连接 Kafka Broker！两台机器分别位于 eth0（10.10.0.0/24）和 eth1（192.168.10.0/24），但宿主机能互相 ping 通，telnet 也成功。”
你迅速登录 JobManager 所在节点，执行 tcpdump -i any host <kafka_ip>，发现 SYN 包发出后无响应。 进一步检查 iptables -t filter -L FORWARD，看到一条看似万能的规则：
ACCEPT all — anywhere anywhere
“规则放行所有流量，为何不通？” —— 这正是多网卡场景下最典型的 路径误判陷阱。
问题根源不在于规则本身，而在于 Linux 内核的路由决策、反向路径过滤（RPF）、以及 FORWARD 链的接口匹配逻辑 在多网卡环境下的复杂交互。
本文将带你深入 Linux 网络栈底层
