原文作者：Matthew G.. Marsh.
原文出处：
http://www.sysadminmag.com/linux/articles/v09/i01/a3.htm.编 译：ideal
http://upload.bbs.csuboy.com/Mon_1004/126_7057_4a43801efcb5315.gif[/img].
目前在计算机网络中使用的传统路由算法都是根据IP包目的地址进行路由.选择.然而在现实应用中经常有这样的需.求：进行路由选择时.不仅仅根据数据报的目的地址，而且根据数据报的其他一些特性如：源地址、IP协议、传输层端口，甚至是数据包的负载部分内容，这种类型的.路由选择被称作基于策略的路由。 美容
在Linux中，从2.1版本的内核开始就实现了对基于策略的路由的支持，它是通过使用路由.策略数据库(RPDB，routing. policy database)替代传统的、基于目的地址的路由表来实现的。RPDB通过包含.的一些规则来选定合适的IP路由。这些规则可能会包含很多各种不同.类型的健值(key)，因此这些规则没有默认的特定次序，规则查找.次序或规则优先级都是由网络或系统管理员设定的。--------------彩票
Linux的RPDB是一个由数字优先级值进行排序的线性规则列表。RPDB能匹配数据报源地址、目的地址、.TOS、进入接和fwmark值等。每个路由策略规则由一个选择器和一个动.作指示组成。RPDB按照优先级.递增的顺序被扫描，RPDB包含的每条规则的选择器被应用.于数据报的源地址、目的地址、进入接口、TOS和fwmark值。若数据报匹配该规则对应于该规则的动作被执行。若动作成功返回，.则规则输出将是一.个有效的路由或是路由查找失败指示；否则查找RPDB的下一条规则。.
当选择器和一个数据报匹配成功，会执行哪些动作呢？路由软件.的标准动作一.般是选择下一跳地址和输出接口,可以称这种动作为“匹配&设置”类型动作。然而Linux采取了更加灵活的方法，在Linux中有多种动作可供选择。默认的动作是查询特定的基于目的地址的路由表.。因此“匹配&设置”动作就成为Linux路由选择的最简单情.况。Linux支持多个路由表，每个路由表都包含多条路由.信息。也就是Linux的每个路由表都相当于其他操作系统的系统路由表。Linux支持多达255个路由表。(Linux 2.2.12 支持255个路由表，255个.汇.聚域和232个策略规则优先级 (4294967296 decimal) 。--- 印刷
对.于Linux2.1/2.2，启动时内核将包含一个由三条策略规则组成的默认的RPDB，察看这些默认规则的一.个方法是使用命令来列出系统的所有规则： 汽车
. root@netmonster. ip rule list--- 印刷
0.: from all lookup. local.
.32766: from all lookup mai.n.
.32767: from all lookup de.fault 电子
下面.的默认规则在对于理解启动复杂路由系统是非.常重要的。( 游戏 )
首先是最高级别的优先级规则，规则策略0：. .
规则0: .优先级 0 . 选择器 = 匹配任何数据报 服务器
动作＝察.看本地路由表(routing table l.ocal)，ID为255。 杀毒
loc.al表是保留路由表，包含了到本地和广播地址的路由。规则0是特殊的规则.，不可被删除或修改。 --------------彩票
.规则 32766: 优先级 32766 . 选择器 = 匹配所有数据报 ( 游戏 )
动作 = 察看主路由表(.routing table m.ain)， ID为254。 教育
main路由表是默认的标准路由表，其包含所有非策略路由，main表是存放旧.的路由命令(route命令).创建的路由。而且任何由ip route命令创建的没有明确指定路由表的路由都被加入到该路由表中。该规则不能被删.除和被其他规则覆盖。 鲜花
规则 32767: 优先级 32767 选择器 .= 匹配所有.数据报 .
动作 = 察看.默认路由表(routing t.able default)，ID为253。 服务器
default路由表.是空的，为最后处理(po.st-processin.g)所预留，若前面的默认规则没有选择该数据报时保留用作最后的处理。该规则可以被删除。 .
不.要将路.由表和规则混淆，规则是指向路由表的。也许会出现多个规则指向同一个路由表，而有些路由表可能并不被任何规则指向。如果删除了指向某个路由表.的所有规则，则该表将不发生作用，但是表将仍然存在。一个路由表只有在其中包含的所有路由信息被删除才会消失。 .
前面提到，Linux策略规对应的动作除了指向一个路由表以外还能是若干种不同的.动作。当创建一个策略规则，有如下类型的动作可以.选择： .
u.nicast -- 在该规则指向的路由表中进行.标准的路由查找。当一个路由表被指定，这是默认的动作。 .
bl.ackhole -- 规则动作将仅仅直接丢弃该数据报。. [成人用品]
un.reachable -- 规则动作产生一条网络不可达错误信息，一个类型为3，代码为0.的ICMP消息被返回给发送者。.
prohibit -- 规则动作产生一个通信被禁止的错误消息，一个类型为3，代码为13的I.CMP消息被返回给发送者.。.
其他类型的动作也可以被使用，但是都和策略路由没有关系。它们被用来在内核中实现其他高级流控制和数据报操作。因为只有一.个工具命令：ip，所有的这些类型都是可运用于该命令，但我们仅仅使用和上面有关的.部分，可以是返回一条路由或其他若干.个动作。 <性病>
在解释示例以前，首先看看ip工具命令的语法。ip命令可以用在很多地方，这里仅仅讨论和策.略路由相关的部分。都是由root.在命令行直接运行的。[成人用品]
首先，看ip addr.命令语法：教育
root@netmonst.er# ip ad.dr help.
Usage: ip. addr {add|del} IFADDR dev ST.RING.
. ip. addr {show|flush} [ dev STRING ] [ scope SCOPE-ID ].
. . [ to PREFIX ] [ FLAG-LIST ] [ label PATTERN ].
IFADDR := PREFIX | .ADDR pe.er PREFIX.
[ broad.cas.t ADDR ] [ anycast ADDR ]外贸
. [ label STRING ] [ scope SCOPE-ID ]. 鲜花
SCOPE-ID := [ host | link | global | NU..MBER ]虚拟主机
FLAG-LIST := [ FLA..G-LIST ] FLAG健康
FLAG := [ permanent | dynami.c | secondary .| primary |(广告)
. t.entative | deprecated ]教育
Example - i.p addr a.dd 192.168.1.1/24 dev eth0(广告)
该命令将添加IP地址1.92.168.2.2/.24到eth0网卡上. 教育
下面看看ip route命令：. 电脑
root@.netmonster# ip .route help 电子
Usage: ip route { list | flush .} SELECTOR ..
ip route get ADDRES.S [ from ADDRESS iif STRI.NG ] 教育
[ oif STRING ]. [. tos TOS ] .
ip route { add. | del | replace. | change | append | replace | 杀毒
. monitor} ROUTE <性病>
SELECTOR. := [ root PREFIX. ] [ match PREFIX ] [ exact PREFIX ] 健康
[ table TABL.E_.ID ] [ proto RTPROTO ] 域名
[ type .TYPE ] [ scope SCOPE ] .健康
ROUTE := NODE_SPE..C [ INFO_SPEC ] --- 印刷
NO.DE_SPEC := [ TYPE ] PREFIX [. tos TOS ] .
. [ table TABLE_ID ] [ proto .RTPROTO ] 女人
[ scope S.COPE. ] [ metric METRIC ] --------------彩票
INFO_S.PEC := NH O.PTIONS FLAGS [ nexthop NH ]... .
. NH := [ via ADDRESS ] [ dev STRING ]. [ weight NUMBER ] NHFLAGS .
OPTIONS := FLAGS. [ mtu NUMBER ] [ advmss NUMBER .] 建材
[ .rtt NUMBER ] [ rttva.r NUMBER ] <性病>
[ win.dow NUMBER] [ cwnd NUMBER ] .[ ssthresh REALM ] 汽车
[ realms REALM ] .( 游戏 )
TYPE := [ u.nicast | local .| broadcast | multicast | throw | 电影
unreachable | p.rohibit | blackhole. | nat ] 外贸
TABLE_ID := [ local | main | default | all. |. NUMBER ] 乙肝
SCOPE := [ host | lin.k | glob.al | NUMBER ] 外贸
.FLAGS := [ equalize ] .
NHFLAGS := [ onli.nk. | pervasive ] .
RTPROTO := [ kernel | boot | stat..ic | NUMBER ] .
Example - ip r.oute add. 192.168.2.0/24 via 192.168.1.254 婚庆
该示例将添加一.条通过192.168.1.254到网络192.1.68.2.0/24的路由。 .
最后，看看ip rul.e命令：外贸
root.@netmonster# ip r.ule help学习
Usage: ip rule [ l.ist |. add | del ] SELECTOR ACTION.
SELECTOR := .[ from PREFIX ] [ to PREFIX ]. [ tos TOS ] [ fwmark FWMARK ] 乙肝
[ dev S.TRING ] .[ pref NUMBER ] 汽车
ACTION := [ table T.ABLE_ID ]. [ nat ADDRESS ]电脑
[ pro.hibit | reject | unreachabl.e ] 电子
[ realms [S.RCREALM/]DST.REALM ]学习
TA.BLE_ID := [ local | main | default. | NUMBER ]
Example - ip rule add from 192.168.2..0/24. prio 32777 reject电影
. 该命令将丢弃源地址属于19.2.168.2.0/24网络的所有数据报。--- 印刷
在讨论了命令.语法以后，下面是一些上面命令.的示例。 女人
例 1：拒绝访问.Internet--------------彩票
假设有一个防火墙连接本地局域网和Internet，你希望禁.止局域网的一个子网访问Internet。当然这可以通过Linux数据报过滤防火墙来实现。但是下面我们将.介绍另外一种.实现方法。首先我们来假设有如下的网络配置： 乙肝
内部网络地址 .192..168.0.0/16.
被拒绝访问的子网 . 192.168.2.0/.24( 游戏 )
当.前主路由表(.Routing Table Main,表254): 电脑
root@netmonste.r#. ip route list table 254 建材
default via 192.168.254.254 dev eth0 pro..to static.
下面将针对该子网创建.一条策略路由规则： 乙肝
ip rule add from 192.168.2.0./24 priority 5000 prohib.it.
现在任.何从192.168.2.0/24子网发送来的数据报将得到一个类型.为3，代码为13的ICMP消息，同时该数据报将被丢弃。 学习
应该注意的是，在运行任何这些命令都需要发送“ip route flush cache"命令来刷新路由缓冲，否则命令.在.一段时间以后才会.生效，这段时间的长短依赖于路由表结构的大小和负载。 .
. 将上面的例子需要的命令放在一起就如下所示： 乙肝
ip rule del priority 500.0.[成人用品]
ip rule add from .192.168.2.0/24 pr.iority 5000 prohibit 婚庆
ip route flush cache.--- 印刷
这个命令.流通过首先.删除5000号规则来确保当前系统没有该规则然后再添加新的5000号规则。如果系统本来不存在5000号.的规则则会返回一个错误信息。然后添加5000号规则并通过清空运行时的路由缓存来重置RPDB，则新规则将马上产生作用。
多路由表和IP地址
为了完全理解基于策略路由的使用，就需要学会使用.Linux多.路由表和IP地址，这包括多个方面的知识，下面通过示例来加以说明。 电子
当获得ip工具，你可能会注意到在发布中有一个.名为etc的.子目录，其中有一个名为iproute2的子目录。应该拷贝.该子目录到/etc目录下.或在/etc目录下创建iproute2子目录。该目录包含用来命名路由表及策略路由结构的其他方面的文件。在该目录中创建rt_tables文件，其中示例文件一般已经包含了某些内容，并为路由表1提供了示例名。--- 印刷
下面首先编辑该文件来创建若干在下面的示例中使用的表..：投资
# reserved .values电影
#
255 .local服务器
254 main
2.53 default教育
0 . unspec 乙肝
#
# local
#
1 good.net1--- 印刷
2 goodnet.2--------------彩票
3. badnet1外贸
4 ba.dnet2.
5 inte.rnet服务器
可以看.到通过为路由表命名，就可以使用表数字ID或表名来引用路由表。例如下面两个命令将对同一个路由表进行操.作：.
ip route list table .1[成人用品]
ip .r.oute list table goodnet1 外汇
通过表名可以更好的理解在.对哪个路由表进行操作。.
例 2：创建多个路由表
如果已经创建了如上所示的rt_.table信息，可以通过下.面的命令来察看各个路由表的内容：.
.ip route list ta.ble <name>; 建材
当然即使没有定义rt_tabl.e文件同样可.以使用数字来引用所有的0-255个路由表，因为它们都是存在的，只是其中大部分没有路由信息数据罢了。在上面的例子中通过rt_table文件.来将表1定义为goodnet1。 婚庆
下面的例子是向定义的每个路由.表都添加一条路由：--- 印刷
ip. route add 10.10.10.0/24 via 192.168.1.2 table g.oodnet1电脑
. ip route add 10.10.11.0/24 via 192.168.1.2. table goodnet2健康
ip route a.dd 10.10.12.0/24 via 192.168.1.2 table b.adnet1 婚庆
ip route add 10.10.13.0/2.4 via 192.168.1.2 table .badnet1电影
ip route add. default via 192.168.1.254 ta.ble internet( 游戏 )
然后再通过ip rouite list talbe <name>;命令就可以察.看路由表.中的各个路由。.
例3：建立多个IP地址
这里的多个IP地址并不同于IP别名，在Lin.ux2.1及更高版本中已经反.对使用":#"的IP别名方式。而应该用新的方式来使用多IP地址。.
假设eth0输出接口应该具有三个不同的IP地址，其中的两个应该属于同一个子网，但是应该被.独立地设置，示例同样说明了在Linux2.2及以上版本的关闭自动路由添加的方法。在Linux.2.2及以上版本内核的系统中.，当为一个接口赋予一个IP地址时，内核将自动为该IP.地址属于的网络在路由表中添加一条对应的路由。而由于这里将为同一个接口赋予属于同一个子网的两个不同的IP，所以在添加IP.地址时不希望添加路由，否则会造.成路由冲突，因此就需要添加该地址为一个主机地址。只需要设置该地址时指定完全主机地址掩码，然后手工添加必要的路由。 域名
为接口设置如下地址：
192.168.1.1
192.168.1.12.8.
192.168.3.1
在添加192.168.1.0/.24的两个地址时需要关闭自动路由添加，而允许对192.168.3..0/24时允许自动路由添加功能。.
ip addr add .192.168.1.1/32 dev eth0.电影
ip addr add 192.168.1..128/32 dev e.th0 外汇
ip a.dd.r add 192.168.3.1/24 dev eth0教育
这时候如果察看主路由表则会发现内.核只为网络192.168..3.0/24添加了路由表，而没有为网络192.168.1.0/24添加路由。--- 印刷
. .通过ip addr命令可以察看系统的所有IP地址信息：域名
root@n.e.tmonster# ip addr 美容
.1: lo: <LOO.PBACK,UP>; mtu 3924 qdisc noqueue服务器
link/loopback. 00:00:00:00:00:00 brd 0.0:00:00:00:00:00 汽车
. . inet 127.0.0.1/8 brd 127.255.255.255 scope host lo健康
2: eth0: <BROADCAST,MULTICAST,UP>; mtu 1500 qdi.sc pfifo_fast ql.en 100.
link/ether 00:00:49:61:32:bc brd. .ff:ff:ff:ff:ff:ff 杀毒
inet 192.168.1.1/32 s.cope .global eth0电脑
inet 192.168.1.128/32 scope. glob.al eth0.
. inet 192.168.3.1/24 scope globa.l eth0[成人用品]
下面我们将讨论几个更加复杂.的例子。.
例 4：多路由表和I.P地址 汽车
Linux内核路由代码最强大的特色就是基于策略的路由和.使用多地址、多路.由表的结合使用。下面的示例讨论的是一个充当路由器的连接三个不同的网络的系统。域名
参考文章开头的图片，可以看到核心系统.的外部接口连接了三个外部网络。每个网络都有自己的路由器和自己的IP地址空间。但是其中的.两个地址空间是重叠的，因此增加了情况的复杂性。这里我们设置如下规则的路.由表来实现互联： 外汇
从任何内部网..络到Inetent的数据流都是允许的。 .
从内部网B到网络A的数据流.是允许的。 --------------彩票
从内部网A到网络C的数据.流是允许的。 建材
内部网A的地址为33-62的主机允许访问网络A。 .(广告)
内部网B的地址为65-78的主机允许访问网.络C。 建材
.首先，配置两个外部IP地址-在DMZ以太网接口eth0的两个.地址：( 游戏 )
ip addr. .add 10.254.254.2/30 dev eth0.
ip addr add 172.17.1.128./24 dev eth0.电脑
下一步将.讨论创建哪些路由表，解决这个问题的最好办法是想到基于策略的路由能实现根据源地址来决定使用哪个路由表。策略规则具有划分内部网络的能力，.因此首先可以在路由表中添加基于目的的路由，在示例中我们将使用前面创建的新的路由表.。
当在路由表中添加路由时.下面的方法有助于澄清应该采取的步骤。假设.你配置的是只有两个.接口的路由器，外接口直接连接Interet出口路由器，而内接口直接连接内部网络。配置这样的路由器是非.常简单的，为了说明我们这里在表1-goodnet1这个路由表进行操作： 汽车
ip route add 10.10.0.0/16 via .10.254.254.2 table goodnet1 pr.oto static 电子
. ip route add default via 172.17.1.254 tabl.e goodnet1 proto static.
对.于goodnet2进行配置则是：( 游戏 )
ip route .add 172.18.0.0/16 via 172.17..1.1 table goodnet2 proto static服务器
. ip route add default via 172.17.1.254 table goodnet2 pr.oto static<性病>
可以看到对三个目标网.络只需要两个路由表，这里对于连接Internet的默认路由在两个表中都进行了设置。为什么不将默认路由存放在第三个路由表中呢？首先应该考虑到规则和路由表之间的交互，而且规则是实现对基于.策略路由的定义。多条规则可以指向同一个路由表。.然而，一旦进入某个路由表以后，则只能是匹配一条路由或返回一条路由链。如果匹配到一条规则则就认为你已经拥.有一条正.确的策略匹配，则该规则指向的路由表包含了该数据报所有的路由可能。.
如果有三个路由表，则需要添加一条规则来察看数据报目的。而检查数据报目的.地址是标准路由的功能。为什.么要对每种源、目的的组合都需要一个规则呢？通过使用路由表，可以实现定义尽量少的规则来达到目的。当然 系统的灵活性允.许通过多条方法来实现这样的路由。可以根据在自己的喜.好来决定那种方案最适合： 电影
ip rule add. from 192..168.1.32/27 to 172.18..0.0/16 pref 15000 table goodnet1电影
. ip rule add from 192.168..2.64/28 to 10.10.0.0/16 pref 15001 table .goodnet2.
ip rule add from 192.168.1.0/24 .p.ref 15002 table goodnet1电影
ip rule add .from 192.168.2.0/24 pref 15003 table goodne.t2学习
上面.的例子中使用了优先级参数设定来定义数据报匹配规则的顺序。现在来看看当一个数据报从内部网络经过路由系统时会发生什么情.况。首先，它会通过优先级为0的规则检查；随后会遇到优先级为15000的规则，若匹配则会被goodnet1.这个路由表进行操作，否则将会分别经过15001、15002、1500.3的规则。.它肯定会被15000-15003几个规则中的一个所匹配。 [成人用品]
下面.为了说明定义路由结构的灵活性，我们将从另外一个角度来.解决这个问题。Linux路由器的详细情况如下： 汽车
eth0 .- DMZ ethernet - addresses: 10.254.254.2/30, 172.17.1.1.28/24 婚庆
eth1 - Internal A - addresses: 192.168.1...254/24 外汇
eth2 - Inte.rnal B - addresses: 192.168.2.25.4/24--- 印刷
首先假设.重新开始，将重新.定义路由和规则，首先编辑/etc/iproute2/rt_tables： 婚庆
# reserved values.--------------彩票
#
.255 local[成人用品]
254 main
253 def.ault--- 印刷
0 u.nspec.
#
# Local Tab.les( 游戏 )
#
1 int1
2 int2
创建路由和规则：
.ip route .add 10.10.0.0/16 via 10.254.254.1 table int1 proto static 女人
ip route add thr.ow 0/0 .table int1 proto static学习
ip route add 172.18.0.0/16 via 172.17.1.1 table int.2 proto st.atic.
ip route add throw 0./0 tabl.e int2 proto static.
. ip route add 0/0 via 172.17.1.254. table main proto static教育
ip rule add .pref 15000 tabl.e int1 iif eth1 建材
.ip rule add pref 15001 table i.nt2 iif eth2 美容
ip .rul.e add pref 15002 to 10.10.0.0/16 table int1电影
ip rule add pref 15003 to 172.18.0.0/.16. table int2<性病>
这些路由和规实施和前面示例一样的.操作(仔细研究这些规则.和路由并理解它们) 投资
使用ipch.ains实现高级策略路由.
在指定策略规则时可以使用的一个选项就是允许通过fwmark值来匹配某个规则。fwmark是一个数字标签，.数据报过滤工具ipchains能将fwmark值附加.给某个数.据报。如果你对ipchains并不是很熟悉，你需要首先阅读i.pchains-howto. 鲜花
例 5：简单基于fwma.rd的策略路由 电子
首先从一个简单的例子开始－利用上面示例中的多.路由表，.希望实现来自内部网B的、目的端口为80的数据发送到Internet，但是来自内部网A的、目的端口为80的.数据则被禁止。首先清空这些路由表： 美容
ip route. flush t.able goodnet1.
ip route. flush table .goodnet2 乙肝
ip. route fl.ush table badnet1教育
ip route flush table badn.et.2 电子
ip route flush ta.ble inter.net( 游戏 )
ip route flus.h cache 建材
而目前删除策略规则的方法就是将其一一列出来然后将其手工删除，也就是首先通过ip rule list命令将策略规则列出来然后使用ip rule .del priority <#>;将其删除。但.这里假设当前没.有任何规则并且路由表也是空的。.
为了.使用fwmark标记，首先应该指定希望使用ipchains标记的数据报，然后使用标记值来指定一条策略规则来处理该数据报。应该设定ipchians自动将十进制的标记.转化为十六进制。ip .rule希望输入为一个十六值。.
首先配置ipchains规则使用合适的值标记输入数据报。假设当前没有其他防.火墙规则.： 汽车
ipcha.ins -I input -p tcp -s 192.168.2.0/.24 -d 0/0 80 -m 2.
i.pchains -I input -p tc.p -s 192.168.1.0/24 -d 0/0 80 -m 16教育
.现在设立策略规则，在上面为内部网A的标记值为十机制的16，下面定义相关的策略(应该注意到策略定义中使用的是十六进制，因此为1.0)：.
ip rule add f.wmark 2 tabl.e goodnet1.
ip rule add fw.mar.k 10 prohibit域名
最后为路由表g.oodnet1定义如下的路由： 建材
ip rout.e add default via .172.17.1.254 table goodnet1 汽车
关于策略路由的一个常见问题是.策略路由和IP伪装之间如何交互，这里我们不.对该问题.进行深入研究但.是通过一个快速的示例来加以说明。需要注意的是在转发链之前对路由表进行查询。这意味着如果使用IP伪装，则路由选择器返回的任何源地址都将被作为进行IP伪装的地址。.
例6：朵IP地址的.IP伪装学习
使用上面的网络配置，我这里将对到三个网络的连.接进行伪.装处理，希望从系统中得到如下的输出： 建材
从内部.网A到网络C的数据报被伪装为10..254.254.2 乙肝
从内部网络B到网络A的数据报被伪装为172..1.7.1.2 虚拟主机
内部网到互联网的数据报都被伪.装为17.2.17.1.128 健康
eth0配置有如下地址：
10.254..254.2/30教育
172.17.1.1.28/24--------------彩票
. 因此为了满足条件2，给eth0添加地址：服务器
ip .addr add 172.17.1.2/32 dev .eth0学习
假.设系统被设置为对所有的输出数据报都进行IP伪装.。首先清空旧的策略规则，然后创建新的规则如下：.
ip route add. 10.10.0.0/16 via 10.254.254.2 sr.c 10.254.254.2 乙肝
table goodnet1 .proto. static 婚庆
ip route add default via .172.17.1.254. src 172.17.1.128 美容
. table g.oodnet1 proto static 杀毒
ip route add 172.18.0..0/16 via 172.17.1..1 src 172.17.1.2 教育
table goodnet2 pro.to stati.c 杀毒
ip route add default via 17.2.17.1.254 src 172..17.1.128 --- 印刷
. . table goodnet2 proto static--------------彩票
ip rule add from 192.168.1.0/24 pref 150..00 table goodnet2
ip rule add from 192.168.2.0/.24 pref 1.5001 table goodnet1电脑
例7：综合实例
假设例6中的路由、规则和地.址.仍然在起作用，我希望实现下面的需求：教育
Internal. A Hosts 33-62 to Network A Masq a.s 172.17.1.3 (广告)
Internal A Hosts 65..-78 to tcp port 80 on Network A Masq as 172.17.1.4 乙肝
Internal B Hos.t.s 33-62 to tcp port 80 on Network A Deny Access [成人用品]
Internal B Hosts 65-78 to tcp .port 80 on Network C Masq as 10.254.25.4.2 健康
应该记得我们.仍然允许例6中的连接性，下面就是解决.方案： 杀毒
ip addr add 17.2.17.1.3/.32 dev eth0电影
. ip addr add 172.1.7.1.4/32 dev eth0.
ip route del default t.a.ble goodnet1 电子
ip route del defaul.t tab.le goodnet2投资
ip route. add throw 0/0 table goodnet1 .proto static.
ip route add throw 0/0 table good.net.2 proto static虚拟主机
ip .route add defau.lt via 172.17.1.254 src 172.17.1.128 汽车
. table internet. proto static<性病>
ip route add 172.18.0.0/16 vi.a. 172.17.1.1 src 172.17.1.3 --- 印刷
tabl.e ba.dnet1 proto static.
ip route add 172.18.0.0/16 .via 172.17.1.1 sr.c 172.17.1.4 电子
. . table badnet2 proto static.
ip. rule add from 192.168.1.32/27. to 172.18.0.0/16 pref 14999 table b.adnet1.
ip rule a.dd fwmark 1 pref 14998 table .badnet2 汽车
ip rule add fwmark .2 pr.ef 14997 table goodnet1--- 印刷
ip rule add fw.mark 3 pref 14996 blac.khole 美容
ip rule add pref 1.5003. table internet 婚庆
ipchains -I input -p tcp -s .192.168.1.64/28 -d 172.18.0.0/.16 80 -m 1 汽车
ipchains -I input -p tcp -.s 192.168.2.64/28 -d 10.10.0.0/16 80 -m. 2 鲜花
. ipchains -I input -p tcp -s 192.168..2.32/27 -d 172.18.0.0/16 80 -m 3外贸
其实有很多的.有效方法，但是虽然这里使用名为badnet1和badnet2的表，但是名字是没有.实际意义的，只是用来引用表3和表4的符号。.
