Linux ip rule 怎样排查策略路由优先级

Linux 上出现“同一个目标地址有时走 eth0、有时走 eth1”时，先不要急着改默认路由。策略路由通常要分三层看：ip rule 决定先检查哪张表，规则里的 selector 决定数据包是否命中，命中的 routing table 再决定下一跳和出口设备。排查优先级的关键是：priority 数字越小，规则越先执行。

先看 priority：规则到底按什么顺序执行

先把当前规则完整列出来。下面的命令只读取策略路由数据库（RPDB），适合保存现场信息：

# 列出策略规则；priority 越小，越先参与匹配
ip rule show

# 以更紧凑的格式查看规则，便于复制到排查记录
ip -o rule show

常见默认规则是 0: lookup local、32766: lookup main 和 32767: lookup default。如果业务规则写成 priority 100，它会在 main 之前检查；如果写成 40000，它通常已经排在默认规则之后。规则命中后，如果对应表成功给出路由，RPDB 查找就结束；如果该表没有可用结果，才会继续往后看。

核对 selector：规则存在不等于数据包会命中

看到一条高优先级规则后，继续检查它的条件。from 约束源网段，to 约束目标网段，fwmark 依赖防火墙或应用链路设置的标记，iif 与入口接口相关。还有 uidrange、协议和端口等条件时，必须按真实流量逐项代入。

例如规则是 100: from 192.0.2.0/24 lookup 100，而本机连接实际使用的是 198.51.100.10，即使目标地址相同，也不会命中这条规则。此时应该先确认应用绑定的源地址、连接是否经过转发，以及 mark 是否在进入路由查询前已经设置。

看命中的 table：规则正确不代表路由结果正确

确认命中哪条规则后，再看它指向的表。比如 table 100 里没有默认路由，规则可能匹配成功却没有返回可用路径，随后继续查下一条规则。检查表内容时把表号写出来，避免只看默认的 main：

# 查看自定义表 100；确认前缀、网关和出口设备
ip route show table 100

# 查看主表；对比同一目标在不同表中的候选路径
ip route show table main

还要区分 route metric 与 rule priority：前者用于同一张表里的路由选择，后者决定先查哪张表。修改了规则或路由后，如果现场仍显示旧结果，先确认配置工具是否重新加载；不要把一次缓存现象直接归因于 priority。

用 ip route get 做单包验证

最后用一个尽量接近故障现场的查询验证结论。ip route get 可以带目标地址、源地址、入口设备或 mark；不要只执行不带条件的查询，否则得到的可能不是应用真实使用的路径。

# 模拟源地址为 192.0.2.10、目标为 203.0.113.20 的路由选择
ip route get 203.0.113.20 from 192.0.2.10

# 如果业务依赖 fwmark，就把同一个标记带入查询
ip route get 203.0.113.20 from 192.0.2.10 mark 0x10

重点记录返回的 table（若系统显示）、via、dev 和 src。如果带 mark 后出口改变，问题多半在标记链路或规则 selector；如果出口不变，再回到 priority 和表内路由检查。涉及转发流量时，还应把 iif 纳入复现条件。

常见问题

priority 100 一定会覆盖 priority 200 吗？

只有在两条规则都匹配且 priority 100 指向的表成功返回路由时，才会先得到结果。高优先级规则匹配但表内没有可用路径时，查找可能继续。

为什么删掉 main 表默认路由后仍然能通信？

可能命中了更早的自定义表，也可能走了 local 或其他规则。先保存 ip rule show 和每个被引用表的内容，再做单包查询。

rule priority 和 route metric 应该改哪一个？

要在不同策略之间分流，先看 rule priority；要在同一张表的多条候选路由中择优，才看 route metric。两者作用层级不同，不能互换。