核心是物理路径完全隔离：管理与业务平面使用独立网卡、独立交换机（或同一交换机不同物理模块），路由表严格分离，禁用ip转发，并通过traceroute和tcpdump实测验证不可达。

多网卡服务器实现业务平面与管理平面的物理隔离，核心是让两类流量走完全独立的硬件路径——不共用网卡、不共用交换机端口、不共用物理链路。这不是靠配置策略“拦住”流量，而是从布线开始就断开通路。

独立网卡与独立交换机接入

每类平面分配专用物理网卡，并连接到不同交换机或同一交换机的不同物理模块（非仅VLAN划分）：

• 管理平面使用第1块网卡（如eth0），接入专用于运维的管理交换机（如Cisco Nexus 9300-EX的VDC-A）
• 业务平面使用第2块网卡（如eth1），接入业务核心交换机（如Nexus 9300-EX的VDC-B），且该VDC与管理VDC无跨VDC路由
• 若服务器仅有两块网卡，严禁将两个平面配置在同一台接入交换机的同一板卡上——必须分属不同板卡或不同设备

路由与网关层面彻底分离

操作系统路由表必须体现物理路径差异，避免任何隐式转发：

• 管理网卡只配置管理网段路由，网关指向管理交换机，禁止添加默认路由
• 业务网卡只配置业务网段路由，网关指向业务交换机；如需访问外网，由业务侧出口网关统一处理
• 执行ip route show table all检查，确认无跨平面的静态路由或策略路由残留

禁用跨接口通信能力

关闭系统级转发功能，防止服务器自身成为“跳板”：

• 执行sysctl -w net.ipv4.ip_forward=0，并写入/etc/sysctl.conf持久化
• 检查/proc/sys/net/ipv4/conf/*/forwarding，所有接口对应值均为0
• 若使用NetworkManager，确保ipv4.ignore-auto-routes和ipv4.never-default在业务接口配置中启用

验证是否真正隔离

不能只看配置，要实测路径不可达：

• 从管理网络发起traceroute到任意业务IP，路径应在管理交换机出口终止，不应进入业务核心
• 在业务服务器上尝试ping -I eth1 管理网关，应超时；同理，管理服务器ping -I eth0 业务网关也应失败
• 抓包验证：tcpdump -i eth0 port 22时，不应捕获到业务服务器发来的SSH请求