如何利用Nftables的Vlan Id匹配引擎在单网卡实现多局域网路由-linux运维-PHP中文网

单网卡实现多局域网路由的关键是VLAN标签逻辑分隔，需配合VLAN子接口、IPv4转发、策略路由及nftables精准过滤：先创建eth0.10等子接口并配IP，启用ip_forward，用meta iiftype vlan vlan id匹配流量，再通过ip rule和ip route实现按VLAN分流，最后用nftables控制跨VLAN访问。

如何利用nftables的vlan id匹配引擎在单网卡实现多局域网路由

单网卡实现多局域网路由，关键不是靠物理隔离，而是靠 VLAN 标签（802.1Q） 在数据链路层做逻辑分隔。nftables 本身不负责打标签或剥离标签，但它能精准识别、匹配和决策带 VLAN ID 的帧——前提是内核已启用 VLAN 支持，且网卡/驱动支持接收带标签的包（通常默认开启）。真正完成“多局域网”通信闭环，需要三层配合：VLAN 子接口（kernel）、路由转发（ip route / ip rule）、以及 nftables 的细粒度过滤与策略控制。

确保 VLAN 子接口已正确创建并启用

nftables 不直接管理接口，但它的规则必须作用于具体的网络设备。你要先为每个 VLAN 创建对应的子接口（如 eth0.10、eth0.20），并配置 IP 地址作为该 VLAN 的网关：

执行 ip link add link eth0 name eth0.10 type vlan id 10 创建子接口
执行 ip addr add 192.168.10.1/24 dev eth0.10 && ip link set eth0.10 up
同理创建 eth0.20（ID 20）、eth0.30（ID 30）等，并分配对应网段地址
确认 cat /proc/sys/net/ipv4/ip_forward 返回 1，开启 IPv4 转发

用 nftables 的 meta iiftype 和 vlan id 表达式精准识别入向 VLAN 流量

nftables 的 meta iiftype 可区分普通接口与 VLAN 子接口，而 vlan id 表达式可直接提取 802.1Q 标签中的 VID。这是实现“按 VLAN 分流”的核心匹配能力：

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

在 ingress 或 prerouting hook 上使用 vlan id，例如：
nft add rule inet filter prerouting meta iifname "eth0.10" vlan id 10 counter accept
更常用的是结合 meta iiftype vlan + vlan id 做泛化匹配，避免硬编码子接口名：
nft add rule inet filter prerouting meta iiftype vlan vlan id 20 ct state new tcp dport 80 accept
注意：vlan id 表达式仅对带标签帧有效；若流量来自未打标设备（如直连 PC），需确保交换机端口已设为 Access 模式并自动添加 PVID，否则 nftables 看不到 VLAN ID

配合路由策略实现跨 VLAN 互通或隔离

仅靠 nftables 匹配 VLAN ID 还不够，它不改变路由走向。你需要明确告诉内核：“来自 VLAN 10 的包，应该走哪条路由？”这要靠策略路由（policy routing）：

为每个 VLAN 创建独立路由表，例如：
echo "100 vlan10" >> /etc/iproute2/rt_tables
ip route add 192.168.10.0/24 dev eth0.10 src 192.168.10.1 table vlan10
添加路由规则，按入接口或源地址触发查表：
ip rule add iif eth0.10 table vlan10
ip rule add to 192.168.20.0/24 lookup vlan20
nftables 规则可在此基础上叠加控制，比如禁止 VLAN 10 主动访问 VLAN 30：
nft add rule inet filter forward meta iifname "eth0.10" meta oifname "eth0.30" drop

避免常见陷阱：MTU、ARP、连接跟踪

单网卡多 VLAN 容易因细节疏忽导致通信异常：

MTU 一致：主接口 eth0 的 MTU 应 ≥ 1500，VLAN 子接口默认继承；若交换机启用了 Jumbo Frame，需同步调整，否则大包被丢弃
ARP 响应范围：Linux 默认只在请求接口上回复 ARP。若 VLAN 间需互访，确保 arp_ignore 和 arp_announce 设置合理，或启用 arp_filter=1 配合策略路由
连接跟踪影响：跨 VLAN 的 FORWARD 流量会被 conntrack 记录。若某 VLAN 策略要求严格隔离，可在 nftables 中加 ct state invalid drop 并禁用相关 NAT，防止状态混淆