多网卡服务器公网与私网流量规划核心是“物理分离、逻辑收敛、路由可控”，即明确每张网卡职责：私网网卡仅用于vpc内通信且不配默认网关，公网网卡绑定eip并承担对外访问，管理网卡独立隔离；须禁用私网网卡的远程默认网关、设公网跃点为10/私网为100、为vpc/idc等内网段添加静态路由指向私网网卡，并通过route print或ip route show验证仅公网存在0.0.0.0/0路由。

多网卡服务器上公网与私网流量走向的规划，核心是“物理分离、逻辑收敛、路由可控”——不是让所有网卡都抢着上网，而是明确每张网卡的职责：哪张只跑内网、哪张专供外访、哪张承担高可用或管理通道。

明确每张网卡的角色定位

避免“一张网卡打天下”的误区。典型分工如下：

• 私网网卡（如 eth1）：仅用于 VPC 内通信，IP 属于 RFC 1918 私有段（如 10.0.10.10/24），不配默认网关，不启用 NAT，安全组仅放行业务必需端口
• 公网网卡（如 eth0）：绑定弹性公网 IP（EIP），配置默认网关（如 192.168.1.1），承担所有对外服务与出向访问，安全组严格控制入方向规则
• 管理网卡（可选，如 eth2）：独立网段（如 172.20.0.0/24），仅限跳板机或运维平台访问，禁用所有业务端口，不参与任何业务路由

禁用冲突网关，防止路由污染

系统默认会为每个有网关的网卡添加 0.0.0.0/0 路由，导致私网流量误走公网出口。必须手动干预：

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

• 对私网网卡：进入 IPv4 属性 → 高级 → 取消勾选“在远程网络上使用默认网关”，并清空“默认网关”栏（不是填 0.0.0.0）
• 设统一跃点（Metric）：公网网卡设为 10，私网网卡设为 100，确保系统优先选择公网路径作为默认出口
• 执行 route print（Windows）或 ip route show（Linux）验证，确认仅公网网卡对应一条 0.0.0.0/0 的默认路由

按目标地址添加静态路由，精准导流

让特定流量强制走指定网卡，不依赖自动学习：

• 所有 VPC 内网段（如 10.0.0.0/8、172.16.0.0/12）→ 明确指向私网网卡网关（如 10.0.10.1）
• IDC 对接网段（如 192.168.100.0/24）→ 添加 via 私网网卡接口，不经过公网链路
• 云厂商服务专用地址（如阿里云 OSS 内网域名解析 IP 段）→ 添加到私网路由表，享受免费高速内网互通
• 命令示例（Linux）：ip route add 10.0.0.0/8 via 10.0.10.1 dev eth1

验证与持续防护

配置完成只是起点，需验证真实路径并防退化：

• 从服务器内部执行 curl -v http://[公网服务] 和 ping 10.0.20.5，分别确认出向公网与内网连通性
• 在外网机器 telnet 公网 EIP 端口；在同 VPC 另一台 ECS 上 curl 私网 CLB 地址，双重验证双向可达
• 定期检查 ip route get 10.0.30.100，确认目标地址始终命中私网路由条目
• 禁止脚本或自动化工具修改网卡配置文件（如 ifcfg-eth* 或 netplan yaml），避免重启后跃点或网关恢复默认值