linux无法通过源路由绕过防火墙，因内核默认禁用该选项且iptables/firewalld不支持；可行方案是策略路由配合firewalld zone分离：为管理网段配置独立路由表、用ip rule绑定源地址、将对应网卡加入internal zone。
Linux 中无法通过“源路由选择”绕过防火墙限制，因为现代 Linux 内核默认禁用并忽略 IP 源路由（Source Routing）选项，且主流防火墙（iptables/firewalld）也不基于该字段做策略控制。所谓“用源路由绕过防火墙”，在标准配置下既不安全、也不可行，属于已淘汰的网络机制。
真正可行、合规、且被内核和防火墙支持的方式是策略路由（Policy-Based Routing）配合防火墙规则协同控制——即让不同源地址的流量走不同路径，并在对应链上精确放行。
以下是实际可落地的配置逻辑：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
明确目标场景
比如：主机有两块网卡
- eth0：连公网（192.168.1.100/24，网关 192.168.1.1）
- eth1：连管理网（10.10.20.100/24，网关 10.10.20.1）
你想让来自 10.10.20.0/24 的管理流量始终从 eth1 出去，且不经过公网防火墙规则（如 public zone 的 DROP），而是走更宽松的 internal zone 规则。
关键步骤不是改源路由，而是三步联动
✅ 步骤一：为管理网段配置独立路由表
编辑/etc/iproute2/rt_tables，添加：
101 tab_mgmt
然后加载路由：ip route add 10.10.20.0/24 dev eth1 src 10.10.20.100 table tab_mgmtip route add default via 10.10.20.1 dev eth1 table tab_mgmt✅ 步骤二：用 ip rule 绑定源地址到路由表
ip rule add from 10.10.20.0/24 table tab_mgmt priority 200
这样所有从该网段发出的包，查的是 tab_mgmt 表，不走 main 表 → 自然避开 main 表关联的 public zone 默认策略。✅ 步骤三：把 eth1 接口分配给更宽松的 firewalld zone
firewall-cmd --permanent --zone=internal --add-interface=eth1firewall-cmd --reload
internal zone 默认允许多数服务，且不启用 masquerade 或 strict icmp 策略，等效于“绕过公网防火墙限制”。
为什么不能用 IP 源路由？
- Linux 默认关闭源路由：
net.ipv4.conf.all.accept_source_route = 0（查看命令：sysctl net.ipv4.conf.all.accept_source_route） - 即使设为 1，iptables 的
--source-route匹配早已被移除（自 kernel 2.6.38+），firewalld 更无对应功能 - 路由器和中间设备普遍丢弃含源路由选项的数据包，实际不可达
不复杂但容易忽略：绕过限制的本质，是让流量“不进入被限制的路径”，而不是欺骗路径字段。策略路由 + zone 分离，才是标准解法。
