Linux多IP绑定怎么配置_业务隔离实战方案【教学】_网络技术

Linux多IP绑定需四层联动实现业务隔离：①同网段临时/永久绑定IP；②跨网段配策略路由隔离流量；③服务显式绑定指定IP避免监听冲突；④防火墙按IP精细化控制。任一层缺失均导致隔离失效。

Linux多IP绑定不是简单地给网卡加几个地址，关键在业务隔离——让不同服务走不同IP、不同路由、互不干扰。配置错一步，可能引发端口冲突、流量误导或安全暴露。

一、基础多IP绑定（同网段）

适用于Web、FTP等需要多个公网IP对外提供服务的场景，所有IP在同一子网内。

以ens33为例，主IP为192.168.1.10/24，新增192.168.1.11和192.168.1.12：

临时添加（重启失效）：

ip addr add 192.168.1.11/24 dev ens33
ip addr add 192.168.1.12/24 dev ens33

永久生效（CentOS/RHEL）：编辑/etc/sysconfig/network-scripts/ifcfg-ens33:0，内容如下：
```
DEVICE=ens33:0
BOOTPROTO=static
ONBOOT=yes
IPADDR=192.168.1.11
NETMASK=255.255.255.0
```
再建ifcfg-ens33:1配第二个IP
Ubuntu/Debian用/etc/netplan/*.yaml，在addresses:下追加列表：
```
- 192.168.1.11/24
- 192.168.1.12/24
```

二、跨网段多IP + 策略路由（业务级隔离核心）

当不同业务需走不同出口（如：监控走专线、用户访问走BGP、后台API走内网），仅绑IP不够，必须配合策略路由（policy routing）。

假设：
• 主网卡ens33：192.168.1.10/24（默认路由）
• 新增IP10.10.20.5/24（属10.10.20.0/24网段）
• 该网段网关为10.10.20.1，专用于后台服务通信

先绑定IP：
ip addr add 10.10.20.5/24 dev ens33
新建路由表（如叫admin_rt），编辑/etc/iproute2/rt_tables：
200 admin_rt

配置该表的路由和规则：

ip route add 10.10.20.0/24 dev ens33 src 10.10.20.5 table admin_rt
ip route add default via 10.10.20.1 table admin_rt
ip rule add from 10.10.20.5/32 table admin_rt
ip rule add to 10.10.20.5/32 table admin_rt

应用后，所有从10.10.20.5发出或发往它的流量，自动走admin_rt表，与主路由完全隔离

三、服务绑定指定IP（避免监听冲突）

多IP不等于服务自动分流。Nginx、MySQL、SSH等必须显式指定监听地址，否则默认监听0.0.0.0，所有IP都响应，失去隔离意义。

Nginx：在server块中写listen 192.168.1.11:80;，而非listen 80;
MySQL：修改my.cnf中bind-address = 10.10.20.5，只允许后台系统通过该IP连接
SSH：编辑/etc/ssh/sshd_config，设ListenAddress 192.168.1.10（运维管理IP），禁用其他IP接入
验证是否生效：ss -tlnp | grep :80 查看监听的是哪个IP

四、防火墙按IP精细化控制（安全兜底）

IP绑定+策略路由+服务绑定后，还需iptables/nftables按源/目标IP做访问控制，实现真正业务隔离。

只允许特定IP访问管理端口：

iptables -A INPUT -d 10.10.20.5 -p tcp --dport 22 -s 10.10.10.0/24 -j ACCEPT
iptables -A INPUT -d 10.10.20.5 -p tcp --dport 22 -j DROP

禁止用户区IP访问后台网段：
iptables -A FORWARD -s 192.168.1.0/24 -d 10.10.20.0/24 -j REJECT
使用ipset管理IP组更高效，例如建立admin_hosts集合，规则直接引用

业务隔离不是堆IP，而是IP、路由、服务配置、防火墙四层联动。每层漏一个，隔离就形同虚设。实际部署时，建议先用tcpdump -i ens33 host 10.10.20.5验证流量路径，再上线服务。

# mysql # linux # centos # nginx # 防火墙 # ipad # 端口 # ubuntu # 路由 # 子网 # 堆 # default # input # table # tcpdump # ssh # debian # 绑定 # 只允许 # 四层 # 的是 # 精细化 # 几个 # 多个 # 形同虚设 # 适用于 # 第二个

相关栏目：【网站优化151355 】【网络推广146373 】【网络技术251813 】【 AI营销90571 】