Linux数据包路由转发失败需分层排查：先确认IP转发已启用（/proc/sys/net/ipv4/ip_forward=1），再验证路由表匹配出口正确、ARP学习成功（状态REACHABLE）、FORWARD链放行流量，最后排除conntrack等干扰。
排查 Linux 中数据包路由转发失败，核心是确认“包是否该转、能否转、有没有被拦住”。重点不在目标是否响应，而在本机是否按预期做了转发动作——这需要分层验证：接口状态 → 转发开关 → 路由决策 → 二层可达 → 防火墙放行。
检查 IP 转发是否真正启用
路由转发的前提是内核允许跨接口转发。仅配置静态路由或添加网关无效，必须打开转发开关：
- 临时启用：
echo 1 > /proc/sys/net/ipv4/ip_forward，然后用cat /proc/sys/net/ipv4/ip_forward确认返回 1 - 永久生效：编辑
/etc/sysctl.conf，确保含 net.ipv4.ip_forward = 1，再运行sysctl -p - 注意：某些发行版（如 RHEL/CentOS 8+）默认禁用，且 systemd-networkd 或 NetworkManager 可能覆盖 sysctl 设置，需同步检查其配置文件中是否禁用了转发
确认路由表匹配且出口正确
即使启用了转发，若路由表未将入向流量导向正确的出接口，包仍会丢弃：
- 用
ip route get <目标IP> from <源IP> iif <入接口>模拟转发路径。例如：ip route get 10.2.0.8 from 192.168.1.28 iif eth0，输出应显示 dev eth1（而非 eth0）和正确网关 - 检查是否存在冲突路由：执行
ip route show table all，留意是否有更精确的直连路由、策略路由（ip rule show）或黑洞路由（blackhole）干扰转发逻辑 - 多网卡主机常见错误：目标地址属于本地子网，系统直接尝试 ARP 而非转发。此时需确认目标不在任何
ip addr show显示的本地网段内
验证二层转发能力与 ARP 学习
路由决定“往哪发”，但实际转发还需知道下一跳的 MAC 地址：
- 对出接口网关执行
ip neigh show dev eth1 | grep <网关IP>，状态应为 REACHABLE；若为 FAILED 或缺失，说明无法解析下一跳 MAC，转发必然失败 - 手动触发学习：
ping -c1 <网关IP>后立即查ip neigh；仍失败则抓包确认：tcpdump -i eth1 arp and host <网关IP>，看是否有 request 发出、reply 是否返回 - 若出接口是 VLAN 子接口（如 eth0.100），确保其父接口 UP 且 VLAN 配置无误，否则 ARP 请求根本发不出去
排查防火墙规则拦截转发链
Linux 默认 DROP FORWARD 链，即使路由和 ARP 都正常，iptables/nftables 也可能静默丢包：
- 查看转发策略：
iptables -L FORWARD -v -n或nft list chain ip filter FORWARD，重点关注 policy DROP 及匹配计数是否增长 - 最简放行（测试用）：
iptables -I FORWARD -i eth0 -o eth1 -j ACCEPT和反向规则，避免影响其他流量 - 注意 conntrack 影响：若开启状态检测，新连接可能因缺失初始 SYN 包而被拒绝。可临时
echo 0 > /proc/sys/net/netfilter/nf_conntrack_tcp_be_liberal缓解
