1. Linux网络配置基础概述

在Linux系统中，网络配置是系统管理员和开发人员必须掌握的核心技能之一。与Windows或macOS不同，Linux提供了更底层、更灵活的网络控制方式，这既带来了强大的自定义能力，也增加了学习曲线。我第一次接触Linux网络配置时，面对ifconfig、ip route这些命令也是一头雾水，直到真正理解了它们背后的设计哲学。

Linux网络栈遵循经典的TCP/IP四层模型，但具体实现上有着鲜明的Unix特色：一切皆文件、小而美的工具组合、清晰的文本接口。这种设计使得我们可以通过简单的命令行工具完成复杂的网络配置，而无需依赖图形界面。在服务器领域，这种特性尤为重要——当你在机房通过串口连接一台没有图形环境的Linux服务器时，命令行网络配置技能就是你的救命稻草。

现代Linux发行版主要使用两种网络配置体系：传统的net-tools工具集（如ifconfig、route）和新的iproute2套件（如ip addr、ip route）。虽然很多老教程仍然以net-tools为主，但iproute2才是未来，它提供了更一致的语法和更强大的功能。在本文中，我会同时介绍这两种方式，但会特别强调iproute2的使用。

2. 网络接口管理

2.1 查看网络接口信息

要管理网络，首先需要知道系统有哪些网络接口。最经典的命令是ifconfig，它来自net-tools套件：

$ ifconfig eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500 inet 192.168.1.100 netmask 255.255.255.0 broadcast 192.168.1.255 inet6 fe80::20c:29ff:fe5e:3a1a prefixlen 64 scopeid 0x20<link> ether 00:0c:29:5e:3a:1a txqueuelen 1000 (Ethernet) RX packets 142879 bytes 207095020 (207.0 MB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 33405 bytes 2398863 (2.3 MB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536 inet 127.0.0.1 netmask 255.0.0.0 inet6 ::1 prefixlen 128 scopeid 0x10<host> loop txqueuelen 1000 (Local Loopback) RX packets 356 bytes 30072 (30.0 KB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 356 bytes 30072 (30.0 KB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

这个输出显示了两个接口：eth0（以太网接口）和lo（回环接口）。对于每个接口，我们可以看到IP地址、MAC地址、数据包统计等信息。

不过更现代的方式是使用ip命令（来自iproute2套件）：

$ ip addr show 1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000 link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo valid_lft forever preferred_lft forever inet6 ::1/128 scope host valid_lft forever preferred_lft forever 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000 link/ether 00:0c:29:5e:3a:1a brd ff:ff:ff:ff:ff:ff inet 192.168.1.100/24 brd 192.168.1.255 scope global dynamic eth0 valid_lft 86334sec preferred_lft 86334sec inet6 fe80::20c:29ff:fe5e:3a1a/64 scope link valid_lft forever preferred_lft forever

ip命令的输出更加结构化，包含了接口状态（state UP）、队列规则（qdisc pfifo_fast）等额外信息。我个人更推荐使用ip命令，因为它提供了更丰富的信息和更一致的语法。

2.2 启用和禁用网络接口

有时候我们需要手动启用或禁用网络接口，比如在调试网络问题时。使用传统方法：

$ sudo ifconfig eth0 down # 禁用接口 $ sudo ifconfig eth0 up # 启用接口

使用iproute2的方式：

$ sudo ip link set eth0 down # 禁用接口 $ sudo ip link set eth0 up # 启用接口

注意：禁用接口会立即中断所有通过该接口的网络连接，请确保你通过其他方式（如本地控制台）能够访问系统。

2.3 配置IP地址

为接口分配IP地址是最基本的网络配置操作。传统方式使用ifconfig：

$ sudo ifconfig eth0 192.168.1.100 netmask 255.255.255.0

现代方式使用ip命令：

$ sudo ip addr add 192.168.1.100/24 dev eth0

这里的/24是CIDR表示法，等同于255.255.255.0的子网掩码。CIDR表示更加简洁，特别是在IPv6配置中几乎成为必需。

如果要删除一个IP地址：

$ sudo ip addr del 192.168.1.100/24 dev eth0

2.4 配置MAC地址

在某些特殊场景下（如网络克隆或测试），可能需要修改MAC地址：

$ sudo ip link set eth0 address 00:11:22:33:44:55

需要注意的是，这种修改在重启后会失效。要永久修改MAC地址，需要编辑网络配置文件（不同发行版位置不同，如/etc/network/interfaces或/etc/sysconfig/network-scripts/ifcfg-eth0）。

3. 路由配置

3.1 查看路由表

路由表决定了数据包如何从你的系统发送到目标网络。查看路由表的传统方式是route命令：

$ route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 0.0.0.0 192.168.1.1 0.0.0.0 UG 100 0 0 eth0 192.168.1.0 0.0.0.0 255.255.255.0 U 100 0 0 eth0

更现代的方式是使用ip route：

$ ip route show default via 192.168.1.1 dev eth0 proto static metric 100 192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.100 metric 100

ip route的输出更加简洁明了。其中"default via 192.168.1.1"表示默认网关，"192.168.1.0/24 dev eth0"表示直接连接到该网络的接口。

3.2 添加和删除路由

添加默认网关（传统方式）：

$ sudo route add default gw 192.168.1.1 eth0

使用iproute2：

$ sudo ip route add default via 192.168.1.1 dev eth0

添加特定网络的路由：

$ sudo ip route add 10.0.0.0/8 via 192.168.1.2 dev eth0

删除路由：

$ sudo ip route del 10.0.0.0/8

3.3 策略路由

在复杂网络环境中，可能需要基于源地址、服务类型等条件使用不同的路由表。这就是策略路由（Policy Routing）。iproute2提供了强大的策略路由支持：

# 创建自定义路由表 $ echo "200 custom" >> /etc/iproute2/rt_tables # 向自定义路由表添加路由 $ sudo ip route add 192.168.2.0/24 dev eth1 table custom # 添加策略规则 $ sudo ip rule add from 192.168.1.100 lookup custom

这些命令创建了一个名为"custom"的路由表，添加了一条路由，然后创建了一条规则：来自192.168.1.100的数据包将使用custom路由表而不是主路由表。

4. 网络诊断工具

4.1 ping

最基本的网络连通性测试工具：

$ ping -c 4 8.8.8.8 PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data. 64 bytes from 8.8.8.8: icmp_seq=1 ttl=117 time=15.3 ms 64 bytes from 8.8.8.8: icmp_seq=2 ttl=117 time=15.1 ms 64 bytes from 8.8.8.8: icmp_seq=3 ttl=117 time=15.2 ms 64 bytes from 8.8.8.8: icmp_seq=4 ttl=117 time=15.1 ms --- 8.8.8.8 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3005ms rtt min/avg/max/mdev = 15.134/15.213/15.324/0.079 ms

-c参数指定发送的ping包数量。如果不指定，ping会持续运行直到你按Ctrl+C。

4.2 traceroute

追踪数据包到达目标经过的路由：

$ traceroute -n 8.8.8.8 traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets 1 192.168.1.1 1.123 ms 1.456 ms 1.789 ms 2 10.0.0.1 5.678 ms 5.432 ms 5.321 ms 3 203.0.113.45 10.123 ms 10.456 ms 10.789 ms ...

-n参数禁用DNS反向查询，可以加快显示速度。每一行代表一个路由跳点，显示IP地址和三个往返时间（RTT）。

4.3 mtr

结合了ping和traceroute功能的强大工具：

$ mtr -n 8.8.8.8

mtr会持续监测路由状况，显示每个跳点的丢包率和延迟统计，非常适合诊断间歇性网络问题。

4.4 netstat和ss

查看网络连接和端口监听情况。传统方式是netstat：

$ netstat -tulnp

现代Linux系统推荐使用ss（socket statistics），它更快更高效：

$ ss -tulnp

常用选项：

• -t：TCP连接
• -u：UDP连接
• -l：监听中的套接字
• -n：显示数字地址而非主机名
• -p：显示相关进程

4.5 tcpdump

强大的网络抓包工具，可以深入分析网络流量：

$ sudo tcpdump -i eth0 -n host 8.8.8.8

常用选项：

• -i：指定网络接口
• -n：不解析主机名
• host：过滤特定主机的流量
• port：过滤特定端口的流量
• -w：将抓包数据写入文件
• -r：从文件读取抓包数据

对于更复杂的分析，可以将抓包数据保存为pcap文件，然后用Wireshark图形工具分析。

5. 网络服务配置

5.1 配置静态IP地址

临时配置IP地址（重启后失效）前面已经介绍过。要永久配置静态IP，需要编辑网络配置文件。不同Linux发行版的配置文件位置不同：

Debian/Ubuntu:

$ sudo nano /etc/network/interfaces # 内容示例 auto eth0 iface eth0 inet static address 192.168.1.100 netmask 255.255.255.0 gateway 192.168.1.1 dns-nameservers 8.8.8.8 8.8.4.4

RHEL/CentOS:

$ sudo nano /etc/sysconfig/network-scripts/ifcfg-eth0 # 内容示例 DEVICE=eth0 BOOTPROTO=static ONBOOT=yes IPADDR=192.168.1.100 NETMASK=255.255.255.0 GATEWAY=192.168.1.1 DNS1=8.8.8.8 DNS2=8.8.4.4

使用NetworkManager（现代发行版通用）:

$ nmcli con add con-name "static-eth0" ifname eth0 type ethernet ip4 192.168.1.100/24 gw4 192.168.1.1 $ nmcli con mod "static-eth0" ipv4.dns "8.8.8.8,8.8.4.4" $ nmcli con up "static-eth0"

5.2 配置DHCP客户端

让接口通过DHCP自动获取IP：

Debian/Ubuntu:

auto eth0 iface eth0 inet dhcp

RHEL/CentOS:

BOOTPROTO=dhcp ONBOOT=yes

NetworkManager:

$ nmcli con add con-name "dhcp-eth0" ifname eth0 type ethernet $ nmcli con up "dhcp-eth0"

5.3 配置DNS解析

Linux系统的DNS解析由/etc/resolv.conf文件控制，但通常不建议直接编辑这个文件，因为它可能被网络管理服务（如NetworkManager或systemd-resolved）覆盖。

更可靠的方式是通过网络配置指定DNS服务器（如上文示例中的dns-nameservers或DNS1/DNS2参数），或者使用resolvconf工具（如果安装）。

对于使用systemd-resolved的系统（如Ubuntu 18.04+），可以这样设置DNS：

$ sudo systemd-resolve --interface=eth0 --set-dns=8.8.8.8 --set-dns=8.8.4.4

5.4 防火墙配置（iptables/nftables）

Linux内核提供了netfilter框架来实现防火墙功能，用户空间工具iptables/nftables用于配置规则。

基本iptables规则示例：

# 允许已建立的连接 $ sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT # 允许SSH连接 $ sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 允许ping $ sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT # 默认拒绝所有其他入站连接 $ sudo iptables -P INPUT DROP # 保存规则（根据发行版不同） $ sudo iptables-save > /etc/iptables/rules.v4

nftables基本配置（现代替代方案）：

$ sudo nft add table ip filter $ sudo nft add chain ip filter input { type filter hook input priority 0 \; } $ sudo nft add rule ip filter input ct state established,related accept $ sudo nft add rule ip filter input tcp dport 22 accept $ sudo nft add rule ip filter input icmp type echo-request accept $ sudo nft add rule ip filter input drop $ sudo nft list ruleset > /etc/nftables.conf

6. 高级网络配置

6.1 网络绑定（Bonding）

网络绑定（也称为链路聚合）可以将多个物理网卡组合成一个逻辑接口，提供冗余或增加带宽。

创建绑定接口：

# 加载bonding模块 $ sudo modprobe bonding # 创建绑定接口 $ sudo ip link add bond0 type bond mode 802.3ad # 添加从属接口 $ sudo ip link set eth0 master bond0 $ sudo ip link set eth1 master bond0 # 激活绑定接口 $ sudo ip link set bond0 up $ sudo ip addr add 192.168.1.100/24 dev bond0

常见的绑定模式：

• balance-rr：轮询模式，提供负载均衡和容错
• active-backup：主备模式，只有主接口工作
• 802.3ad：LACP模式，需要交换机支持

6.2 VLAN配置

VLAN（虚拟局域网）允许在单个物理网络上创建多个逻辑网络。

配置VLAN接口：

# 添加VLAN接口 $ sudo ip link add link eth0 name eth0.100 type vlan id 100 # 配置IP地址 $ sudo ip addr add 192.168.100.100/24 dev eth0.100 # 启用接口 $ sudo ip link set eth0.100 up

6.3 网络桥接

桥接用于连接不同的网络段，常见于虚拟化环境中。

创建桥接接口：

# 创建桥接接口 $ sudo ip link add name br0 type bridge # 添加物理接口到桥接 $ sudo ip link set eth0 master br0 # 配置IP地址 $ sudo ip addr add 192.168.1.100/24 dev br0 # 启用桥接 $ sudo ip link set br0 up

6.4 网络命名空间

网络命名空间（Network Namespace）是Linux内核提供的轻量级网络虚拟化功能，允许创建隔离的网络环境。

创建和使用网络命名空间：

# 创建命名空间 $ sudo ip netns add ns1 # 在命名空间中执行命令 $ sudo ip netns exec ns1 ip addr show # 创建veth对（虚拟以太网设备对） $ sudo ip link add veth0 type veth peer name veth1 # 将一个接口移到命名空间 $ sudo ip link set veth1 netns ns1 # 配置IP地址 $ sudo ip addr add 192.168.100.1/24 dev veth0 $ sudo ip link set veth0 up $ sudo ip netns exec ns1 ip addr add 192.168.100.2/24 dev veth1 $ sudo ip netns exec ns1 ip link set veth1 up

7. 网络性能调优

7.1 调整TCP参数

Linux提供了丰富的TCP调优参数，位于/proc/sys/net/ipv4/目录下。一些常用的调优选项：

# 增大TCP窗口大小 $ sudo sysctl -w net.ipv4.tcp_window_scaling=1 $ sudo sysctl -w net.ipv4.tcp_rmem="4096 87380 16777216" $ sudo sysctl -w net.ipv4.tcp_wmem="4096 65536 16777216" # 启用TCP快速打开 $ sudo sysctl -w net.ipv4.tcp_fastopen=3 # 调整TIME_WAIT状态处理 $ sudo sysctl -w net.ipv4.tcp_tw_reuse=1 $ sudo sysctl -w net.ipv4.tcp_max_tw_buckets=180000 # 使更改永久生效 $ sudo sh -c 'echo "net.ipv4.tcp_window_scaling = 1" >> /etc/sysctl.conf'

7.2 中断亲和性和多队列

在高流量场景下，网络中断处理可能成为瓶颈。可以通过设置中断亲和性和启用多队列来优化：

# 查看中断分配 $ cat /proc/interrupts | grep eth0 # 设置中断亲和性（将中断分配到特定CPU） $ echo 1 > /proc/irq/XX/smp_affinity # 启用多队列 $ sudo ethtool -L eth0 combined 4

7.3 使用ethtool优化网卡

ethtool是配置和诊断网卡的有力工具：

# 查看网卡能力 $ sudo ethtool eth0 # 启用/禁用特性 $ sudo ethtool -K eth0 gro on # 启用GRO（Generic Receive Offload） $ sudo ethtool -K eth0 lro off # 禁用LRO（Large Receive Offload） # 调整缓冲区大小 $ sudo ethtool -G eth0 rx 4096 tx 4096 # 设置自适应速率 $ sudo ethtool -s eth0 speed 1000 duplex full autoneg on

8. 网络配置持久化

前面介绍的命令大多只影响当前运行的系统，重启后会丢失。要使配置永久生效，需要根据不同Linux发行版进行配置。

8.1 Debian/Ubuntu

使用/etc/network/interfaces文件：

auto eth0 iface eth0 inet static address 192.168.1.100 netmask 255.255.255.0 gateway 192.168.1.1 dns-nameservers 8.8.8.8 8.8.4.4 up ip route add 10.0.0.0/8 via 192.168.1.2

8.2 RHEL/CentOS

使用/etc/sysconfig/network-scripts/ifcfg-eth0文件：

DEVICE=eth0 BOOTPROTO=static ONBOOT=yes IPADDR=192.168.1.100 NETMASK=255.255.255.0 GATEWAY=192.168.1.1 DNS1=8.8.8.8 DNS2=8.8.4.4

路由可以放在/etc/sysconfig/network-scripts/route-eth0文件中：

10.0.0.0/8 via 192.168.1.2

8.3 使用NetworkManager

现代发行版通常使用NetworkManager管理网络：

# 创建连接配置 $ nmcli con add con-name "static-eth0" ifname eth0 type ethernet \ ip4 192.168.1.100/24 gw4 192.168.1.1 # 设置DNS $ nmcli con mod "static-eth0" ipv4.dns "8.8.8.8,8.8.4.4" # 添加静态路由 $ nmcli con mod "static-eth0" +ipv4.routes "10.0.0.0/8 192.168.1.2" # 激活连接 $ nmcli con up "static-eth0"

8.4 systemd-networkd

使用systemd-networkd的发行版（如CoreOS、Arch Linux等）可以这样配置：

/etc/systemd/network/20-wired.network:

[Match] Name=eth0 [Network] Address=192.168.1.100/24 Gateway=192.168.1.1 DNS=8.8.8.8 DNS=8.8.4.4

然后启用并启动服务：

$ sudo systemctl enable systemd-networkd $ sudo systemctl start systemd-networkd

9. 常见问题排查

9.1 网络接口不工作

检查步骤：

1. 确认接口已启用：ip link show eth0
2. 检查物理连接：ethtool eth0
3. 查看内核日志：dmesg | grep eth0
4. 检查驱动：lspci -k | grep -A 3 -i ethernet

9.2 无法获取DHCP地址

排查方法：

# 手动运行DHCP客户端并查看输出 $ sudo dhclient -v eth0 # 检查DHCP服务器是否可达 $ sudo tcpdump -i eth0 -n port 67 or port 68

9.3 DNS解析失败

诊断步骤：

# 测试DNS解析 $ dig @8.8.8.8 example.com # 检查/etc/resolv.conf $ cat /etc/resolv.conf # 检查DNS配置来源 $ sudo systemd-resolve --status

9.4 路由问题

排查方法：

# 查看路由表 $ ip route show # 追踪路由 $ traceroute -n 8.8.8.8 # 检查防火墙规则 $ sudo iptables -L -n -v

9.5 连接速度慢

诊断工具：

# 测试带宽 $ iperf3 -c speedtest.server # 检查网络统计 $ ip -s link show eth0 # 检查TCP重传 $ ss -ti

10. 实用技巧和最佳实践

10.1 使用别名简化常用命令

在~/.bashrc中添加：

alias ips='ip -c addr show' # 彩色输出IP地址 alias routes='ip -c route show' # 彩色输出路由表 alias lports='ss -tulnp' # 列出监听端口 alias conns='ss -tanp' # 查看活动连接

10.2 网络配置检查清单

在修改网络配置前：

1. 确保你有替代的访问方式（如控制台访问）
2. 备份当前配置
3. 准备好恢复命令
4. 在非生产环境测试变更

10.3 使用网络配置生成工具

对于复杂配置，可以使用工具生成配置：

# 生成bonding配置 $ sudo nmcli con add type bond ifname bond0 mode 802.3ad # 生成VLAN配置 $ sudo nmcli con add type vlan ifname eth0.100 dev eth0 id 100

10.4 网络配置文档化

记录网络配置的详细信息：

• IP地址分配
• VLAN划分
• 路由策略
• 防火墙规则
• 特殊配置（如QoS、流量整形）

可以使用工具自动生成文档：

# 生成网络配置摘要 $ ip addr show > network-config.txt $ ip route show >> network-config.txt $ iptables-save >> network-config.txt

10.5 定期网络健康检查

设置定期任务检查网络状态：

# 每天检查网络连通性 $ crontab -e 0 3 * * * /usr/bin/ping -c 4 8.8.8.8 > /var/log/network-check.log 2>&1

10.6 使用版本控制管理网络配置

将网络配置文件纳入版本控制：

$ sudo mkdir /etc/network/.git $ sudo git --git-dir=/etc/network/.git --work-tree=/etc/network init $ sudo git --git-dir=/etc/network/.git --work-tree=/etc/network add interfaces $ sudo git --git-dir=/etc/network/.git --work-tree=/etc/network commit -m "Initial network config"

11. 安全注意事项

11.1 最小权限原则

• 只开放必要的网络服务
• 使用最小权限账户运行服务
• 限制管理接口的访问

11.2 防火墙配置

• 默认拒绝所有入站连接
• 只允许必要的端口和服务
• 限制源IP范围（如只允许管理IP访问SSH）

11.3 SSH安全

• 禁用root登录：PermitRootLogin no
• 使用密钥认证：PasswordAuthentication no
• 限制用户：AllowUsers adminuser
• 更改默认端口：Port 2222

11.4 定期更新

• 保持系统和网络工具更新
• 订阅安全公告
• 定期审计网络配置

11.5 网络监控

• 监控异常连接
• 记录重要网络事件
• 设置警报阈值（如带宽使用率、错误率）

12. 结语

Linux网络配置是一个深广的领域，从基本的IP地址配置到复杂的策略路由、网络虚拟化，再到性能调优和安全加固。掌握这些技能需要理论学习和实践经验的结合。

我在实际工作中发现，理解Linux网络栈的工作原理比记忆具体命令更重要。当遇到网络问题时，从底层开始逐层排查（物理层→链路层→网络层→传输层→应用层）往往是最有效的方法。

建议从简单的家庭实验室开始实践：配置静态IP、设置路由、创建VLAN和网络桥接，然后逐步尝试更高级的功能如绑定、网络命名空间等。现代Linux发行版提供了强大的网络功能，只要掌握了基本原理和工具，就能构建出灵活高效的网络环境。