如何在 Rocky Linux 9 中配置内网和外网的流量隔离？

在Rocky Linux 9中实现内网外网流量隔离，建议采用三层架构：1. 网络层隔离：通过双网卡绑定不同路由表，使用ip rule创建策略路由，为内网接口(如ens192)和外网接口(ens224)分别配置独立路由规则；2. 防火墙隔离：采用firewalld的zone隔离，将内网接口加入trusted zone允许全通，外网接口配置public zone严格限制端口；3. 内核级防护：启用rp_filter严格反向路径校验，通过sysctl设置net.ipv4.conf.all.rp_filter=1防止IP欺骗。建议配合NetworkManager持久化配置，并通过systemd-networkd实现策略路由的启动加载。

在Rocky Linux 9中实现内外网流量隔离，建议通过以下步骤实施：

1. 双网卡架构：为服务器配置两块物理网卡（如ens192外网、ens224内网），通过硬件层面实现物理隔离。

2. 路由策略配置：

   • 外网网卡设置默认路由：ip route add default via 外网网关 dev ens192
   • 内网网卡添加静态路由：ip route add 10.0.0.0/8 via 内网网关 dev ens224

3. 防火墙强化：

   firewall-cmd --permanent --zone=public --add-interface=ens192
   firewall-cmd --permanent --zone=internal --add-interface=ens224
   firewall-cmd --zone=public --add-rich-rule='rule family=ipv4 source address=10.0.0.0/8 drop' --permanent

4. 内核参数调优：

   net.ipv4.conf.ens192.rp_filter = 1
   net.ipv4.conf.ens224.accept_redirects = 0

5. SELinux策略：启用SELinux并设置网络上下文隔离，禁止跨域通信。

6. 服务绑定限制：关键服务（如数据库）应绑定内网IP，通过ss -tuln验证监听地址。

建议配合Ansible实现配置自动化，并通过tcpdump定期抓包审计。对于云环境，需额外配置安全组规则与VPC路由表联动。

为什么不尝试使用网络命名空间（network namespaces）来彻底隔离内外网流量，或者是否了解过策略路由（policy routing）的应用场景？

在Rocky Linux 9中，可通过配置双网卡并利用firewalld分别设置内/外网区域，结合路由表规则实现流量隔离。使用nmcli为不同接口分配独立网关及防火墙策略，限制内外网互访。