对称与非对称IP路由是网络领域中重要的概念，但在更广泛的社区中可能并不为人所熟知。本文将从传统IP路由的工作原理出发，深入解析对称与非对称IP路由的机制、数据以及取舍。
非对称路由机制
在传统的IP路由中，数据包的发送是基于目标IP地址的。如果目标IP地址属于直接连接的网络，数据包会被发送到相应的接口。如果存在针对目标IP地址的特定路由，数据包会被发送到该路由指定的网关。如果没有其他路由可用，数据包会被发送到默认路由的网关，或者在没有默认路由的情况下被丢弃。然而，对于多宿主主机，即具有多个接口和IP地址的主机，这种路由方式可能会导致同一连接（或流）的出站和入站数据包使用不同的接口。例如，一个主机具有两个接口和每个接口的IP地址，分别为10.20.0.10（在10.20.0.0/16网络中）和192.168.100.1（在192.168.100.0/24网络中）。默认路由为192.168.100.254，没有其他特殊路由。在两种情况下，入站和出站数据包之间会出现差异。首先，如果不在10.20.0.0/16网络中的任何主机ping 10.20.0.10 IP地址，回复将使用默认路由并通过192.168.100.0/24网络接口发送（尽管来自10.20.0.10）。其次，如果在10.20.0.0/16网络中的主机ping 192.168.100.1 IP地址，回复将直接通过10.20.0.0/16接口发送，尽管来自192.168.100.1。这两种情况都是非对称路由的例子，其中数据包在一个方向上通过网络采取的路径与另一个方向不同。在一个完全可靠且没有特殊功能的网络中，非对称路由是按照预期工作的，IP数据包采取系统认为最有效的可用路径到达目的地。然而，在网络中存在防火墙和某些路径上的故障时，非对称路由可能导致人为的连接故障（或隐藏它们）。特别是在有状态防火墙的情况下，因为防火墙只能看到对话的一半，通常会阻止它。
对称路由机制
在对称路由中，我们通过某种方式确保数据包在所有这些情况下都采取相同的路径。这意味着无论数据包是入站还是出站，它们都会遵循相同的路由规则。对称路由有助于确保网络连接的稳定性和一致性，特别是在需要防火墙和其他安全措施的网络中。通过对称路由，可以避免由于非对称路由可能引起的人工连接故障，同时确保数据包在两个方向上都能安全地通过网络。
实际意义
对于运维和网络工程师来说，理解对称与非对称IP路由的机制对于设计和维护网络至关重要。通过对这些概念的了解，工程师可以更好地识别和解决网络中的潜在问题，确保数据包的可靠传输，并提高网络的整体性能和安全性。对称路由的使用有助于减少网络故障的可能性，并确保防火墙和其他安全措施能够有效地工作，从而保护网络不受未授权访问和攻击。
原文: APNIC Blog（2022-08-01）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog