搞过Linux网络的人都绕不开网桥尤其是玩虚拟化、容器、或者公司服务器上做KVM虚拟机的朋友。你装好一台Ubuntu或者CentOS之后用brctl addbr br0或者ip link add br0 type bridge把物理网卡和虚拟网卡搭到一起虚拟机就能直接走物理网络了。但是有个容易翻车的环节网桥配置好了一重启机器就全部失效又得手动敲一遍命令。这个坑我踩过很多次所以今天就把Linux创建操作网桥的两种命令、它们之间的差异以及怎么把配置持久化保留下来一次性讲清楚。这篇文章适合刚接触Linux网络的新手也适合那些已经在用网桥但没搞明白持久化逻辑的运维朋友。1. 网桥到底是个什么东西1.1 用大白话理解网桥的作用网桥工作在OSI模型的第二层也就是数据链路层。它的核心任务是根据MAC地址做帧转发。你可能听说过交换机网桥本质上就是一个软件实现的交换机。它把多个网络接口连接起来让它们处于同一个广播域中。比如你的物理网卡eth0连接着公司局域网虚拟机有一块虚拟网卡veth0你把这两块网卡都塞进网桥br0那虚拟机就相当于直接插在了公司局域网的交换机上它拿到的IP、所在的网段跟你的物理机完全一致。这个特性非常有用。如果不用网桥虚拟机一般走NAT模式只有宿主机能访问虚拟机外部设备看不到虚拟机。而用网桥之后虚拟机就像一台独立的物理机器同事可以直接ping通你虚拟机里的服务不需要额外做端口映射。1.2 网桥的典型应用场景最常见的场景就是KVM/QEMU虚拟化。你创建虚拟机的时候用--network bridgebr0指定网桥虚拟机就能跟宿主机共享物理网络。第二个常见场景是Docker默认的docker0网桥它把容器连接在同一个虚拟二层网络中。第三个场景是跨主机容器通信比如Flannel的host-gw模式或者Kubernetes的CNI插件底层也会用到Linux网桥。除了这些网桥还能用来做链路聚合的辅助手段或者搭建实验网络环境。1.3 网桥、交换机、路由器不要混淆很多人刚接触时容易把这三个概念搞混。网桥和交换机都是二层设备靠MAC地址转发不关心IP地址。路由器是三层设备靠IP地址做路由决策。网桥与交换机的区别只是规模网桥一般端口少交换机端口多。而Linux网桥是纯软件的你给它添加多少个接口都行它内部维护着一张MAC地址转发表数据帧进来之后查表决定从哪个端口发出去。如果查不到目标MAC它会向所有端口广播除了收到帧的那个端口。2. 创建网桥的两种命令对比2.1 brctl命令老牌工具依然能打brctl来自bridge-utils软件包这是Linux最传统的网桥管理工具。在Ubuntu/Debian上你需要先安装它sudo apt update sudo apt install bridge-utils在CentOS/RHEL上则是sudo yum install bridge-utils虽然现在很多教程推荐用ip命令但brctl仍然有它的价值尤其在脚本里、在老系统上或者你只想快速看一眼网桥的转发表时它非常顺手。以下是它最常用的操作# 创建网桥 sudo brctl addbr br0 # 把网卡添加到网桥 sudo brctl addif br0 eth0 # 把网卡从网桥移除 sudo brctl delif br0 eth0 # 删除网桥需要先移除所有网卡 sudo brctl delbr br0 # 查看网桥列表 sudo brctl show # 查看网桥的MAC地址转发表 sudo brctl showmacs br0 # 开启或关闭生成树协议 sudo brctl stp br0 on sudo brctl stp br0 off注意删网桥之前得先确保网桥里面没有接口否则会报错Device or resource busy。同样brctl delif移除某个接口前最好先把该接口从网桥里拿出来否则也会遇到资源占用的问题。2.2 ip命令iproute2体系下的新一代操作方式ip命令来自iproute2软件包是现在所有主流Linux发行版默认安装的网络管理工具。它的好处是你不需要额外装任何东西语法也统一。创建和操作网桥的对应命令如下# 创建名为br0的网桥 sudo ip link add br0 type bridge # 将eth0添加到网桥 sudo ip link set eth0 master br0 # 将eth0从网桥移除 sudo ip link set eth0 nomaster # 查看网桥信息 sudo ip link show br0 sudo ip link show master br0 # 启动或关闭网桥 sudo ip link set br0 up sudo ip link set br0 down # 删除网桥 sudo ip link delete br0 # 开启关闭STP生成树协议 sudo ip link set br0 type bridge stp_state 1 sudo ip link set br0 type bridge stp_state 0 # 设置网桥转发延迟单位秒 sudo ip link set br0 type bridge forward_delay 2从这些命令可以看出ip命令的语法更系统把网桥当成一个复合对象来管理。而且它支持的新特性更多比如VLAN过滤、组播快速离开等高级功能这些都是老旧的brctl做不到的。2.3 一份完整的创建示例与验证步骤我建议你在实际环境中动手操作一遍把步骤跑通。假设服务器上有eth0和eth1两块物理网卡要把它们桥接起来# 第一步创建网桥 sudo ip link add br0 type bridge # 第二步把网卡加入网桥 sudo ip link set eth0 master br0 sudo ip link set eth1 master br0 # 第三步把所有接口启用 sudo ip link set eth0 up sudo ip link set eth1 up sudo ip link set br0 up # 第四步给网桥配置IP地址原物理网卡IP需要移除 sudo ip addr flush dev eth0 sudo ip addr flush dev eth1 sudo ip addr add 192.168.1.10/24 dev br0 # 第五步验证 ip link show br0 ip addr show br0验证的时候可以多看一眼bridge link的输出这是比brctl show更详细的一个命令$ bridge link show 2: eth0: BROADCAST,MULTICAST,UP,LOWER_UP mtu 1500 master br0 state FORWARDING priority 32 cost 4 3: eth1: BROADCAST,MULTICAST,UP,LOWER_UP mtu 1500 master br0 state FORWARDING priority 32 cost 4只要看到master br0和state FORWARDING就说明接口已经成功桥接并且处于转发状态。2.4 两种命令到底选哪个我个人的建议是优先使用ip命令。原因是iproute2是所有Linux发行版统一标配的写脚本时不用担心目标机器有没有装bridge-utils。而且ip命令支持的功能更全面比如你要配置网桥的VLAN过滤、组播快速离开这些特性brctl根本碰不了。brctl目前处于维护但不再积极发展新功能的状态它的优势在于查看转发表比较直观以及一些老运维习惯用它。下表是两者的对比功能点brctlip命令安装依赖需要bridge-utilsiproute2默认安装创建网桥brctl addbr br0ip link add br0 type bridge添加接口brctl addif br0 eth0ip link set eth0 master br0移除接口brctl delif br0 eth0ip link set eth0 nomaster删除网桥brctl delbr br0ip link delete br0查看转发表brctl showmacs br0bridge fdb showSTP开关brctl stp br0 on/offip link set br0 type bridge stp_state 1/0VLAN过滤不支持支持vlan_filtering参数语法标准化程度独立工具风格与iproute2体系集成3. 如何让网桥配置重启后依然生效3.1 为什么临时命令重启后会消失网桥配置写在内存里它不涉及磁盘上的配置文件。每次系统重启内核重新加载内存里的网桥也没了。而且现代Linux发行版都有一套网络管理服务比如NetworkManager、systemd-networkd或者ifupdown它们负责按配置文件恢复网络接口状态。但你手动敲的ip命令并不会自动写入这些配置所以重启后一切归零。想持久化就得把配置落盘并且放进网络管理工具的配置体系里。3.2 Debian/Ubuntu的/etc/network/interfaces方案Debian和Ubuntu传统上使用/etc/network/interfaces配合ifupdown来管理网络。如果你装的是桌面版UbuntuNetworkManager可能接管了网卡此时用这个文件配置网桥需要小心处理冲突建议先确认当前启用的是哪个网络管理服务。对于服务器版Ubuntu/etc/network/interfaces还是一个很干净的选择。配置文件如下# /etc/network/interfaces # 配置桥接物理接口 auto br0 iface br0 inet static address 192.168.1.10 netmask 255.255.255.0 gateway 192.168.1.1 dns-nameservers 8.8.8.8 bridge_ports eth0 eth1 bridge_stp off bridge_fd 0 bridge_maxwait 0这里的关键点是bridge_ports、bridge_stp、bridge_fd这些选项是bridge-utils提供的钩子函数解析的。如果系统里没装bridge-utils这些选项不会被识别网桥虽然可能建起来但桥接的端口不会自动添加。所以Debian/Ubuntu下用这种方式持久化先装bridge-utils是必须的前置步骤。配置写完之后重启网络服务sudo systemctl restart networking或者针对单个接口重启sudo ifdown br0 sudo ifup br03.3 使用NetworkManager的nmcli命令行方案现在Ubuntu桌面版和很多RHEL系发行版默认用NetworkManager管理网络。NetworkManager也能管理网桥但你需要用nmcli命令来创建连接配置而不是把配置写在/etc/network/interfaces里。首先确保NetworkManager支持桥接现代版本默认支持# 创建网桥连接 sudo nmcli connection add type bridge ifname br0 con-name br0 ipv4.method manual ipv4.addresses 192.168.1.10/24 ipv4.gateway 192.168.1.1 ipv4.dns 8.8.8.8 # 创建绑定到网桥的以太网从属连接 sudo nmcli connection add type ethernet ifname eth0 con-name br0-port-eth0 master br0 sudo nmcli connection add type ethernet ifname eth1 con-name br0-port-eth1 master br0 # 启用网桥连接 sudo nmcli connection up br0有一点需要特别说明NetworkManager的网桥从属连接master参数指定的是网桥的连接名con-name而不是网桥接口名。如果你在配置完物理网卡后发现原来连接物理网卡的连接配置还在得把它禁用掉否则可能出现IP漂移或冲突# 查看当前所有连接 sudo nmcli connection show # 禁用原来管理eth0的连接 sudo nmcli connection down Wired connection 1 sudo nmcli connection delete Wired connection 1NetworkManager的配置会持久化到/etc/NetworkManager/system-connections/目录下重启后会自动恢复。这种方式适合桌面版或者使用NetworkManager作为主网络管理器的环境。3.4 使用systemd-networkd方案systemd-networkd是systemd生态里的网络管理器它的配置风格是声明式的通过.netdev文件和.network文件来描述网络拓扑。这种方式在较新的Ubuntu Server、Debian、Arch等系统上很流行因为它不需要额外安装任何包systemd内置。首先确保systemd-networkd服务已启用sudo systemctl enable --now systemd-networkd然后创建网桥定义文件/etc/systemd/network/br0.netdev[NetDev] Namebr0 Kindbridge接着给网桥配置IP地址创建/etc/systemd/network/br0.network[Match] Namebr0 [Network] Address192.168.1.10/24 Gateway192.168.1.1 DNS8.8.8.8最后用.network文件把物理网卡绑定到网桥上。创建/etc/systemd/network/eth0.network和/etc/systemd/network/eth1.network[Match] Nameeth0 [Network] Bridgebr0[Match] Nameeth1 [Network] Bridgebr0配置完成后重启systemd-networkdsudo systemctl restart systemd-networkd这里面有一个坑.network文件的[Match]部分不要匹配到网桥接口本身否则会出现循环绑定。比如你不能写Nameeth*因为网桥接口名br0不属于eth*所以没问题但如果你的网桥名叫ethbr0之类包含eth的就可能被误匹配。建议命名时区分开。3.5 发行版差异再补充再补充一下RHEL/CentOS 7及以前网桥持久化通常写在/etc/sysconfig/network-scripts/ifcfg-br0DEVICEbr0 TYPEBridge BOOTPROTOstatic IPADDR192.168.1.10 NETMASK255.255.255.0 GATEWAY192.168.1.1 ONBOOTyes而物理网卡配置则要加上BRIDGEbr0DEVICEeth0 TYPEEthernet BOOTPROTOnone ONBOOTyes BRIDGEbr0在CentOS 8/9、Rocky Linux、AlmaLinux上NetworkManager成了主导你可以用nmcli方式脚本化程度更高。关键是你要先弄清楚系统用哪个网络管理框架再选择对应的持久化方案否则很容易出现配置冲突比如NetworkManager启动后直接接管接口你写在/etc/network/interfaces里的配置根本不生效。4. 常见问题与排查技巧4.1 网桥配置不生效排查清单根据我踩过的坑整理出下面这个速查表几乎覆盖了90%的网桥配置问题症状可能原因排查方法brctl: command not found未安装bridge-utilsapt install bridge-utils或yum install bridge-utils添加接口报Operation not permitted权限不足或内核模块未加载sudo modprobe bridge确认在root下执行添加接口后网络不通物理接口IP未清除、网桥未配置IP、STP阻塞检查ip addr确认IP在br0上查看bridge link确认端口状态重启后网桥消失未配置持久化或网络管理服务冲突确认使用正确的持久化方式检查NetworkManager和systemd-networkd状态虚拟机无法访问外网iptables的FORWARD链默认DROPsysctl net.ipv4.ip_forward1调整FORWARD链策略网桥端口状态一直BLOCKINGSTP状态机未收敛或网络中真的存在环路单网桥场景直接关闭STP设stp_state 0配置了/etc/network/interfaces但重启不生效系统实际使用NetworkManager查看NetworkManager接管状态改用nmcli连接配置4.2 转发延迟导致虚拟机开机等待你创建好网桥虚拟机启动时可能卡在等待网络就绪阶段要等30秒甚至更久问题多半出在网桥的转发延迟上。网桥默认开启STP时转发延迟一般是15秒这会导致端口从listening到learning再到forwarding总共需要30秒。在无环路的网络环境里这个延迟毫无意义纯浪费时间。解决方法是关掉STP并把转发延迟设为0sudo ip link set br0 type bridge stp_state 0 sudo ip link set br0 type bridge forward_delay 0在/etc/network/interfaces里对应就是bridge_stp off和bridge_fd 0。如果通过systemd-networkd则在.netdev文件里加[Bridge] STPno ForwardDelaySec04.3 桥接后宿主机无法上网的一个实战案例有一次我在一台Ubuntu服务器上做KVM桥接按部就班创建了br0把eth0加了进去给br0配了IP。结果宿主机立刻ping不通网关但虚拟机反而能上网。你猜问题出在哪问题在于iptables。当时这台服务器上跑了DockerDocker会修改iptables的FORWARD链策略默认变成DROP。数据包从br0进来要转发到eth0出去经过FORWARD链时直接被DROP了。解决方法是显式放行网桥转发流量sudo iptables -A FORWARD -i br0 -o br0 -j ACCEPT sudo iptables -A FORWARD -i br0 -o eth0 -j ACCEPT sudo iptables -A FORWARD -i eth0 -o br0 -j ACCEPT还有内核参数net.bridge.bridge-nf-call-iptables它控制了桥接的IPv4流量是否经过iptables。如果你不想让桥接流量被iptables规则过滤可以关掉它sudo sysctl -w net.bridge.bridge-nf-call-iptables0但要注意Docker在某些网络模式下依赖这个参数改之前先评估环境。更稳妥的做法是精确配置iptables规则而不是一刀切关掉桥接过滤。4.4 查看网桥转发表来定位通信问题网桥出问题时最容易被忽略的诊断工具是bridge fdb show。它能显示网桥学习到的MAC地址和端口映射关系。如果发现某台设备的MAC地址在转发表里反复横跳从端口A跳到端口B说明网络里存在环路或者网桥VLAN配置错了。# 查看网桥的MAC转发表 $ bridge fdb show br0 00:11:22:33:44:55 dev eth0 master br0 permanent aa:bb:cc:dd:ee:ff dev vnet0 master br0第一行带permanent标记的通常是网桥自身或手动添加的静态条目第二行不带标记的是动态学习到的条目。虚拟机对应的MAC如果出现在转发表里说明虚拟机网卡和网桥的通信正常。如果完全看不到虚拟机MAC那问题可能出在虚拟机的虚拟网卡连接上而不是网桥本身。4.5 网桥命名和批量操作的注意事项网桥命名看起来是小事实际上踩坑的人不少。第一不要用eth开头的名字比如ethbr0容易和系统里已有的物理网卡命名冲突也会导致systemd-networkd的[Match]规则误匹配。第二创建网桥之前先检查名字是否被占用$ ip link show br0 Device br0 does not exist.如果存在先删除旧的网桥或者换个名字。第三批量操作多个网桥时循环里注意判断返回值比如下面这段简单的批量创建脚本#!/bin/bash for br in br0 br1 br2 do if ip link show $br /dev/null 21 then echo $br 已存在跳过 else ip link add $br type bridge ip link set $br up echo $br 创建完成 fi done不加这个判断脚本第二次执行就会报错给自动化运维埋下隐患。5. 实际操作中的一点个人体会折腾网桥这么多年我最大的感受是先把网络管理框架搞清楚比背命令更重要。你在Ubuntu桌面版上按照网上教程改/etc/network/interfaces配网桥配完了发现重启无效不是命令错了而是你的系统根本没用ifupdownNetworkManager把网络配置接管了。你得先确认系统用的哪一套网络管理工具是NetworkManager、systemd-networkd还是ifupdown再用对应的持久化方式去配。还有一个心得是创建网桥前先想清楚要不要STP。只有一个网桥、没有物理环路的环境果断关掉STP把转发延迟设置为0。这样虚拟机启动速度能快不少排查问题时也能减少端口处于BLOCKING状态这个干扰项。如果你是在生产环境操作我的建议永远是分两步走先用ip命令临时创建网桥验证网络连通性正常确认无误后再把配置写到持久化配置文件中去。不要一上来就改配置文件然后重启网络服务万一配置有误远程连接直接断掉你就要去机房或者靠带外管理口收拾残局了。