① 项目背景：一台笔记本插两根网线，路由打架
稀土大厦某单位，涉密办公用银河麒麟 V10 SP1，机器双网口：内网 10.20.0.0/16 走 eth0，外网 192.168.1.0/24 走 eth1。用户一切换就断，要么内网打不开 OA，要么外网查不了资料。IT 之前做了两条默认路由，metric 一样，全靠运气。
② 咨询设计：默认路由只能有一条
方案：默认路由只指向外网网关，内网明细路由 10.20.0.0/16 指向内网网关，再加 172.16.0.0/12 与 10.0.0.0/8 的例外表。用 NetworkManager 的 connection profile 固化，不写 rc.local。DNS 分域：内网域名走内网 DNS（10.20.0.10），其余走 223.5.5.5，用 systemd-resolved 的 split DNS 或 dnsmasq 条件转发。
③ 施工规划：双网的物理与切换
两个网口用不同颜色标签，网线走桌下理线槽，避免插错。切换不拔线，用 nmcli connection up/down 控制，桌面放两个脚本图标。稀土大厦这栋楼晚上断电检修频繁，BIOS 里设来电自启，NM 设 autoconnect 优先级：内网 10、外网 20。麒麟的防火墙 firewalld 默认 zone 要区分，eth0 进 internal，eth1 进 public。
④ 安全补丁：双网机最怕变成网闸
双网口同时 up，机器就是一台软路由，内网能被外网反向渗透。我加了 nftables 规则：禁止 eth1 到 eth0 的 forward，只允许本机发起的连接回包；关掉 ip_forward；USB 口做设备白名单。很多单位觉得物理隔离就安全，但实际上双网卡机器默认转发开着，一台中毒笔记本就能把两边打通。
⑤ 验收交付：双向业务验证
内网 OA、公文交换、打印服务器全部可达，平均延迟 3ms；外网网页、邮件正常，DNS 解析无泄漏；断外网线后内网业务不中断。连续切换 50 次无异常。给使用人做了图文操作卡，贴在显示器边框上。
还处理了两个坑：一是内网打印机的驱动只有 Windows 版，用 CUPS 加 foo2zjs 通用驱动，A4 能打但双面失效；二是麒麟自带的输入法与 OA 控件冲突，换成 fcitx5 后正常。路由用 ip route 固化在 NM dispatcher 里，重启不丢。测了 iperf3，内网 940Mbps，外网 92Mbps，符合链路规格。
还有两个细节：双网卡机器 BIOS 里关 PXE，防网络引导绕过登录；麒麟开 auditd，记录 sudo 与文件访问，日志送内网 syslog。切换脚本加了校验，检测到两条默认路由就拒绝执行，不再靠运气。网线标签用标签机打，两端一致。
另外把 systemd-resolved 的 DNSSEC 关掉，内网 DNS 不返回 RRSIG，开着会解析失败，表现为部分网站打不开。
⑥ 售后承诺：信创这套我们熟
麒麟、统信、达梦、金仓的适配我们都做过，包头本地 2 小时到场，17704868686。切换脚本别自己改，改坏了内外网都上不去。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）