单台虚拟机挂两张以上网卡很常见，一张接管理通道、一张接业务。这种结构下如果代理IP线路只配在系统层，两条通道会走同一条出口，管理流量和业务流量混在一起。代理IP线路在多网卡环境里要按网卡分别指定路径，而不是给整个系统设一个统一的出口。本文讲分离的做法和三个容易出错的环节。
按网卡分离的三层做法与验证
第一层是路由归属。每张网卡有自己的默认网关与路由表，分离的前提是让业务网卡的流量只走业务网卡出去，管理流量只走管理网卡。这一步在虚拟机内部完成，做法是按目标地址或者按来源端口段做策略路由，把两类流量指向各自的网关。路由归属没做对时，后面两层怎么配都白搭，因为它决定了流量从哪张网卡发出。
第二层才是代理参数。业务网卡对应的出口挂代理IP线路，管理网卡不挂。关键区别在于：代理参数要绑定在具体的应用或者进程上，而不是写在系统全局设置里。全局设置会把管理通道上的进程也一并带进线路，一旦线路不稳定，设备会同时失去管理能力——业务中断和设备失联叠在一起，处置难度成倍上升。把代理参数限定到业务进程，是多网卡分离能成立的核心一步。
第三层是验证方式。验证要分两个方向做：从业务进程发起查询请求，确认出口是代理IP线路预期的归属；从管理通道发起同样查询，确认出口是原始地址而不是线路出口。两个方向各做一次，比只看业务侧一次更能说明问题。很多环境只验证了前者，管理侧悄悄被带走，直到某次线路异常时设备失联才发现。
多网卡环境还有一个容易被忽略的点：地址池冲突。两张网卡如果处在同一网段，路由归属会不稳定，流量可能从任意一张出去。分离的前提是两张网卡处在不同网段，这一点在虚拟机模板里要固定下来，因为按模板批量建的虚拟机通常会复制同一个网段设置。模板改一次，比事后逐台调整省事得多。
另外要处理默认网关的优先级问题。系统通常只认一个默认网关，两张网卡都设了默认时，实际生效的是优先级更高的那个。分离做法是只给业务网卡设默认网关，管理网卡不设默认，只保留到管理地址段的路由。这样管理流量有明确去处，业务流量不会因为管理网关的存在被分走一部分。
最后是长期维护。多网卡结构一旦定了，新增应用时要明确它归哪一类流量，归错了就等于把管理流量带进了代理IP线路。建议把归属写进应用创建流程里作为必填项，而不是靠运维人员自己判断。判断标准也简单：这个应用是不是需要在业务线路中断时仍然可达，需要就归管理侧，不需要就归业务侧。按这一条问一遍，绝大多数新应用的归属都能直接定下来，不需要额外讨论。
问：只有一张网卡能不能做类似分离？
可以做进程级的分离，但没有物理隔离的效果。单网卡下管理流量和业务流量仍然共用同一条链路，线路中断时两者一起断，分离只能避免归属混淆，不能避免同时失联。
问：分离配置改动后要重启虚拟机吗？
策略路由改动通常立即生效，代理参数按进程限定的部分需要重启对应服务。不必整机重启，但改完之后要按两个方向各验一次，确认生效范围和预期一致。