转发设备不会凭感觉决定数据往哪走，它背后有一整套规则在指挥。这些规则从哪里来、由谁维护，决定了转发的行为边界，也解释了为什么同样的流量在不同设备、不同代理IP链路上的待遇不同。
这篇把转发规则的几大来源挨个数一遍。
路由表：往哪个方向走
路由表是转发设备的「方向手册」：里面记录着去往某个网段该走哪条路。设备收到数据，查表找到对应方向，就把数据交给那一跳。
路由表不是静态的：设备之间会互相交换可达性信息，自动增删条目。哪条路断了，表会自动更新，数据改走备用路，运维不必逐台手动改。
路由表也有翻车的时候：更新过程中如果出现信息不一致，可能让数据在设备之间来回打转，这就是路由环路。好在协议设计了防环机制，配合寿命字段，环路通常撑不了多久就会被拆穿。
防火墙规则：让不让过
方向之外还有「放行」问题：数据该往那个方向去，不等于一定能去。防火墙规则决定哪些流量被允许通过、哪些被拦下，它是转发的闸门。
规则写的是条件组合：来源、目标、端口、协议，满足条件就放行或拦截。顺序很关键——先命中的规则生效，规则顺序排错，放行和拦截的结果可能完全颠倒。
防火墙规则还有个常见误区：以为规则越多越安全。其实规则越多、顺序越乱，越容易出错和拖慢转发。简洁清晰的规则表，往往比庞大冗余的规则表更可靠。
代理规则：替谁转、往哪转
代理IP客户端的规则决定两类事：哪些流量走代理、走到哪个出口。规则可以按应用、按域名、按地址段划分，粒度不同，灵活度也不同。
代理规则还有一个维度是「选路」：同一个代理服务可能提供多个出口位置，规则可以指定某类流量固定走某个地区出口。规则定得细，出口安排就精准；定得粗，流量就一窝蜂走默认出口。
代理IP规则的粒度，直接决定出口利用效率：规则太粗，所有流量挤同一个出口，忙闲不均；规则太细，维护成本高还容易配错。找到适合自己的粒度，是代理IP配置的长期功课。
三类规则怎么配合
一次访问要同时满足三类规则：路由表决定大方向，防火墙决定放不放行，代理规则决定走不走代理、走哪个出口。任何一类不满足，访问就可能失败或走偏。
排查「明明配置了代理却没用」时，按三类规则依次检查：路由对吗？防火墙放行了吗？代理规则覆盖到这条流量了吗？三类都过，流量才真正听话。
方向看路由、放行看防火墙、走向看代理规则——三层规则各司其职，转发行为就是它们的合力，代理IP链路的走向也由这套合力决定。
给规则做定期体检是个好习惯：不用的条目及时清理，过期的规则及时更新，代理IP链路的出口安排也跟着业务走，流量管理才不会变成一团乱账。
规则来源里还有一类容易被忽略的：动态下发。大型网络里，规则常由中心统一生成、自动下发给各设备，保证全网口径一致。家用网络和代理IP链路则更依赖本地配置，改一处只影响一处，各有各的适用场景。