概述 前文的提出的基于源IP的策略路由方案存在未解决的问题，即，无法访问docker映射出的端口，因为docker会再次进行NAT操作，导致回包源IP变为docker容器内部ip而非10.0.0.2，不能被策略路由匹配；而基于连接标记（CONNMARK）的策略路由存在同样缺陷 前文还提到了基于arp proxy的二层方案，而随着云服务商大量使用VP…