对于拥有多个独立品牌或业务线的企业而言，在单一物理服务器上部署多个网站是常见的运维需求。然而，简单的多站点搭建往往忽略了“出站流量”的IP一致性，导致搜索引擎或风控系统检测到不同域名使用相同的出口IP进行数据交互，从而产生关联风险。本文将指导您如何在站群独立IP服务器如何搭建多站点的基础上，进一步实施基于Nginx SNI与iptables的深层隔离方案。
适用对象与前置条件
本教程适用于具备基础Linux运维知识的管理员、开发者及建站团队。在执行以下操作前，请确保您的服务器环境满足以下条件：
- 操作系统为CentOS 7+/8+、Ubuntu 18.04+或Debian 10+等主流Linux发行版。
- 已安装Nginx Web服务器，且版本支持SNI（绝大多数现代版本均支持）。
- 服务器已分配多个独立的公网IPv4地址，且这些IP已正确配置在网络接口上。
- 拥有root权限或sudo权限，以便修改网络路由表和防火墙规则。
核心原理：为何需要双向IP隔离
传统的多站点配置通常只关注“入站”流量，即用户访问域名时，DNS解析到正确的IP，Nginx根据Host头返回对应的网站内容。但在实际业务中，网站后端可能需要发起对外请求（如调用第三方API、抓取数据、发送 webhook 等）。如果所有站点的出站流量都默认使用服务器的主IP，那么在第三方服务的日志中，这些不同域名的业务将共享同一个出口IP，极易被判定为同一控制主体。
双向隔离要求：
- 入站隔离：用户访问 siteA.com 时，必须通过 IP_A 进入服务器。
- 出站隔离：siteA.com 的后端程序发起外部请求时，必须从 IP_A 发出。
步骤一：Nginx SNI配置实现入站精准绑定
SNI（Server Name Indication）是TLS协议的扩展，允许服务器在同一IP和端口上托管多个SSL证书。但在多IP场景下，我们更倾向于将特定域名绑定到特定IP，以强化隔离。
1. 确认IP配置
首先，确保所有独立IP已绑定到网卡。可以使用 ip addr 命令查看。若未绑定，需在网络配置文件中添加辅助IP。
2. 配置Nginx Server块
为每个站点创建独立的Nginx配置文件。关键在于 listen 指令需指定具体的IP地址，而非通配符 0.0.0.0。
# 示例：siteA.conf
server {
listen [IP_A]:443 ssl;
server_name siteA.com;
ssl_certificate /etc/nginx/ssl/siteA.crt;
ssl_certificate_key /etc/nginx/ssl/siteA.key;
root /var/www/siteA;
index index.html;
}
# 示例：siteB.conf
server {
listen [IP_B]:443 ssl;
server_name siteB.com;
ssl_certificate /etc/nginx/ssl/siteB.crt;
ssl_certificate_key /etc/nginx/ssl/siteB.key;
root /var/www/siteB;
index index.html;
}配置完成后，执行 nginx -t 检查语法，并重载 Nginx：systemctl reload nginx。此时，访问 siteA.com 将通过 IP_A 建立连接，实现了入站层面的IP隔离。
步骤二：iptables标记与策略路由实现出站隔离
这是本教程的核心难点。Linux默认路由表只有一个主路由，出站流量通常通过主IP发出。我们需要利用 iptables 的 MARK 目标和 iproute2 的策略路由功能，根据进程或UID来区分流量来源。
1. 创建自定义路由表
编辑 /etc/iproute2/rt_tables，添加两个自定义路由表：
echo "100 siteA_table" >> /etc/iproute2/rt_tables
echo "101 siteB_table" >> /etc/iproute2/rt_tables2. 配置策略路由
为每个IP配置默认网关，并绑定到对应的路由表。假设网关为 [Gateway_IP]：
# 为siteA的IP配置路由
ip route add default via [Gateway_IP] dev eth0 src [IP_A] table siteA_table
ip rule add from [IP_A] table siteA_table
# 为siteB的IP配置路由
ip route add default via [Gateway_IP] dev eth0 src [IP_B] table siteB_table
ip rule add from [IP_B] table siteB_table3. 使用iptables标记出站流量
为了区分哪个站点的流量，最可靠的方法是为每个站点的后端服务（如PHP-FPM池或Node.js进程）分配独立的系统用户。例如，siteA 运行在用户 user_a 下，siteB 运行在 user_b 下。
使用 iptables 的 mangle 表标记来自特定用户的出站数据包：
# 标记 user_a (uid 1001) 的流量为 mark 1
iptables -t mangle -A OUTPUT -m owner --uid-owner 1001 -j MARK --set-mark 1
# 标记 user_b (uid 1002) 的流量为 mark 2
iptables -t mangle -A OUTPUT -m owner --uid-owner 1002 -j MARK --set-mark 2然后，将这些标记映射到之前创建的路由表：
# Mark 1 的流量走 siteA_table
ip rule add fwmark 1 table siteA_table
# Mark 2 的流量走 siteB_table
ip rule add fwmark 2 table siteB_table通过这种方式，当 siteA 的后端代码发起 cURL 请求时，由于进程以 user_a 身份运行，数据包会被标记并强制从 [IP_A] 发出。
验证方法与常见错误排查
验证方法
- 入站验证：使用浏览器或 curl 访问各域名，检查响应头中的服务器IP是否符合预期。
- 出站验证：在每个站点的根目录下创建一个测试脚本（如PHP的
file_get_contents('http://ifconfig.me')），分别访问该脚本。如果配置正确，siteA 应返回 IP_A，siteB 应返回 IP_B。
常见错误
- 权限不足：iptables 和 ip rule 修改需要 root 权限，请确保使用 sudo 执行。
- 用户ID混淆：务必确认后端服务实际运行的 UID，可通过
ps -ef | grep php-fpm等命令查看。 - 路由冲突：如果主路由表中也存在默认路由，可能会干扰策略路由。建议在测试阶段先清空主路由表的默认网关，或通过更精确的规则优先级（priority）来控制。
回滚与恢复策略
在进行网络层修改前，建议保留当前的网络配置备份。若配置导致网络中断，可通过以下方式恢复：
- 重启服务器：大多数云服务商的控制台提供VNC或紧急救援模式，重启后若无持久化配置，系统将恢复默认路由。
- 清除iptables规则：
iptables -F和iptables -t mangle -F可快速清除所有标记规则。 - 删除策略路由：
ip rule del fwmark 1和ip route flush table siteA_table。
通过上述步骤，您可以在单台服务器上实现高隔离度的多站点部署。这种架构不仅提升了安全性，也为后续的精细化流量管理奠定了基础。对于需要大规模部署且对IP纯净度有极高要求的业务，选择提供充足独立IP资源且支持底层网络配置的服务器提供商至关重要。
延伸阅读：站群独立IP服务器如何搭建多站点