在CentOS 7及更高版本中，传统的网络服务脚本（network service）已被逐步弃用，NetworkManager成为了默认的网络配置守护进程。对于服务器运维人员来说，这不仅仅是一个工具的替换，更意味着网络配置思维的转变。很多运维人员习惯直接编辑ifcfg配置文件然后重启网络，但面对生产环境中要求苛刻的高可用场景，例如多网卡绑定实现负载均衡和冗余，或者为虚拟化平台配置网桥，使用nmcli命令行工具进行管理，能避免配置文件语法错误导致的断网事故，并且配置实时生效，无需重启网络服务。本文将直接切入实际操作，详解如何通过nmcli完成网络绑定与桥接的配置、修改及故障排查。
理解NetworkManager与nmcli的基础关系nmcli是NetworkManager的命令行界面，它通过D-Bus与NetworkManager守护进程通信。在服务器环境中，我们通常不希望使用图形界面，因此nmcli就成了最强大的管理工具。使用nmcli时，首先要理解几个核心对象：连接（Connection）和设备（Device）。设备是物理或虚拟的网络接口，如eth0、bond0、br0。连接则是应用于设备的配置集合，一个设备同一时间只能激活一个连接，但可以存在多个连接配置供切换。这种解耦设计允许你为同一张物理网卡预设DHCP和静态IP两套配置方案，随时切换。
环境准备与网卡识别在开始配置之前，务必确认系统版本和网卡信息。在CentOS 7/8/9中，网卡命名通常遵循可预测命名规则，如ens33、enp0s3等。首先检查NetworkManager服务状态：
systemctl status NetworkManager
如果服务未运行，需启动并设置开机自启：
systemctl start NetworkManager systemctl enable NetworkManager
接着查看当前所有网络设备：
nmcli device status
这会列出设备名称、类型、状态以及当前使用的连接名。对于即将用作绑定成员的物理网卡，务必确认它们处于未连接状态或没有正在使用的连接，否则后续创建绑定时会报错。
创建网络绑定（Bonding）的详细步骤网络绑定是将多张物理网卡聚合为一个逻辑接口，提供带宽聚合和冗余能力。Linux内核支持多种绑定模式，常用模式包括：mode=0（轮询负载均衡）、mode=1（主备冗余）和mode=4（802.3ad动态链路聚合，需交换机配合）。生产环境中，如果交换机支持LACP，优先使用mode=4；若交换机不支持，且需要负载均衡，可使用mode=0；如果纯粹为了冗余，mode=1是最稳妥的选择。
假设我们有ens33和ens34两张网卡，要创建名为bond0的绑定接口，使用mode=4，并配置静态IP。首先创建绑定接口连接：
nmcli connection add type bond con-name bond0 ifname bond0 mode 802.3ad
这里con-name是连接名称，ifname是设备名称，mode参数指定了绑定模式。802.3ad对应mode=4。接下来为bond0配置IP地址、网关和DNS：
nmcli connection modify bond0 ipv4.addresses 192.168.1.100/24 nmcli connection modify bond0 ipv4.gateway 192.168.1.1 nmcli connection modify bond0 ipv4.dns "8.8.8.8 114.114.114.114" nmcli connection modify bond0 ipv4.method manual
此时bond0主连接尚未完整，需要将物理网卡ens33和ens34作为从属接口添加到绑定中：
nmcli connection add type ethernet slave-type bond con-name bond0-port1 ifname ens33 master bond0 nmcli connection add type ethernet slave-type bond con-name bond0-port2 ifname ens34 master bond0
注意，从属连接的类型是ethernet，但slave-type必须指定为bond，并通过master参数指向bond0。配置完成后，先启动从属连接，再启动主连接：
nmcli connection up bond0-port1 nmcli connection up bond0-port2 nmcli connection up bond0
查看绑定状态可使用以下命令：
cat /proc/net/bonding/bond0
或者通过nmcli查看设备详细信息：
nmcli device show bond0修改与调整现有绑定配置
生产环境中经常需要修改绑定模式或调整成员接口。假设需要将bond0的模式从802.3ad改为active-backup（mode=1），无需删除重建，直接修改连接参数：
nmcli connection modify bond0 mode active-backup
修改后需要重新激活连接才能生效：
nmcli connection down bond0 nmcli connection up bond0
如果需要替换故障网卡，先删除旧的从属连接，再添加新的。例如将ens34替换为ens35：
nmcli connection delete bond0-port2 nmcli connection add type ethernet slave-type bond con-name bond0-port2 ifname ens35 master bond0 nmcli connection up bond0-port2
这种在线替换操作不会中断bond0的整体网络连接，因为绑定组中还有其他活跃成员。
配置Linux网桥（Bridge）用于虚拟化网桥在服务器虚拟化环境中至关重要，它允许虚拟机通过宿主机的物理网络接口直接访问外部网络，就像连接在同一台交换机上。创建网桥的核心思路是：创建一个桥接接口，然后将物理网卡或绑定接口作为桥的端口加入。假设我们要在bond0的基础上创建网桥br0，供KVM虚拟机使用。
首先创建桥接接口连接：
nmcli connection add type bridge con-name br0 ifname br0
接着为br0配置IP地址（通常将原本bond0上的IP迁移到br0上，bond0本身不再需要IP地址）：
nmcli connection modify br0 ipv4.addresses 192.168.1.100/24 nmcli connection modify br0 ipv4.gateway 192.168.1.1 nmcli connection modify br0 ipv4.dns "8.8.8.8" nmcli connection modify br0 ipv4.method manual
然后需要修改bond0连接，将其作为从属端口加入桥接，并移除其自身的IP配置：
nmcli connection modify bond0 ipv4.method disabled nmcli connection modify bond0 ipv6.method disabled nmcli connection modify bond0 connection.slave-type bridge nmcli connection modify bond0 master br0
注意，这里直接修改了bond0连接的属性，将其主从关系指向br0。如果bond0原本是通过配置文件创建的，这种直接修改同样有效。最后激活连接时，应先启动桥的端口（bond0），再启动桥本身：
nmcli connection up bond0 nmcli connection up br0
验证桥接配置：
bridge link show
该命令会显示br0的端口列表，应该能看到bond0作为端口存在。此时宿主机的网络流量路径为：物理网卡ens33和ens34 -> bond0绑定接口 -> br0桥接接口。虚拟机只需将其虚拟网卡桥接到br0上即可。
直接桥接物理网卡（不通过绑定）如果不需要绑定，直接将物理网卡ens33桥接到br0，步骤类似但更简单。首先创建桥接连接：
nmcli connection add type bridge con-name br0 ifname br0 nmcli connection modify br0 ipv4.addresses 192.168.1.100/24 nmcli connection modify br0 ipv4.gateway 192.168.1.1 nmcli connection modify br0 ipv4.dns "8.8.8.8" nmcli connection modify br0 ipv4.method manual
然后将物理网卡ens33的现有连接修改为桥的端口。通常ens33可能已有一个同名连接，直接修改它：
nmcli connection modify ens33 ipv4.method disabled nmcli connection modify ens33 ipv6.method disabled nmcli connection modify ens33 connection.slave-type bridge nmcli connection modify ens33 master br0
最后激活：
nmcli connection up ens33 nmcli connection up br0
务必注意操作顺序：如果通过SSH远程操作，在将物理网卡加入桥接并禁用其IP的瞬间，网络会中断。因此强烈建议在本地控制台或通过带外管理口执行，或者将命令写成脚本一次性执行。一个技巧是使用nmcli的批量模式或提前准备好所有连接，最后一次性激活桥接。
nmcli的持久化配置与回滚nmcli所做的所有修改都会立即写入/etc/sysconfig/network-scripts/目录下的ifcfg文件中，因此配置是持久化的。如果配置错误导致网络中断，可以通过重启进入救援模式，或者使用nmcli的另一个会话回滚。nmcli支持配置检查点和回滚功能，这在生产变更时非常有用。创建检查点：
nmcli connection checkpoint --timeout 60
这个命令会创建一个临时检查点，如果在60秒内没有确认，NetworkManager会自动回滚到检查点之前的状态。这对于远程修改网络配置极其重要。如果修改成功，网络未中断，可以手动确认并删除检查点：
nmcli connection checkpoint --rollback
或者直接等待超时自动回滚。这个机制极大降低了远程配置网络的风险。
常见故障排查思路当绑定或桥接不工作时，首先检查物理链路状态：
nmcli device status ip link show
确保从属接口处于up状态。对于绑定，检查/proc/net/bonding/bond0文件中的成员状态是否为up。如果绑定成员显示为down，检查交换机端口配置是否匹配，尤其是使用802.3ad模式时，交换机必须配置LACP。对于桥接，使用bridge link show查看端口状态，如果端口显示为disabled，可能是STP（生成树协议）阻塞，检查桥的STP设置：
nmcli connection modify br0 bridge.stp yes
开启STP可以防止环路，但在简单拓扑中如果不需要可以关闭。另外，检查防火墙规则是否放行了桥接流量，因为桥接后的流量会经过iptables的FORWARD链。临时测试时可以清空防火墙规则排查。
高级场景：绑定与VLAN子接口结合在复杂网络环境中，可能需要在绑定接口上创建VLAN子接口，再将其桥接到虚拟机。例如，bond0作为trunk口，承载VLAN 10和VLAN 20，分别桥接到不同虚拟机网段。首先创建VLAN接口：
nmcli connection add type vlan con-name bond0.10 ifname bond0.10 dev bond0 id 10 nmcli connection add type vlan con-name bond0.20 ifname bond0.20 dev bond0 id 20
然后分别为每个VLAN接口创建桥接：
nmcli connection add type bridge con-name br10 ifname br10 nmcli connection modify br10 ipv4.addresses 10.0.10.1/24 nmcli connection modify br10 ipv4.method manual nmcli connection modify bond0.10 master br10 nmcli connection modify bond0.10 connection.slave-type bridge
对VLAN 20做类似操作。这种架构在数据中心中非常普遍，通过nmcli可以清晰管理复杂的层次化网络配置。
总结与最佳实践使用nmcli管理CentOS服务器的网络绑定与桥接，核心优势在于实时生效、语法校验和回滚机制。在生产环境中，务必遵循以下原则：操作前创建检查点；对于绑定，根据交换机能力选择正确的模式；桥接配置时注意操作顺序，避免远程会话中断；将物理网卡的IP配置迁移到桥或绑定接口后，务必禁用物理网卡自身的IP配置；最后，所有连接名称应具有描述性，便于后期维护。掌握这些硬核操作，能让你在管理物理服务器、虚拟化宿主或私有云基础架构时游刃有余。
