【Cilium / eBPF】关键 BPF Map：policy、service、CT 的职责与失败表象
按 Cilium v1.20 Maps 文档钉清 policy、Service LB、CT、NAT、ipcache 等 map 的职责、默认容量与满表后果；说明 v3 policy map 语义变更，内核 map 实现外链 ebpf/ 系列。
conntrack 标签归档
共 6 篇文章 · 返回首页
【Linux 网络子系统深度拆解】Netfilter 内核实现：钩子、conntrack 与 NAT
iptables/nftables 只是用户态前端——真正拦截每一个网络包的是内核中的 Netfilter 框架。本文从 Linux 6.6 内核源码拆解 Netfilter 的三大核心：nf_hook_entries 钩子链的注册与遍历、nf_conn 连接跟踪的双向元组哈希表与 GC 机制、NAT 的 SNAT/DNAT 转换路径；以及 nf_tables 相比 iptables 的关键架构升级——generation-based 无锁更新和 blob 化规则存储。
【网络工程】ss/netstat/ip 工具链：Socket 状态分析与连接审计
系统讲解 Linux 网络诊断工具链：ss 的过滤语法与性能优势、ip 命令族全景、conntrack 连接追踪、/proc/net/ 文件解读，建立从 Socket 状态到连接审计的工程能力。
【Kubernetes 网络深度系列】Netfilter 与 iptables：Linux 防火墙的灵魂
Netfilter 五个 hook 点、四表五链的真实遍历顺序、conntrack 状态机与性能开销、SNAT/DNAT/MASQUERADE 辨析，再到 nftables 替代方案和 eBPF 数据面——从内核视角拆解 Linux 防火墙。
【Kubernetes 网络深度系列】eBPF 与 Netfilter 的安全能力对比：谁是更好的防火墙
iptables、nftables、eBPF 三种防火墙机制的架构差异、性能对比与迁移路径
【Kubernetes 网络深度系列】Kubernetes 网络疑难杂症排查手册
10 个真实网络故障案例拆解，从 conntrack 表满到 ClusterMesh DNS 失败的完整排查手册