发布来自土法炼钢兴趣小组的知识、笔记、进展和应用。主题包括数据结构和算法、编程语言、网络安全、密码学等。
共 5 篇文章 · 返回首页
iptables/nftables 只是用户态前端——真正拦截每一个网络包的是内核中的 Netfilter 框架。本文从 Linux 6.6 内核源码拆解 Netfilter 的三大核心：nf_hook_entries 钩子链的注册与遍历、nf_conn 连接跟踪的双向元组哈希表与 GC 机制、NAT 的 SNAT/DNAT 转换路径；以及 nf_tables 相比 iptables 的关键架构升级——generation-based 无锁更新和 blob 化规则存储。
系统讲解 Linux 网络诊断工具链：ss 的过滤语法与性能优势、ip 命令族全景、conntrack 连接追踪、/proc/net/ 文件解读，建立从 Socket 状态到连接审计的工程能力。
Netfilter 五个 hook 点、四表五链的真实遍历顺序、conntrack 状态机与性能开销、SNAT/DNAT/MASQUERADE 辨析，再到 nftables 替代方案和 eBPF 数据面——从内核视角拆解 Linux 防火墙。
iptables、nftables、eBPF 三种防火墙机制的架构差异、性能对比与迁移路径
10 个真实网络故障案例拆解，从 conntrack 表满到 ClusterMesh DNS 失败的完整排查手册