【Linux 网络子系统深度拆解】虚拟网络设备内核实现：veth、bridge 与 macvlan
内容提要
本文深入探讨了Linux虚拟网络设备的实现，包括veth、bridge、macvlan和tun/tap。veth用于跨命名空间通信，bridge作为软件二层交换机，macvlan提供轻量级MAC地址虚拟化，tun/tap则是内核与用户态之间的数据通道。文章详细分析了每种设备的性能、数据路径和适用场景，特别强调了veth和bridge的双重协议栈开销，以及macvlan和ipvlan的高性能特性。
关键要点
-
veth（虚拟以太网）是成对创建的虚拟网卡，主要用于跨命名空间通信。
-
veth 的发送路径不涉及硬件操作，采用零拷贝机制，直接将 skb 从一端搬运到另一端。
-
veth 的一个性能特征是 netfilter 钩子遍历两次，增加了跨命名空间通信的开销。
-
Linux bridge 是内核实现的二层交换机，支持 VLAN 过滤和 STP 状态机。
-
macvlan 提供轻量级的 MAC 地址虚拟化，允许在一个物理网卡上创建多个虚拟设备。
-
tun/tap 是内核与用户态之间的数据通道，支持用户态程序通过 read/write 收发网络包。
-
各类虚拟设备的吞吐量排序为：ipvlan L3 ≥ macvlan bridge > ipvlan L2 > veth + bridge >> tun/tap。
-
veth + bridge 是最通用的方案，适用于 Docker 和 Kubernetes，但性能相对较低。
延伸解读
veth的性能开销
veth在跨命名空间通信时，netfilter钩子会被遍历两次，这增加了性能开销。虽然veth采用零拷贝机制，但在高负载情况下，双重协议栈的开销可能会影响整体性能。对于需要高效数据转发的场景，考虑使用Cilium等工具来优化这一过程。
macvlan与bridge的对比
macvlan提供轻量级的MAC地址虚拟化，适合需要独立MAC的容器，而bridge则是更通用的二层交换机。macvlan在性能上优于bridge，因为它没有FDB学习和STP的开销，但在与宿主机通信时存在限制。选择时需根据具体需求权衡性能与灵活性。
tun/tap的性能瓶颈
tun/tap设备在内核与用户态之间的数据传输中存在性能瓶颈，主要体现在数据复制和上下文切换上。对于需要高吞吐量的应用，建议使用vhost-net等技术来减少这些开销，从而提高虚拟机的网络性能。
延伸问答
veth的主要功能是什么？
veth主要用于跨命名空间通信，是容器网络中最常用的机制。
Linux bridge的作用是什么？
Linux bridge作为软件二层交换机，负责数据包的转发和VLAN过滤。
macvlan与bridge的主要区别是什么？
macvlan提供轻量级的MAC地址虚拟化，而bridge则需要进行MAC学习和STP处理，开销更大。
tun/tap设备的主要用途是什么？
tun/tap设备用于内核与用户态之间的数据通道，支持用户态程序收发网络包。
veth的性能特征是什么？
veth的发送路径采用零拷贝机制，但跨命名空间通信时netfilter钩子遍历两次，增加了开销。
不同虚拟设备的吞吐量排序是怎样的？
吞吐量排序为：ipvlan L3 ≥ macvlan bridge > ipvlan L2 > veth + bridge >> tun/tap。
