【Linux 网络子系统深度拆解】Netfilter 内核实现：钩子、conntrack 与 NAT
💡
原文中文，约13400字，阅读约需32分钟。
📝
内容提要
Netfilter 是 Linux 内核中的网络包处理框架，负责数据包的处理方式。它通过五个钩子点在数据包收发路径中插入回调函数，允许对数据包进行放行、丢弃或修改。本文探讨了钩子注册、连接跟踪和 NAT 转换的实现细节，以及 nftables 的架构改进，强调性能优化和可观测性的重要性。
🎯
关键要点
-
Netfilter 是 Linux 内核中的网络包处理框架，负责数据包的处理方式。
-
Netfilter 通过五个钩子点在数据包收发路径中插入回调函数，决定数据包的放行、丢弃或修改。
-
钩子注册与遍历使用结构体 nf_hook_ops 来注册回调函数，并通过优先级排序执行。
-
连接跟踪（conntrack）为每条连接维护一个对象，支持高并发的连接管理。
-
NAT 转换路径包括 DNAT 和 SNAT，依赖于连接跟踪来处理数据包的地址转换。
-
nftables 提供了比 iptables 更高效的规则存储和更新机制，支持无锁更新。
-
性能调优建议包括调整连接跟踪表大小和使用 NOTRACK 旁路以降低 CPU 开销。
-
可观测性实战包括监控连接创建/销毁、NAT 映射统计和 Netfilter 钩子延迟测量。
❓
延伸问答
Netfilter 的主要功能是什么？
Netfilter 是 Linux 内核中的网络包处理框架，负责数据包的处理方式。
Netfilter 是如何处理数据包的？
Netfilter 通过五个钩子点插入回调函数，决定数据包的放行、丢弃或修改。
连接跟踪（conntrack）在 Netfilter 中的作用是什么？
连接跟踪为每条连接维护一个对象，支持高并发的连接管理。
NAT 转换的工作原理是什么？
NAT 转换通过 DNAT 和 SNAT 修改数据包的源或目的地址，依赖于连接跟踪来处理地址转换。
nftables 相比于 iptables 有哪些优势？
nftables 提供了更高效的规则存储和更新机制，支持无锁更新，性能更优。
如何优化 Netfilter 的性能？
可以通过调整连接跟踪表大小和使用 NOTRACK 旁路来降低 CPU 开销。
➡️
