本文介绍了一个技术专题的总目录，涵盖大模型与AI工程、分布式系统、存储工程、网络工程、密码学、安全、操作系统和算法等多个领域的系列文章，提供详细的主题介绍和入口链接，方便读者深入学习。

WireGuard以约5000行内核代码实现VPN，对比IPSec的30万行，通过Cryptokey Routing将公钥与IP绑定、固定Noise IKpsk2握手及多核并行加密，简化设计并提升安全性。它拒绝证书、算法协商等复杂机制，但适用于L3隧道场景，不适合L2桥接或需证书合规的环境。

本文讨论网络工程的核心主题，涵盖从链路层到应用层的多个方面，包括网络模型、以太网、IP协议、TCP、UDP、DNS、TLS等。提供了90篇相关内容的索引，旨在帮助理解网络的延迟、吞吐量和拥塞等工程权衡。

HAProxy是专为负载均衡和代理设计的开源软件，配置分global、defaults、frontend、backend等段，支持TCP/HTTP模式。其ACL规则引擎强大，支持路径、Header、IP等多条件匹配。健康检查灵活，Runtime API可动态管理服务器，多线程模型提升性能，支持SSL终止和HTTP/2。相比Nginx，HAProxy在代理场景功能更深，适合大规模零停机运维。

mTLS（双向TLS）使通信双方互相验证身份，解决微服务中“调用方是谁”的问题。其工程难点在于证书分发与轮换，而非协议本身。最佳实践是短期证书加自动轮换，并借助Service Mesh（如Istio、Linkerd）实现透明化。SPIFFE/SPIRE提供标准化服务身份。部署时应从PERMISSIVE模式渐进迁移至STRICT，并区分认证与授权。

TLS 1.3于2018年发布，将完整握手从2 RTT压缩至1 RTT，并引入0-RTT恢复模式。它移除了RSA密钥交换、CBC模式等不安全特性，仅保留5种AEAD密码套件。密钥推导改用HKDF，支持KeyUpdate密钥轮换。0-RTT虽能首包发送数据，但存在重放风险，仅建议用于幂等操作。部署时需应对中间设备僵化问题，升级路径可渐进式兼容TLS 1.2。

本文对比了IPSec、WireGuard和OpenVPN三种主流VPN技术。IPSec是通用标准但配置复杂；WireGuard以约4000行内核代码实现高性能和简单性，但缺乏用户认证；OpenVPN功能丰富但性能较低。文章提供配置示例、性能对比和选型建议，并介绍Tailscale等上层方案及故障排查方法。

本文深入剖析Linux零拷贝技术，对比传统read/write的4次拷贝与sendfile、splice、MSG_ZEROCOPY、io_uring等方案，阐述各自适用场景、内核实现及性能权衡。结合Kafka、Nginx等生产实践，指出TLS加密、小文件等限制，并提供选型决策树与完整文件服务器代码示例，指导工程应用。

本文介绍epoll网络编程与生产实践：内核用红黑树存储fd、就绪链表实现O(1)获取事件；对比LT/ET模式，ET需循环读到EAGAIN，性能略优但易出错；讨论EPOLLONESHOT防多线程竞争、SO_REUSEPORT解决惊群；并涵盖fd泄漏陷阱、timerfd/signalfd集成及与kqueue对比，强调LT更安全，适合多数应用。

本文系统对比了Nginx、HAProxy、Envoy和Traefik四种主流反向代理/网关，从设计哲学、架构模型、协议支持、可观测性、扩展机制和性能六个维度分析，指出各有适用场景：Nginx适合传统Web，HAProxy擅长高性能负载均衡，Envoy面向云原生Service Mesh，Traefik简化容器化部署。建议根据团队经验和场景选型，可混合部署，并给出灰度迁移策略。

网络工程师和程序员的学习重点不同，前者注重编程，后者注重网络工程。