https://hangyan.github.io/tags/iptables/Recent content in Iptables on 涯余的博客Hugozhhang.yan@hotmail.com (涯余)hang.yan@hotmail.com (涯余)Mon, 20 Sep 2021 19:56:17 +0800https://hangyan.github.io/post/2021-ebpf-iptables/Mon, 20 Sep 2021 19:56:17 +0800hang.yan@hotmail.com (涯余)https://hangyan.github.io/post/2021-ebpf-iptables/<p>把它们三个列在一起，是因为确实有错综复杂的关系。我也想理一理他们在网络方面的前景,比较侧重于 K8s 和 CNI 方面.</p> <ul> <li><code>iptables</code>: kube-proxy最开始基于 iptables 来实现了 service 的负载均衡，只支持随机算法。因为 iptables 本身的局限性，目前提供了 ipvs 模式.</li> <li><code>nftables</code>: 可以说是 iptables 的替代品，更好的API及性能，但是因为 iptables 的遗留使用率太高，暂时难以看到全面替代的可能。</li> <li><code> eBPF</code>: 影响越来越多，有可能会在很多场景下替代 iptables</li> </ul> <p>这是简要的说明。下面将根据不同侧面来详细分析一下。</p> <h2 id="iptables">iptables</h2> <p>两个主要问题:</p> <ol> <li>规则数量线性增长</li> <li>更新规则需要整个替换掉，无法保证原子性。更新规则的效率也很低。</li> </ol> <h2 id="ipset">ipset</h2> <p>ipset 是 iptables 的一个扩展，主要解决的问题是 iptables 的线性增长问题。考虑到 iptables 的现实中的普及性以及大家求稳的心态， ipset 在很多场景下仍是一个不错的选择。其基本思想是用 hash 等数据结构来替代原来的线性匹配，这种设计我们在很多地方都可以见到，比如 ovs, eBPF等等。</p> <p>nftables 作为 iptables 的继任者，很多设计已经了 ipset 里的设计。二者有一定的相似性。</p> <h2 id="ipvs">ipvs</h2> <p>没找到太好的深入介绍的资料，但根据网上找的测试数据，比 iptables 好很多.</p> <p><img loading="lazy" src="https://www.tigera.io/wp-content/uploads/2019/04/Picture1.png"></p> <p>Service 数量少时不明显，数量很大时差距就出来了。</p> <h2 id="kube-proxy">kube-proxy</h2> <p>eBPF, iptables, nftables,ipvs, ipset这些东西，最终在 k8s 上的落脚点都是 kube-proxy. kube-proxy实现了各种 Service 的功能，底层用什么，是可能会变的，从最开始的 iptables 到现在的 ipvs, 以后真用其他的东西也说不准. 除了 iptables 和 ipvs, 我们也能找到其他方面的尝试:</p>