第二十九章 九析帶你輕鬆完爆 Istio - 網絡流向之 iptables chain

系列文章:

總目錄索引：九析帶你輕鬆完爆 istio 服務網格系列教程

目錄

1 前言

2 邀約

3 正文

---

1 前言

        若是你對博客有任何疑問，請告訴我。

---

2 邀約

        你能夠從 b 站搜索 「九析」，獲取免費的、更生動的視頻資料：

---

3 正文

        一切都是那麼明亮，光線照在身上，暖暖的。

        仰起頭，依稀能聽到風聲。庭院裏早春的鳥兒在圍牆上啁啾，三五個下人在打掃着庭院，丫環婆子們在天井嗑着瓜子閒聊天，嬉笑聲驚動了房脊上的信鴿，撲棱棱扇動雙翅滑向遠處湛藍的天空……

        我是劉全，和府的總管。外表雖然光鮮，實質卻還是一個僕人。我清楚知道本身的身份，天天當心謹慎、兢兢業業、如履薄冰般盡忠職守，日復一日、年復一年。

        不少人背後指責我狐假虎威、狗仗人勢，我不解釋也不能解釋。我明白不少髒活必須我來作，不少壞人必須我來當。我必須作到多面，這是個人工做，更是個人天職。我知道太多諱莫如深、彼此心知肚明、但又不能點破說破的潛規則，我只能本身默默消化。我不被人理解，我習慣了。不少時候我都必須像鷹通常敏銳注視整個府邸的動態，並時時保持警戒，我不能有一絲疏漏，我不能讓大人爲難。

        一切波瀾不驚之下每每隱藏着狂流暗涌。

        龐大帝國的中樞體系並不在黃牆以內，而是盡在府邸之中。1300 萬平方千米疆域的數據所有聚集於此，並在此處作流轉、作分發。咫尺即是天涯、天涯又近在咫尺。

        天天這裏都在上演國泰民安、妻離子散；朔漠狼煙、塞外江南……

        我觀望、處理、不帶感情。晨鐘暮鼓、安之若素。

        繁重的工做並無將我壓垮，由於我並非一我的……

        個人用人標準很簡單：少而精、懂協做。基於此，通過層層篩選和選拔，最後我把目光鎖定在五我的身上（撲入銳、英撲特、鰲撲特、佛臥德、剖思特），這五我的各司其職，協調和控制整個帝國信息流的脈絡走向。

撲入銳：奏摺入口。覈查奏摺是否跟和府有關。若是跟和府有關則將奏摺轉給英撲特。

英撲特：接收來自撲入銳的奏摺，並作規則檢查，經過的奏摺轉給和府內部事務部門處理

熬撲特：接受和府內部事務部門寫的奏摺或者批示英撲特遞交的摺子，並作規則檢查，檢查並處理完畢後交給剖思特。

佛臥德：接受來自撲入銳的奏摺，這些奏摺表面跟和府無關，通過規則檢查以後，直接轉給剖思特。

剖思特：接受來自鰲撲特和佛臥德的奏摺，並作規則檢查。處理完把它們送到該送的地方去。

        整個數據信息流的處理極其縝密。我將他們牢牢編制在我設計的鏈條裏。我觀察着他們，規範着他們的一舉一動。天天我都要把這一幕幕繪製成圖，而後緊緊地印在個人腦海裏。

============================================================================

        數據在主機中的具體流向，通常會有三種路徑：

第一：數據報文經過網絡、流經網卡、進入主機。通過檢查，數據報文目標若是是本機，則將報文送到用戶空間中的相關進程進行處理。

第二：數據報文經過網絡、流經網卡、進入主機。通過檢查，數據報文目標若是不是本機，則將報文直接經過網卡再發送到其餘主機

第三：用戶空間的進程產生數據報文，並將此報文經過內核空間的網絡協議棧發送給網卡，再經過網卡把數據報文發送給其餘主機

        若是數據只是在主機裏流來流去，而不施加任何規則的話，世界就不會這麼複雜。可是每每事與願違，若是有人要惡意破壞系統怎麼辦呢？

        就像劉全爲了不不利於和府的奏摺流到皇上那裏而設置五人關卡同樣。linux 也採用了一樣的機制來控制數據流，更爲巧合地是，也是五道關卡。

prerouting（撲入銳）

input（英撲特）

forward（佛臥德）

output（鰲撲特）

postrouting（剖思特）

        iptables 經過在上述五道關卡上設置更多的規則來對主機中流動的數據作流向控制。數據流向圖以下所示：

        未完待續……