基于eBPF/XDP实现conntrack功能

连接跟踪(conntrack)是网络应用非常非常的基础，比如有状态防火墙 (firewall)，网络地址转换(nat),负载均衡(lb)。Linux conntrack 是 基于 netfilter 实现的，如图所示，分别在 PREROUTING, POSTROUTING 位置前 和后对网络报文进行跟踪;但是 XDP 位置在进入网络栈之前，无法利用到内核栈的 conntrack 能力， Cilium 应该遇到同样的问题， 所以 Cilium 基于 eBPF 实现了 conntrack；换句话说，只要具备 Hook 能力，能拦截进出主机的每个报文，完全可以实 现一套连接跟踪功能， 这个该项目的核心思路。 购买文档，免费给源代码！！ 购买文档，免费给源代码！！ 购买文档，免费给源代码！！