分类：Linux与网络

Docker 与 Kubernetes CNI 插件的底层依赖于 Linux 的 Net Namespace 与 veth pair 虚拟网卡对。通过建立虚拟命名空间并连接虚拟交换桥（Bridge），实现进程间的网络物理隔离与路由策略控制。 一、手把手构建独立的网络隔离沙箱

在 TCP 三次握手过程中，当攻击者伪造海量源 IP 发送 SYN 包时，服务器半连接队列（SYN Queue）会迅速打满导致拒绝服务。开启 SYN Cookie 后，服务端不在内存中分配 TCB，而是将握手状态编码为初始序列号（ISN）返回。 一、Linux 内核启用 SYN Cookie 与参数调优

从内核数据结构 eventpoll、红黑树与就绪双向链表入手，剖析 epoll 相较于 select/poll 在十万级并发 TCP 连接下的性能优势，并探讨水平触发（LT）与边缘触发（ET）的工程实现细节。

AFXDP 是 XDP 生态中的用户态套接字协议族，它允许用户态程序通过 UMEM（User Memory） 共享内存区域直接与网卡驱动交互，绕过内核协议栈实现零拷贝收发包，单核可达数百万 PPS。 一、AFXDP 套接字创建与 UMEM 注册

Linux 网络协议栈的处理流程始于硬件中断。当物理网卡接收到以太网帧时，通过 DMA 将数据直接写入预分配的环形接收缓冲区（Ring Buffer），并触发硬件中断（Hard IRQ）。现代内核普遍采用 NAPI（New API）机制，在中断处理程序中关闭硬件中断并调度软中断（SoftIRQ NETRXSOFTIRQ