身為一位技術工作者，我對 Go 語言的 HTTP 伺服器如何與底層系統互動一直充滿好奇。這篇文章將分享我對 Go HTTP 伺服器、Linux 網路核心、Kubernetes 網路以及 iptables 防火牆的深入研究和理解。
Go HTTP 伺服器：從程式碼到 Socket
讓我們從一個簡單的 Go HTTP 伺服器程式碼範例開始：
package main
import (
"fmt"
"net/http"
)
func hello(w http.ResponseWriter, _ *http.Request) {
fmt.Fprintln(w, "您好，世界！")
}
func main() {
http.HandleFunc("/", hello)
http.ListenAndServe("0.0.0.0:8080", nil)
}
這段程式碼建立了一個基本的 HTTP 伺服器，監聽所有網路介面上的 8080 埠。當收到對根路徑 / 的請求時，它會回應「您好，世界！」。http.HandleFunc 函式將處理函式 hello 與根路徑關聯，而 http.ListenAndServe 函式則啟動伺服器並開始監聽連線。伺服器底層使用 Socket 與客戶端通訊。
graph LR
A[客戶端] -->|HTTP 請求| B(伺服器 Socket);
B -->|HTTP 回應| A;
圖表説明： 客戶端透過 HTTP 請求與伺服器端的 Socket 進行通訊，伺服器處理請求後，透過 Socket 傳回 HTTP 回應。
Linux 網路核心：系統呼叫與網路連線
在 Linux 中，網路連線是由 Socket 抽象而成，每個 Socket 都關聯一個檔案描述符。伺服器接受連線時，核心會建立新的 Socket 並分配一個檔案描述符。伺服器程式透過這個描述符讀寫資料，就像操作檔案一樣。可以使用 strace 工具追蹤程式執行的系統呼叫，深入瞭解伺服器與核心互動的細節。
strace ./server
執行這個命令後，strace 會輸出伺服器程式的所有系統呼叫，包括 socket、bind、listen 和 accept 等，這些都是伺服器建立、繫結、監聽和接受連線的關鍵步驟。
Kubernetes 網路：Bridge 與 Veth 的協作
在 Kubernetes 環境中，Bridge 和 Veth 裝置扮演著重要的角色。Bridge 就像一個虛擬交換機，連線不同的網路介面。Veth 則是一對虛擬網路介面，通常用於連線 Pod 的網路名稱空間和主機的網路名稱空間。
graph LR
B[B]
A[Pod 1] --> B{Bridge};
C[Pod 2] --> B;
B --> D[主機網路];
圖表説明： Bridge 連線多個 Pod 和主機網路。每個 Pod 的 Veth 介面連線到 Bridge，Bridge 再連線到主機網路介面，讓 Pod 可以與外部通訊。
Netfilter 與 Conntrack：網路流量的守護者
Netfilter 框架允許使用者空間程式在核心空間處理網路封包。Conntrack 模組則負責追蹤網路連線的狀態。
graph LR
A[封包] --> B{Netfilter};
B -- 符合 --> C[Conntrack];
C -- 已建立連線 --> D[接受];
C -- 新建連線 --> E[防火牆規則];
圖表説明： 封包到達時，Netfilter 將其傳遞給 Conntrack。Conntrack 檢查封包是否屬於已建立的連線。如果是，則接受封包；否則，套用防火牆規則。
Conntrack 深度解析：連線追蹤的奧秘
Conntrack 透過識別連線元組（Tuple）來辨識連線，元組包含來源位址、來源連線埠、目標位址、目標連線埠以及第四層協定。Conntrack 將這些連線稱為流（Flows），每個流都包含關於連線及其狀態的後設資料。
sequenceDiagram
participant 客戶端
participant 伺服器
客戶端->>伺服器: SYN
activate 伺服器
伺服器-->>客戶端: SYN-ACK
deactivate 伺服器
客戶端->>伺服器: ACK
activate 伺服器
客戶端->>伺服器: 資料
伺服器-->>客戶端: 資料
客戶端->>伺服器: FIN
伺服器-->>客戶端: ACK
伺服器->>客戶端: FIN
客戶端-->>伺服器: ACK
deactivate 伺服器
圖表説明： 這張時序圖描繪了 TCP 連線建立、資料傳輸和連線關閉的過程。Conntrack 會追蹤每個封包的狀態，並將它們與同一個連線關聯。
Conntrack 追蹤連線狀態並據此決策，這對於防火牆和 NAT 至關重要。例如，防火牆可以利用 Conntrack 允許已建立連線的封包透過，同時阻擋新的連線。
iptables：Linux 防火牆的根本
iptables 透過規則、鏈和目標管理網路流量。理解這些核心概念對於管理網路安全至關重要。
graph LR
ACCEPT[ACCEPT]
DROP[DROP]
REJECT[REJECT]
A[輸入封包] --> B{iptables 規則};
B -- 符合 --> C[目標動作];
B -- 不符合 --> D[下一條規則];
C -- ACCEPT --> E[允許封包];
C -- DROP --> F[丟棄封包];
C -- REJECT --> G[拒絕封包];
D -- 最後一條規則 --> H[預設策略];
圖表説明： 此流程圖展示 iptables 處理封包的流程。iptables 依序檢查規則，並根據比對結果執行對應的目標動作或套用預設策略。
以下是一些 iptables 的實戰技巧：
- 備份與還原： 使用
iptables-save和iptables-restore備份和還原防火牆設定。 - 流量監控： 使用
iptables -L -v顯示每個規則的封包和位元組計數。 - 清除規則： 使用
iptables -F清空指定鏈中的所有規則。 - 刪除鏈： 使用
iptables -X刪除指定的鏈。
這些實戰技巧涵蓋了 iptables 規則的備份、還原、監控和清除，能提升防火牆管理的效率。
深入理解 Linux 網路核心、Kubernetes 網路和 iptables 防火牆，能讓我們更好地設計、開發和管理網路應用程式，尤其是在複雜的容器化環境中。
掌握這些知識，將使您在網路技術領域更上一層樓。
iptables 防火牆實戰技巧解析
身為一個系統管理員，我經常需要使用 iptables 來設定防火牆規則，保護伺服器安全。以下分享一些我的 iptables 使用心得和實戰技巧，希望能幫助大家更好地理解和應用 iptables。
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
這條規則允許來自內部網路 192.168.1.0/24 的所有封包進入系統。-A INPUT 表示將規則附加到 INPUT 鏈，-s 192.168.1.0/24 指定來源 IP 範圍，-j ACCEPT 表示接受這些封包。在實務上，我會根據實際網路拓撲調整 IP 範圍，例如允許特定部門的網路存取。
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
這兩條規則允許外部連線到系統的 80 埠，通常用於 HTTP 服務。第一條規則允許已建立連線和相關連線的封包透過，提高效率和安全性。第二條規則允許新的連線到 80 埠。考量到安全性，我會建議搭配其他規則，例如限制來源 IP 或改用 HTTPS (443 埠)。
iptables -A OUTPUT -d 192.168.2.0/24 -j DROP
這條規則丟棄所有送往往 192.168.2.0/24 網路的封包，可以用於隔離特定網路。-A OUTPUT 將規則附加到 OUTPUT 鏈，-d 192.168.2.0/24 指定目的 IP 範圍，-j DROP 表示無聲地丟棄封包。有時候，我會使用 -j REJECT 來明確拒絕連線，提供更清晰的回應。
graph LR
A[使用者端請求] --> B{iptables 防火牆};
B -- 規則比對 --> C{ACCEPT};
B -- 規則不比對 --> D{DROP/REJECT};
圖表説明： 此流程圖説明 iptables 如何處理封包。使用者端請求到達防火牆後，iptables 會根據預先設定的規則進行比對。如果比對成功，則接受封包 (ACCEPT)；否則，丟棄 (DROP) 或拒絕 (REJECT) 封包。
iptables 的設定相當靈活，可以根據不同的需求組合各種規則。建議大家多練習，並參考官方檔案，才能更有效地運用 iptables 保護系統安全。熟練掌握 iptables，能讓你在網路安全領域更加得心應手。
