深入了解iptables proxy mode 最近在面試的時候，聽到主管問了面試者不少network request 如何到k8s service backend的問題，覺得可以整合一下網路上的資料，這篇主要討論iptables proxy mode。大部分的情況沒有在使用userspace proxy modes，ipvs proxy mode 可能要等下一次討論。 事前準備：要先了解iptable工作機制，建議可以看這一篇：https://phoenixnap.com/kb/iptables-tutorial-linux-firewall當然wikipedia也是寫得不錯，我下面的文字也大多引用https://zh.wikipedia.org/wiki/Iptables 快速帶過iptable說到iptable要先了解Tables, Chains and Rules. 大致的工作流向情況分兩種1. backend為本機 2. backend目的地非本機 下面是比較詳細的流程，有包含EBTABLES，但這個看久頭會昏，我這次會主要討論Network Layer 這一部分，然後用上面這張比較精簡的圖 Kube-proxy 修改了filter，nat兩個表，自定義了KUBE-SERVICES，KUBE-NODEPORTS，KUBE-POSTROUTING，KUBE-FORWARD，KUBE-MARK-MASQ和KUBE-MARK-DROP，所以我這次會focus on filter，nat兩個Table1. filter table有三個Chain “INPUT” “OUTPUT” “FORWARD” kube-proxy在filter table的“INPUT” “OUTPUT” chain 增加了KUBE-FIREWALL在“INPUT” “OUTPUT” “FORWARD” chain 增加了KUBE-SERVICES KUBE_FIREWALL會丟棄所有被KUBE-MARK-DROP標記0x8000的封包，而標記的動作可以在其他的table中(像是第二部分提到的NAT table中) 而filter table的KUBE-SERVICES可以過濾封包，假如一個service沒有對應的endpoint，就會被reject，這裡我先要建立一個service和沒有正確設定endpoint。 service cluster ip 為 10.95.58.92 再次檢查iptable，就可以看到default/test-error-endpoint: has no endpoints -> tcp dpt:7777 reject-with icmp-port-unreachable