Linux 内核网络功能时间线

Linux 网络功能通过主线版本的渐进式发布演进，而不是通过独立的子系统版本发布。以下里程碑标识了首次包含各项功能的稳定内核版本；后续内核可能会增加协议覆盖范围、驱动程序、卸载功能或用户空间接口。

网络功能速览 #

发布日期遵循Linux 内核 Git 历史中的主线标签。功能版本通过KernelNewbies 版本摘要和内核网络文档进行交叉核对。

内核与用户空间边界 #

Linux 不提供add_route()或create_veth()之类的系统调用。相反，用户空间选择内核控制接口，并通过通用系统调用访问它。尤其需要注意，Netlink 是一组套接字协议，而不是一个系统调用。

大多数管理操作要求在管理目标网络命名空间的用户命名空间中拥有CAP_NET_ADMIN。根据程序类型、附加点和内核版本，eBPF 操作还可能需要CAP_BPF、CAP_PERFMON或其他能力。

推荐接口的变化 #

1. 早期 Linux 使用 ioctl、套接字选项和虚拟文件。 ifconfig、route和arp等程序发出网络设备和路由 ioctl。/proc/sys/net提供全局调节项，而通过旧版 iptables 配置的各代防火墙使用协议特定的套接字选项。
2. Rtnetlink 成为可扩展的网络控制平面。 Linux 2.2 通过NETLINK_ROUTE公开链路、多个地址、路由、邻居和流量控制对象。因此，iproute2 工具（ip、bridge和tc）取代了面向 ioctl 的 net-tools 命令，用于新的配置。
3. 特定于子系统的 Netlink 家族取代了固定的私有 ABI。 Generic Netlink 及相关协议允许命令和类型-长度-值属性在不更改系统调用的情况下演进。nl80211 取代 Wireless Extensions，nftables 取代旧版 iptables 规则 ABI，而较新的 ethtool 操作使用 Netlink 而不是设备 ioctl。
4. eBPF 增加了可编程的数据平面边界。 bpf()系统调用管理程序和映射，但配置仍按附加点划分：rtnetlink 配置流量控制和既有的 XDP 附加，套接字选项附加经典套接字过滤器，而 BPF 链接为受支持的钩子提供文件描述符生命周期管理。
5. 新的控制平面倾向于使用有描述的 Netlink API。 当前的内核网络开发通过机器可读规范记录 Netlink 家族。应用程序应使用这些 API，请求确认和扩展确认，并仅在不存在受支持的结构化替代接口时使用 ioctl 或文本文件解析。

有关相应 UAPI 的详细信息，请参阅内核的Netlink 介绍、rtnetlink(7)、netdevice(7)和bpf(2)文档。

Rtnetlink #

rtnetlink 中的rt表示routing，但该接口已经发展为内核的通用网络控制协议。进程打开socket(AF_NETLINK, SOCK_RAW, NETLINK_ROUTE)并发送RTM_*消息。每条消息包含struct nlmsghdr、对象特定的固定头部以及对齐的类型-长度-值属性。

Rtnetlink 支持三种交互模式：

• Do request: 创建、替换、修改或删除一个对象，并接收确认。
• Dump request: 枚举一类对象，例如所有链路或所有路由。内核返回以NLMSG_DONE结束的分段响应。
• Multicast notification: 订阅链路、地址、路由、邻居、规则、流量控制及其他变更的组。通知使用与回复相同的对象消息，因此程序可以维护本地缓存。

托管对象 #

RTM_NEW*并不总是表示“仅创建”。标志决定修改语义：

应用程序还应启用NETLINK_EXT_ACK。扩展确认可以标识被拒绝的属性，包含可读的内核消息，并报告策略约束。成功确认表示内核已处理该消息；它并不表示一系列独立的 rtnetlink 请求具有事务性。

命名空间与一致性模型 #

rtnetlink 套接字在其所属的网络命名空间中运行。因此，大多数请求只能查看和修改该命名空间中的链路、路由、规则、邻居和流量控制对象。链路属性可以将设备移动到另一个命名空间，而命名空间 ID 消息则可以创建对等命名空间的引用。

修改请求通常要求在拥有目标网络命名空间的用户命名空间中具有CAP_NET_ADMIN。当读取请求暴露敏感的设备或协议信息时，也可能受到限制。

转储不是原子快照。在分段转储进行期间，对象可能发生变化；当接收缓冲区溢出时，多播通知可能丢失。状态同步器应：

1. 打开套接字并将其绑定到所需的多播组。
2. 使用唯一的序列号请求转储。
3. 根据序列号和发送方端口 ID 匹配单播回复。
4. 处理转储期间到达的通知。
5. 检测ENOBUFS、被中断的转储和格式错误的属性。
6. 当无法证明同步完成时，丢弃缓存并重新执行转储。

范围边界 #

Rtnetlink 控制网络拓扑、寻址、转发、邻居和流量控制，但它并不是每个网络子系统的接口：

权威的操作列表定义在include/uapi/linux/rtnetlink.h中。内核还为链路、地址、路由、规则、邻居和流量控制发布了机器可读规范。高级程序应使用受维护的库或 iproute2，而不是手动复现 UAPI 结构布局和属性验证。

用户空间网络工具 #

Linux 没有单一的用户空间网络栈。命令行工具、策略守护进程、配置渲染器、路由守护进程和容器插件会访问不同的内核控制接口。因此，高级命令可能控制的是守护进程，而不是直接联系内核。

控制与依赖路径 #

箭头描述的是运行时控制流，而不是软件包所有权。NETLINK_ROUTE、NETLINK_NETFILTER和nl80211是通过AF_NETLINK套接字访问的内核协议。

flowchart LR
    subgraph clients[Clients and Configuration]
        nmcli["nmcli / GUI"]
        networkctl
        netplan[Netplan]
        firewallcmd[firewall-cmd]
    end

    subgraph controllers[Daemons and Direct Utilities]
        nm[NetworkManager]
        networkd[systemd-networkd]
        wifi["wpa_supplicant / iwd"]
        firewalld
        iproute["ip / bridge / tc"]
        nft
        iw
        ethtool
        bpftool
    end

    subgraph apis[Kernel Control Interfaces]
        rtnl["NETLINK_ROUTE<br/>(rtnetlink)"]
        nfnl[NETLINK_NETFILTER]
        nl80211["nl80211<br/>(Generic Netlink)"]
        ethtoolapi["ethtool Generic Netlink<br/>or device ioctl"]
        bpfapi["bpf() syscall"]
    end

    kernel[Linux Network Kernel]

    nmcli -->|"libnm + D-Bus"| nm
    networkctl -->|"daemon IPC"| networkd
    netplan -.->|"generates configuration"| nm
    netplan -.->|"generates configuration"| networkd
    firewallcmd -->|D-Bus| firewalld

    nm -->|"internal Netlink"| rtnl
    nm -->|D-Bus| wifi
    networkd -->|sd-netlink| rtnl
    iproute -->|"internal libnetlink"| rtnl
    firewalld -->|"nftables backend"| nfnl
    nft -->|"libnftables + libnftnl"| nfnl
    wifi --> nl80211
    iw --> nl80211
    ethtool --> ethtoolapi
    bpftool -->|libbpf| bpfapi

    rtnl --> kernel
    nfnl --> kernel
    nl80211 --> kernel
    ethtoolapi --> kernel
    bpfapi --> kernel

该图直接回答了常见的nmcli依赖问题：

1. nmcli通过libnm构造请求。
2. libnm通过D-Bus将请求发送给NetworkManager 守护进程。
3. NetworkManager 通过自己的 Netlink 实现应用普通的内核网络状态。
4. iproute2 是同一内核 API 的独立管理客户端，而不是 NetworkManager 与内核之间的中间层。

在 shell 自动化中，从程序调用ip、nft或其他 CLI 仍然有用，但长期运行的管理器通常使用库，或直接实现内核协议。直接访问可以避免解析命令输出，并允许管理器订阅异步状态通知。