Linux 核心網路功能時間軸

Linux 網路功能透過主線版本的漸進式發布演進，而不是透過獨立的子系統版本發布。以下里程碑標示了首次包含各項功能的穩定核心版本；後續核心可能會增加協定涵蓋範圍、驅動程式、卸載功能或使用者空間介面。

網路功能速覽 #

發布日期遵循Linux 核心 Git 歷史中的主線標籤。功能版本透過KernelNewbies 版本摘要和核心網路文件進行交叉核對。

核心與使用者空間邊界 #

Linux 不提供add_route()或create_veth()之類的系統呼叫。相反地，使用者空間選擇核心控制介面，並透過通用系統呼叫存取它。尤其需要注意，Netlink 是一組通訊端協定，而不是系統呼叫。

大多數管理操作要求在管理目標網路命名空間的使用者命名空間中擁有CAP_NET_ADMIN。根據程式類型、附加點和核心版本，eBPF 操作還可能需要CAP_BPF、CAP_PERFMON或其他能力。

建議介面的變化 #

1. 早期 Linux 使用 ioctl、通訊端選項和虛擬檔案。 ifconfig、route和arp等程式發出網路裝置和路由 ioctl。/proc/sys/net提供全域調節項，而透過舊版 iptables 設定的各代防火牆使用協定特定的通訊端選項。
2. Rtnetlink 成為可擴充的網路控制平面。 Linux 2.2 透過NETLINK_ROUTE公開連結、多個位址、路由、鄰居和流量控制物件。因此，iproute2 工具（ip、bridge和tc）取代了面向 ioctl 的 net-tools 命令，用於新的設定。
3. 子系統特定的 Netlink 家族取代了固定的私有 ABI。 Generic Netlink 及相關協定允許命令和類型-長度-值屬性在不變更系統呼叫的情況下演進。nl80211 取代 Wireless Extensions，nftables 取代舊版 iptables 規則 ABI，而較新的 ethtool 操作使用 Netlink 而不是裝置 ioctl。
4. eBPF 增加了可程式化的資料平面邊界。 bpf()系統呼叫管理程式和對映，但設定仍依附加點劃分：rtnetlink 設定流量控制和既有的 XDP 附加，通訊端選項附加傳統通訊端過濾器，而 BPF 連結為受支援的掛鉤提供檔案描述元生命週期管理。
5. 新的控制平面偏好描述完整的 Netlink API。 目前的核心網路開發透過機器可讀規格記錄 Netlink 家族。應用程式應使用這些 API，要求確認和擴充確認，並僅在不存在受支援的結構化替代介面時使用 ioctl 或文字檔案解析。

如需相應 UAPI 的詳細資料，請參閱核心的Netlink 介紹、rtnetlink(7)、netdevice(7)和bpf(2)文件。

Rtnetlink #

rtnetlink 中的rt表示routing，但該介面已發展為核心的一般網路控制協定。程序開啟socket(AF_NETLINK, SOCK_RAW, NETLINK_ROUTE)並傳送RTM_*訊息。每則訊息包含struct nlmsghdr、物件特定的固定標頭，以及對齊的類型-長度-值屬性。

Rtnetlink 支援三種互動模式：

• Do request: 建立、取代、變更或刪除一個物件，並接收確認。
• Dump request: 列舉某個物件類別，例如所有連結或所有路由。核心會回傳以NLMSG_DONE結束的多部分回應。
• Multicast notification: 訂閱連結、位址、路由、鄰居、規則、流量控制及其他變更的群組。通知使用與回覆相同的物件訊息，因此程式可以維護本機快取。

受管理物件 #

RTM_NEW*不一定表示「僅建立」。旗標決定變更語義：

應用程式也應啟用NETLINK_EXT_ACK。擴充確認可以識別被拒絕的屬性、包含可讀的核心訊息，並回報原則限制。成功確認表示核心已處理該訊息；它不代表一系列獨立的 rtnetlink 要求具有交易性。

命名空間與一致性模型 #

rtnetlink 通訊端在其所屬的網路命名空間中運作。因此，大多數要求只能查看和修改該命名空間中的連結、路由、規則、鄰居和流量控制物件。連結屬性可以將裝置移到另一個命名空間，而命名空間 ID 訊息可以建立對等命名空間的參照。

變更要求通常需要在擁有目標網路命名空間的使用者命名空間中具備CAP_NET_ADMIN。當讀取要求暴露敏感的裝置或協定資訊時，也可能受到限制。

傾印不是原子快照。在多部分傾印進行期間，物件可能會變更；當接收緩衝區溢位時，多播通知可能遺失。狀態同步器應：

1. 開啟通訊端並將其繫結到必要的多播群組。
2. 使用唯一的序號要求傾印。
3. 根據序號和傳送者連接埠 ID 比對單播回覆。
4. 處理傾印期間到達的通知。
5. 偵測ENOBUFS、中斷的傾印和格式錯誤的屬性。
6. 當無法證明同步完成時，丟棄快取並重複傾印。

範圍界線 #

Rtnetlink 控制網路拓撲、定址、轉送、鄰居和流量控制，但它並不是每個網路子系統的介面：

權威的操作清單定義於include/uapi/linux/rtnetlink.h。核心也為連結、位址、路由、規則、鄰居和流量控制發布了機器可讀規格。較高階的程式應使用受維護的函式庫或 iproute2，而不是手動重現 UAPI 結構配置和屬性驗證。

使用者空間網路工具 #

Linux 沒有單一的使用者空間網路堆疊。命令列工具、原則守護程式、設定轉譯器、路由守護程式和容器外掛程式會存取不同的核心控制介面。因此，較高階的命令可能控制的是守護程式，而不是直接聯絡核心。

控制與依賴路徑 #

箭頭描述執行時控制流程，而不是套件所有權。NETLINK_ROUTE、NETLINK_NETFILTER和nl80211是透過AF_NETLINK通訊端存取的核心協定。

flowchart LR
    subgraph clients[Clients and Configuration]
        nmcli["nmcli / GUI"]
        networkctl
        netplan[Netplan]
        firewallcmd[firewall-cmd]
    end

    subgraph controllers[Daemons and Direct Utilities]
        nm[NetworkManager]
        networkd[systemd-networkd]
        wifi["wpa_supplicant / iwd"]
        firewalld
        iproute["ip / bridge / tc"]
        nft
        iw
        ethtool
        bpftool
    end

    subgraph apis[Kernel Control Interfaces]
        rtnl["NETLINK_ROUTE<br/>(rtnetlink)"]
        nfnl[NETLINK_NETFILTER]
        nl80211["nl80211<br/>(Generic Netlink)"]
        ethtoolapi["ethtool Generic Netlink<br/>or device ioctl"]
        bpfapi["bpf() syscall"]
    end

    kernel[Linux Network Kernel]

    nmcli -->|"libnm + D-Bus"| nm
    networkctl -->|"daemon IPC"| networkd
    netplan -.->|"generates configuration"| nm
    netplan -.->|"generates configuration"| networkd
    firewallcmd -->|D-Bus| firewalld

    nm -->|"internal Netlink"| rtnl
    nm -->|D-Bus| wifi
    networkd -->|sd-netlink| rtnl
    iproute -->|"internal libnetlink"| rtnl
    firewalld -->|"nftables backend"| nfnl
    nft -->|"libnftables + libnftnl"| nfnl
    wifi --> nl80211
    iw --> nl80211
    ethtool --> ethtoolapi
    bpftool -->|libbpf| bpfapi

    rtnl --> kernel
    nfnl --> kernel
    nl80211 --> kernel
    ethtoolapi --> kernel
    bpfapi --> kernel

此圖直接回答常見的nmcli依賴問題：

1. nmcli透過libnm建構要求。
2. libnm 透過D-Bus將要求傳送給NetworkManager 守護程式。
3. NetworkManager 透過自身的 Netlink 實作套用一般核心網路狀態。
4. iproute2 是相同核心 API 的獨立管理用戶端，不是 NetworkManager 與核心之間的中介層。

在 shell 自動化中，從程式呼叫ip、nft或其他 CLI 仍然有用，但長時間執行的管理器通常使用函式庫，或直接實作核心協定。直接存取可以避免解析命令輸出，並讓管理器訂閱非同步狀態通知。