Tổng kết module Linux Network Internals

TL;DR: Module 1 dựng bốn mảnh plumbing kernel mà mọi mạng container đều ghép: (1) path gói qua stack (sk_buff, softirq, netfilter hooks), (2) device ảo (veth / tun / tap), (3) Linux bridge (switch L2, FDB, docker0), (4) iptables tables/chains trên đúng hook. Docker không phát minh mạng riêng — nó script bốn mảnh đó. Bookmark trang này: cheat sheet lệnh, glossary, và self-assessment trước khi sang netns + SNAT/DNAT ở Module 2.

Đã đi qua những gì

Bạn bắt đầu từ xương sống: gói vào host không “tới thẳng” process — NIC ring → softirq/NAPI → sk_buff → protocol + netfilter → socket receive buffer. Drop khi quá tải có thể ở ring, softnet backlog, rule netfilter, hoặc rcvbuf đầy — cùng một timeout app, bốn hướng fix khác nhau.

Tiếp theo là cổng vào stack: veth pair như cáp hai đầu (nền container), tun mang IP (L3) cho VPN process, tap mang Ethernet (L2) cho VM. Rồi bridge nối nhiều port (thường đầu host của veth) thành LAN ảo, học MAC qua FDB — đúng thứ Docker gọi bridge network. Cuối cùng iptables/netfilter: table filter/nat, chain PRE/INPUT/FORWARD/OUTPUT/POST, và rule Docker inject (DOCKER-USER, MASQUERADE) — nền đọc iptables -L trước khi đào SNAT/DNAT.

Bốn mảnh trên path gói (khái niệm):

flowchart LR
    NIC["NIC / veth ring"] --> STK["Stack + sk_buff"]
    STK --> DEV["Virtual devices"]
    DEV --> BR["Bridge L2"]
    BR --> NF["Netfilter<br/>filter + NAT"]
    NF --> SOCK["Socket / egress"]

🗺️ Cheat sheet

ip — link, addr, route, stats

Quy tắc veth: luôn kiểm tra cả hai đầu UP và peer còn tồn tại trước khi đổ lỗi app/iptables.

Bridge — FDB

Drop / socket (bài stack)

iptables — tables & survey Docker

flowchart LR
    IN["Packet in"] --> PRE["PREROUTING"]
    PRE --> RT{"Local or forward?"}
    RT -->|"local"| INPUT["INPUT"]
    RT -->|"forward"| FWD["FORWARD"]
    INPUT --> LOCAL["Host process"]
    FWD --> POST["POSTROUTING"]
    APP["Host app send"] --> OUT["OUTPUT"]
    OUT --> POST

Hai câu tách lỗi ngay:

1. Container ping peer cùng bridge ≈ path L2 (veth + FDB) — có thể không đi FORWARD L3.
2. Container ra Internet ≈ filter FORWARD (+ DOCKER*) + nat POSTROUTING — đừng soi INPUT trước.

Bản đồ 4 mảnh ↔ Docker

📖 Glossary module

⚠️ Pitfall tổng hợp

• "Timeout app = mạng hỏng / chỉ cần soi iptables." Drop còn ở ring, softnet, rcvbuf — cần ip -s link, softnet_stat, ss, và counter iptables.
• "Chỉ ip link set một đầu veth." Pair có hai admin state; một đầu DOWN = traffic im dù IP “đẹp”.
• "tun và tap thay nhau được." L3 vs L2 — bridge Ethernet cần tap/veth, VPN IP-only thường tun.
• "Gán IP lên port slave trên bridge." Endpoint/IP thường nằm đầu “máy”; port master br0 thường không cần IP (gateway gắn trên bridge device nếu cần).
• "Container không ra net → chặn ở INPUT / UFW host." Path ra ngoài là FORWARD + nat POSTROUTING, không phải INPUT sshd.
• "Ping peer trên docker0 fail = iptables chắc chắn." Trước hết: cả hai veth UP, master bridge, FDB/ARP — L2 gãy trước khi kể FORWARD.
• "Docker có network stack riêng." Cùng softirq/sk_buff/hooks; Docker chỉ tạo device, bridge, và inject rule.

✅ Self-assessment

Bạn đã đạt module này nếu trả lời được:

• Trace hành trình gói tin qua Linux network stack từ NIC interrupt tới application socket
  • Nếu chưa: đọc lại 01 — Linux network stack, mục RX path, sk_buff, netfilter hooks, và bảng drop.
• Explain virtual network devices (veth, tun/tap) và khi nào dùng từng loại
  • Nếu chưa: đọc lại 02 — Virtual network devices, bảng container / VPN / VM và pitfall một đầu DOWN.
• Implement Linux bridge nối các network interface và quan sát MAC learning
  • Nếu chưa: đọc lại 03 — Linux bridge, lab tạo br0 + gắn veth, và bridge fdb show.
• Explain iptables tables/chains và cách Docker map rule vào netfilter hooks
  • Nếu chưa: đọc lại 04 — iptables và netfilter, bản đồ PRE/INPUT/FORWARD/POST và survey chain DOCKER*.

Bài tiếp theo — Module 2

Bạn đã có bốn mảnh Lego. Module 2 ghép chúng trong network namespace: netns → veth nối container–host → bridge network tay → container ra Internet (SNAT) → publish port (DNAT) → debug.

Bắt đầu Module 2: Tổng quan — Container Networking