Flowtable nftables: ускоренный поток может обходить обычную точку наблюдения
Flowtables предоставляют альтернативный путь пересылки пакетов. Это важно не только для производительности, но и для интерпретации диагностики. Если поток переведён на ускоренную обработку, счётчик в привычной forwarding-цепочке может уже не описывать весь его последующий трафик.
Справочник размещает flowtable в ingress до prerouting и описывает обход классического forwarding-пути. Запись содержит параметры потока и сведения для дальнейшей пересылки. Включаются выбранные потоки через соответствующее действие, а не автоматически любой пакет, проходящий через хост.
При проектировании фиксируют, какая политика должна быть проверена до offload и какие средства наблюдают ускоренный путь. Нельзя обещать неизменную полноту журналирования по одному старому месту счёта после изменения схемы обработки. Аппаратное ускорение также требует отдельных подтверждённых возможностей устройства и ядра.
В приёмке сравнивают начальную обработку и установившийся поток, проверяют выбранные признаки offload и конечную доставку. Измеряют показатели в согласованных точках, не принимая отсутствие роста одного счётчика за отсутствие сетевой активности. Успешное создание flowtable не доказывает, что все требуемые ограничения, диагностика и наблюдаемость сохранены для ускоренного режима.
Основание — Official nft(8) HTML snapshot; exact release1.1.7 archive not obtained, разделы FLOWTABLES; flow expression; conntrack offload status. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — сохранённый HTML-справочник nft(8); это снимок изменяемой страницы, а не руководство из архива 1.1.7. Фактические версии nft, ядра и рабочие правила не проверялись; команды фильтрации не выполнялись.
