目录
[1. 数据包接收：从物理层到内核内存](#1. 数据包接收：从物理层到内核内存)
[1.1 网卡接收的物理过程](#1.1 网卡接收的物理过程)
[1.2 硬中断与NAPI调度](#1.2 硬中断与NAPI调度)
[1.3 软中断与数据包的netpoll分发](#1.3 软中断与数据包的netpoll分发)
[2. 网络层处理：netfilter与路由决策](#2. 网络层处理：netfilter与路由决策)
[2.1 Netfilter钩子点与iptables链的映射](#2.1 Netfilter钩子点与iptables链的映射)
[2.2 连接跟踪与状态匹配](#2.2 连接跟踪与状态匹配)
[2.3 路由决策与本地递交](#2.3 路由决策与本地递交)
[3. 发送路径：从应用层到网卡](#3. 发送路径：从应用层到网卡)
[4. 路径分析在排障中的实际应用](#4. 路径分析在排障中的实际应用)
[4.1 高负载下的软中断CPU占用](#4.1 高负载下的软中断CPU占用)
[4.2 Netfilter规则链的遍历开销](#4.2 Netfilter规则链的遍历开销)
[4.3 conntrack表的溢出](#4.3 conntrack表的溢出)
[5. 结语](#5. 结语)
1. 数据包接收：从物理层到内核内存
1.1 网卡接收的物理过程
数据包以电信号到达网卡接收端口，网卡硬件在其内部缓冲区中暂存原始比特流。在千兆及以上以太网中，网卡硬件进行帧校验序列（FCS）验证，丢弃校验错误的帧。
网卡通过DMA（直接内存访问）将帧数据直接写入内核预分配的主存环形缓冲区中。DMA是理解高性能网络的关键------数据拷贝操作不需要CPU参与，数据直接在PCIe总线上从网卡移动到内存。CPU只负责在数据到达后处理协议栈，拷贝过程由网卡硬件与内存控制器协同完成。
环形缓冲区的容量在驱动初始化时分配，通常包含多个描述符，每个描述符指向一个固定大小的内核内存页。当流量突发超过环形缓冲区的处理速度，新到达的帧会因没有空闲描述符而被网卡直接丢弃------这发生在操作系统甚至不知道数据包存在之前。网卡统计计数器中的rx_dropped指示此类丢失，ethtool -S可查询这些硬件计数器，是区分网卡硬件丢包和内核协议栈丢包的首要步骤。
1.2 硬中断与NAPI调度
数据到达环形缓冲区后，网卡触发硬中断通知CPU。中断处理程序不与数据量有关------高流量下每个包都触发一次硬中断将使CPU完全被中断处理占据（中断风暴）。NAPI（New API，新API）通过混合中断与轮询解决这个问题。
在NAPI模式下，第一个数据包到达触发硬中断。中断处理程序将该网卡接口挂入CPU的软中断轮询队列，然后关断网卡的中断请求线（IRQ）。此后数据的接收不再由中断驱动，而是由内核周期性通过软中断（NET_RX_SOFTIRQ）轮询该网卡的环形缓冲区，批量取出所有已到达的数据包。当环形缓冲区清空后，内核重新启用该网卡的中断，退出轮询模式。
NAPI的批处理在高吞吐量下将中断开销从每包一次压缩为每批一次。当流量持续满载时，内核几乎始终处于轮询模式，CPU时间全部用于处理协议栈而非响应中断。
1.3 软中断与数据包的netpoll分发
软中断处理程序从环形缓冲区取出数据包后，将其封装为sk_buff结构------Linux内核中统一的数据包描述符。sk_buff包含了数据包的协议头部指针、数据长度、接收网口、时间戳，以及贯穿整个协议栈处理过程中的元数据。
软中断处理程序调用netif_receive_skb()将sk_buff分发进入协议栈。这个函数首先遍历所有已注册的协议处理程序，根据以太网帧类型（EtherType）字段将数据包派发给对应的协议层入口。IP协议的数据包在此进入ip_rcv()，ARP协议的数据包进入arp_rcv()，以此类推。
2. 网络层处理：netfilter与路由决策
2.1 Netfilter钩子点与iptables链的映射
Netfilter是Linux内核中用于数据包过滤、网络地址转换和修改的框架。它在数据包穿越协议栈的特定路径上定义了五个钩子点。数据包到达时依次经过这些钩子点，每个钩子点上可以注册多个钩子函数（通过iptables规则定义），按优先级顺序执行。
PREROUTING是数据包进入IP层后经过的第一个钩子点，在路由决策之前。目的NAT（DNAT）在此阶段修改目的地址，使后续的路由决策指向修改后的目标。
路由决策根据数据包的目的IP地址和内核路由表决定包的走向：目的IP是本地地址则包进入本地输入流程，目的IP非本地而主机启用了IP转发则包进入转发流程。
INPUT钩子点在路由决策之后、本机上层协议栈处理之前。所有发往本机进程的包在此经过过滤。iptables的INPUT链规则在此执行------若规则动作为DROP，数据包在此被丢弃，上层进程将无感知。
FORWARD钩子点用于转发包。所有经过本机但目标非本机的数据包在此经过过滤。iptables的FORWARD链在此执行。
POSTROUTING是所有离开本机（本地产生或转发）的数据包在发出前的最后一个钩子点。源NAT（SNAT）和MASQUERADE在此处修改源地址。
OUTPUT钩子点处理本机进程产生的发出的数据包，在路由决策之前，允许过滤或NAT修改后的重路由。
这五个钩子点形成一条不可绕过的闭环。所有IPv4数据包的接收和转发都必须顺序遍历这些钩子点，每个钩子点上注册的每条iptables规则都逐次执行，直到包被接受或丢弃。
2.2 连接跟踪与状态匹配
Netfilter的连接跟踪子系统（nf_conntrack）维护所有活动连接的状态信息。每个数据包到达Netfilter时，连接跟踪检查其五元组，属于已有连接则更新状态超时，新连接则创建跟踪条目。
连接跟踪的存在使iptables可以基于连接状态进行过滤。状态匹配中ESTABLISHED匹配属于已有连接的数据包，RELATED匹配与已有连接关联的新连接请求（如FTP数据连接的主动模式），NEW匹配新建的连接请求，INVALID匹配不属于任何已知连接且不符预期的数据包。
典型的有状态防火墙规则在INPUT链的顶部放行所有ESTABLISHED和RELATED数据包------因为这些包属于已经允许建立的连接的后续通信，再逐包检查规则只会浪费CPU。仅对NEW状态的SYN包遍历完整的规则链执行访问控制。这是有状态防火墙相对于无状态包过滤器的本质优势------将大部分数据包的过滤决策压缩到一次连接跟踪哈希查询。
2.3 路由决策与本地递交
路由决策查询内核的FIB（转发信息库），根据目的IP地址的最长前缀匹配选择出口网口和下一跳。若包目标是本地地址，路由引擎将包传递至INPUT钩子点后进入本地递交流程。
本地递交的第一步是检查IP头的协议字段，将包派发到对应的传输层协议处理函数------TCP进入tcp_v4_rcv()，UDP进入udp_rcv()。传输层按端口号查找对应套接字，将数据放入套接字接收缓冲区，唤醒阻塞在recvfrom()或read()上的应用进程。
如果目标端口没有监听进程，内核回复ICMP端口不可达（UDP）或RST复位（TCP），不创建静默丢包。
3. 发送路径：从应用层到网卡
应用进程调用send()时，数据从用户缓冲区拷贝到内核空间的套接字发送缓冲区。TCP在允许的条件下（拥塞窗口和接收窗口均有空间，Nagle算法条件满足）构造TCP段，添加TCP头，交由IP层。IP层构造IP头（可能执行分片），通过路由决策选择出口网口，经过Netfilter的OUTPUT和POSTROUTING钩子点。最终封装链路层帧头，放入网卡发送环形缓冲区。网卡通过DMA取走数据帧，在物理链路上发出，完成后触发发送完成中断释放SKB内存。
发送路径上的主要瓶颈在套接字发送缓冲区的backpressure------若应用层发送速度快于网卡可发出的速度，发送缓冲区满，send()调用阻塞或返回EAGAIN，实现自然的流控。
4. 路径分析在排障中的实际应用
4.1 高负载下的软中断CPU占用
在多核服务器上，网卡的硬中断和软中断可以被绑定到特定CPU核心。irqbalance服务或手动写入/proc/irq/.../smp_affinity可以指定中断亲和性。当单核CPU被软中断占满时，表现为si（软件中断）CPU占用率达100%而其他核心空闲，该网卡的数据包处理吞吐量受限于单个核心的处理能力。
现代多队列网卡（支持RSS的多队列）将不同数据流分散到不同的接收队列，每个队列绑定独立的硬中断和软中断处理核心，将处理负载并行化。接收数据包导向算法（RPS）和接收流导向（RFS）在软件层面进一步将数据包按照五元组哈希分发到多核处理。
4.2 Netfilter规则链的遍历开销
iptables规则是线性遍历的。一个包含数百条规则的INPUT链，对每个新建连接的SYN包均从上到下逐条匹配，直到命中最终策略。每个包的CPU开销随规则数线性增长。在高连接速率场景下（如DDoS攻击期间大量SYN到达），规则遍历本身可能成为CPU瓶颈------CPU耗在逐条匹配规则而非处理后续的网络协议栈。
ipset配合iptables将大规模IP列表的查找从O(n)线性遍历压缩为哈希查找O(1)，是缓解规则遍历开销的核心手段。nftables作为iptables的继任者，在规则引擎层面上做了优化------将规则链编译为字节码在内核虚拟机中执行，匹配效率更高。
4.3 conntrack表的溢出
nf_conntrack跟踪所有活动连接，连接数受限于系统内核参数nf_conntrack_max设定的最大条目。当并发连接数超出该上限，新连接的数据包无法创建跟踪条目------即使iptables规则允许该连接，连接跟踪失败导致包被丢弃。
诊断方法是通过conntrack -S或/proc/sys/net/netfilter/nf_conntrack_count查看当前跟踪连接数及其与上限的比值。在TCP中间件（如负载均衡器或代理）部署中，频繁的连接建立和关闭可能使conntrack表在高峰期接近上限，造成新建连接间歇性失败。适当提高限制并监控内存占用，或对不需要NAT的方向使用NOTRACK目标跳过连接跟踪，是已知的缓解措施。
5. 结语
Linux网络数据包从网卡到达用户进程的路径，是一条由硬件中断、DMA、软中断轮询、Netfilter规则链、路由查找和协议栈套接字分发组成的处理流水线。理解这条路径上每个阶段的触发条件、缓冲区限制和处理机制，可以将看似神秘的"吞吐量上不去"或"延迟突增"问题分解到具体处理阶段。硬中断与NAPI轮询的切换决定了高负载下的数据接收模式；Netfilter钩子点和iptables规则顺序决定了数据包在过滤和NAT变换中的实际行为；conntrack表和规则遍历的CPU开销决定了高并发场景下数据包的处理上限。这种分段分析的方法，是Linux网络性能调优与故障诊断的基本框架。
参考文献
1 Benvenuti, C. Understanding Linux Network Internals. O'Reilly Media, 2006.
2 Russell, R., & Welte, H. Linux netfilter Hacking HOWTO. https://netfilter.org, 2002.
3 Linux kernel source tree: net/core/dev.c, net/ipv4/ip_input.c, net/netfilter/. https://kernel.org.
4 The Linux Foundation. Kernel networking documentation. https://docs.kernel.org/networking/