网络命名空间与容器网络底层
系统讲解容器网络的底层构件：从 Linux 网络命名空间的隔离边界、veth pair 的成对转发、Linux bridge 的二层交换，到 iptables/NAT 与路由决策，并手工搭建一套最小容器网络，最后对接 CNI 插件的落地方式。
tag
CNI
共 3 篇文章。
容器网络安全与隔离：从 CNI 到服务网格
深入解析容器网络隔离模型（bridge/host/overlay/macvlan）与网络命名空间原理，拆解 Docker 的 iptables/nftables 规则实现，剖析常见容器网络攻击面，并给出零信任容器网络（Calico/Cilium NetworkPolicy）、加密流量与 mTLS、服务网格（Istio/Linkerd）的落地路径。
Kubernetes网络模型与CNI插件深度解析
深入解析 Kubernetes 网络模型三大原则、CNI 接口规范、主流 CNI 插件（Flannel/Calico/Cilium）对比，以及 Service 实现、Ingress 控制器、Gateway API 和网络排错工具。