基於 Linux 路由表的訪問控制實現：繞過 Netfilter 實現並行 ACL 匹配

傳統 iptables 基於 Netfilter 串行匹配，多核時代性能受限。本文提出利用 Linux 路由表（FIB）擴展實現訪問控制：將源 IP 與目的 IP 路由項關聯，通過 Action 節點表達「源→目的」許可/拒絕/NAT 等動作，支持無鎖並行查找，大幅提升轉發性能。

核心動機

• iptables 串行匹配，規則順序決定性能，難以並行化。
• 路由表天然支持最長前綴匹配（LPM），查找複雜度 O(log N)，且 RCU 無鎖讀取適合多核。
• 將 ACL 建模為「角色（源 IP）→ 資源（目的 IP）」的授權關系，映射到路由項間的 Action 關聯。

數據結構設計

struct nf_action_node {
    struct hlist_node nf_dst;      // 掛入目的路由項 Action 鏈
    struct hlist_node nf_src;      // 掛入源路由項 Action 鏈
    struct nf_fib_node *dst_node;  // 反向指針，優化查找
    struct nf_fib_node *src_node;
    int extra;                     // 擴展字段（動作類型、參數等）
};

• 每個 Action 同時掛載在源路由項與目的路由項的 hlist 中，形成雙向關聯。
• 反向指針避免查找時再次遍歷 hlist，降低延遲。

匹配算法流程

1. 數據包進入 → 提取源 IP、目的 IP。
2. 並行查找源 IP 路由項（LPM）與目的 IP 路由項（LPM）。
3. 遍歷源路由項的 Action 鏈，檢查是否關聯到目的路由項（通過 dst_node 指針直接比對）。
4. 命中 → 執行 Action（ACCEPT/DROP/NAT/LOG...）；未命中 → 默認 Action。

優勢總結

適用場景

• 高性能轉發設備（路由器、負載均衡器、防火牆）數據面 ACL。
• 需百萬級規模規則、微秒級延遲的場景。
• 控制面下發規則轉換為路由項 + Action 節點，數據面零拷貝查找。

此設計展示了「將業務邏輯映射到內核核心數據結構」的系統思維，是高性能網絡軟件開發的經典范式。