: String 1. 3. 2 数 数 数据 据 据类 类 类型 型 型 数据类型的声明方式和语法与 奈奡女 奫 奥 奬 奬 非常相似。例如，自然数和列表的声明如下： data Nat = Z | S Nat -- 自然数（零与后继） data List a = Nil | (::) a (List a) -- 多态列表 以上声明来自于标准库。一进制自然数要么为零（Z）， 要么就是另一个自然数的后继（S 数定义如下，同样来自标准库： -- 一进制加法 plus : Nat -> Nat -> Nat plus Z y = y plus (S k) y = S (plus k y) -- 一进制乘法 mult : Nat -> Nat -> Nat mult Z y = Z mult (S k) y = plus y (mult k y) 标准算术运算符 + 和 * 同样根据 Nat 的需要进行了重载， 它们使用上面的函数来定义。和 ::） 以及类型构造器（Nat 和 List）均属同一命名空间。不过按照约定， 数据类型和 构造器的名字通常以大写字母开头。我们可以在 奉 奤 奲 奩 女 提示符中测试这些函数： Idris> plus (S (S Z)) (S (S Z)) 4 : Nat Idris> mult (S (S (S Z))) (plus (S (S Z)) (S (S Z))) 12 : Nat 注 注 注解 解

Send (record { age = 42 : nat8 }) Send (record { name = ”Admin”; age = 42 : nat8 }) Example type Profile = record { name : text }; service : { getProfile : (nat) -> (Profile); } API v1 type type Profile = record { name : text; age : nat8 }; service : { getProfile : (nat) -> (Profile); } API v2 getProfile Send (42 : nat) Decode as () Decode as (record { name : text }) Candid: Candid: a strongly typed interface description language • Primitive types • nat, int, nat{8-64}, int{8-64}, float{32,64}, bool, text • Composite types • vec, opt, record, variant • Reference types •

本章习题 11.7. 8.7 参考数据与延伸阅读 12. 第九章、防火墙与 NAT 服务器 12.1. 9.1 认识防火墙 12.2. 9.2 TCP Wrappers 12.3. 9.3 Linux 的封包过滤软件：iptables 12.4. 9.4 单机防火墙的一个实例 12.5. 9.5 NAT 服务器的设定 12.6. 9.6 重点回顾 12.7. 9.7 本章习题 12 既然如此，我们就好好的来探索一下 Linux 的网络世界吧！首先， Linux 到底可以达成哪些网络功能呢？这可就 多着咯！不论是 WWW, Mail, FTP, DNS, 或者是 DHCP, NAT 与 Router 等等，Linux 系统都可以达到，而 且，只要一部 Linux 就能够达到上面所有的功能了！当然，那是在不考虑网络安全与效能的情况下，你可以使用一 部 Linux 主机来达成所有的网络功能。 介绍，这里不再赘言。只是需要注意的是， 若 (1)需要架设网站来上网，建议网络使用桥接模式 (bridge) ，且网络卡类型使用 Intel 的桌面计算机类型即 可。 (2)由于我们未来会教导 NAT 服务器，因此最好有两张网卡，一张使用 bridge 一张使用内网 (intnet) 较佳。 而 (3)磁盘配置建议使用 SATA 类型，且容量请给予 25GB 以上。 (4)内存至少该给予 512MB

DNAT��IPP��oI�X iptables -t nat -A PREROUTING -d 1.2.3.4/32 --dport 80 -j DNAT --to-destination 10.20.30.40:8080 • IptablesU����R�� Ø statistic�S����o���� iptables -t nat -A PREROUTING -d 1.2.3.4 --dport 25 -j DNAT --to-destination 10.20.30.40:8080 • IptablesU����>�� Ø recent�S����>��� iptables -t nat –A FOO -m recent --rcheck --seconds 3600 --reap --name BAR -j BAR Iptables�Kubernetes������ ��)�)��� Tunneling, NAT Ø DR�����L2������������ Ø Tunneling���IP���IP��������� Ø DR�Tunneling�����������IPVS Director Ø NAT���������������IPVS Director - �������� DNAT���SNAT DR Tunneling NAT IPVS�����

kernel network stack raw PREROUTING mangle PREROUTING nat PREROUTING tc ingress conntrack filter FORWARD mangle POSTROUING nat POSTROUING tc egress veth XDP的性能上限极高，可能是 TC 的 10 倍左右 raw PREROUTING mangle PREROUTING nat PREROUTING tc ingress conntrack filter FORWARD mangle POSTROUING nat POSTROUING tc egress routing XDP kernel ethernet driver kube-proxy DNAT kube-proxy SNAT worker node nodePort request backend endpoint tc eBPF NAT XDP eBPF NAT DSR 加速南北向 nodePort 访问 传统的 nodePort 转发，伴随着 SNAT的发生。而 Cilium 为 nodePort 提供了 native 和 IPIP

iptables -t nat -N ISTIO_REDIRECT iptables -t nat -A ISTIO_REDIRECT -p tcp -j REDIRECT --to-port ${PROXY_PORT} #所有进入容器的流量送入Envoy iptables -t ${table} -A PREROUTING -p tcp -j ISTIO_INBOUND iptables -t nat -A ISTIO_INBOUND ISTIO_REDIRECT #所有出去的流量送入Envoy iptables -t nat -A OUTPUT -p tcp -j ISTIO_OUTPUT iptables -t nat -A ISTIO_OUTPUT -o lo ! -d 127.0.0.1/32 -j ISTIO_REDIRECT #防止回环 iptables -t nat -A ISTIO_OUTPUT -m owner --uid-owner

至少所需要的硬件配备是如何吧！假设一台 Linux 主机，他主要的功能是 用来作为 NAT 主机，所谓的 NAT 主机也就是类似『IP 分享器』 的功能，而且用这台 NAT 主机的 PC 数并不多，那你只需要 Pentun-166, 32MB RAM, 及一块不太特殊的显示卡及网络卡也就够了！当然， 硬件的需求与你服务的对象多寡是有相当的相关性的！在这个一般家庭的 NAT 主机的环境下，你所需 要的硬件大致的需求如下： • 不含 X Window 桌上型 Linux 系 统 含 X-Window 中大型 Linux Server 中大型 Linux Server 含 X-Window 用途 家庭用 NAT 主机，或 者是小型企业用来架设 非图形接口的小型主机。 就是您用来学习 Linux ，并且打 算在该计算机上 面玩跟 X- Window 有关的 软件。 中小型企业或者是学校单位 用来作为全校的 卡应该都可以符合这个功能！ 除非你的 Linux 还必须用来 发展图形软件，否则，目前 主流显示卡接口就够了！ ( AGP 界面 ) 硬盘 硬盘空间足够将你所需 要的服务安装完毕即可！ 例如，如果单纯的 NAT 主机，那只要 640 MB 以上的硬盘即可！ 但是如果你还需要其它 的服务功能，例如 FTP, Mail 等等，那就需要大 一点。通常，一般家庭 或者是小型企业的 Linux 主机， 2~4

默认情况下，容器可以主动访问到外部网络的连接，但是外部网络无法访问到容器。 容器所有到外部网络的连接，源地址都会被NAT成本地系统的IP地址。这是使用 iptables 的源地址伪装 操作实现的。 查看主机的 NAT 规则。 $ sudo iptables -t nat -nL ... Chain POSTROUTING (policy ACCEPT) target prot opt 容器允许外部访问，可以在 docker run 时候通过 -p 或 -P 参数来启用。 不管用那种办法，其实也是在本地的 iptable 的 nat 表中添加相应的规则。 使用 -P 时： $ iptables -t nat -nL ... Chain DOCKER (2 references) target prot opt source destination 0/0 0.0.0.0/0 tcp dpt:49153 to:172.17.0.2:80 使用 -p 80:80 时： $ iptables -t nat -nL Chain DOCKER (2 references) target prot opt source destination DNAT tcp

夏）区域为 3 个，由光环新⽹运营的 亚马逊云科技（北 京）区域为 2 个）。 • (*) 在公有⼦⽹中，允许私有⼦⽹中的资源（RocketMQ 实例）进⾏出站 Internet 连接的 NAT Gateway。 • (*) 在公有⼦⽹中，Auto Scaling 组中的允许 SSH 访问的堡垒主机。默认 情况下将 部署⼀台堡垒主机，此数⽬可配置，最多启动 4 台。通过堡垒主 机访问私有⼦⽹ 账号。如果您在 AMAZON WEB SERVICES 其他区域使⽤此⽅案，请点击此处 2. 确保您的账⼾下的 Elastic IP ，VPC ， EC2 ，Auto Scaling Group，NAT Gateway，EBS 等没有达到上限。如果某⼀项您已经达到上限，请向后台提交 ⼯单选择申请提⾼限制。 3. 如果在该区域内您还没有密钥对，请在 Amazon EC2 控制台的导航窗格中， 请确保您在不同可⽤区中已有⾄少两个公有⼦⽹和三个私有⼦⽹。 Page 7 of 21 • 确保 DHCP 选项中开启了域名选项配置集。 • 确保私有⼦⽹的路由表中存在 NAT ⽹关或 NAT 实例的路由，使得其拥有 出站 Internet 连接。 • 您必须创建堡垒主机及其关联的安全组以实现⼊站 SSH 访问 快速部署 本文的步骤主要针对在运行在由西云数据运营的亚马逊云科技（宁夏）区域或由光环

xlarge 实例。 弹性 IP (EIP) 0 到 1 每个帐户 5 个 EIP 要在高可用性配置中置备集群，安装程序将为区域中 的每个可用区创建一个公共和专用子网。每个专用子 网都需要 NAT 网关，每个 NAT 网关需要单独的弹性 IP。查看 AWS 区域图来确定每个区域有多少个可用 区。要利用默认高可用性，请在至少含有三个可用区 的区域安装集群。要在有超过五个可用区的区域安装 集群，您必须提高 个内部和外部网络负载均衡器，并为路由器创建一个 典型的弹性负载均衡器。使用类型 LoadBalancer 部署更多 Kubernetes Service 对象将创建额外的负 载均衡器。 NAT 网关 5 每个可用区 5 个 集群在每个可用区中部署一个 NAT 网关。 弹性网络 接口 (ENI) 至少 12 个 每个区域 350 个 默认安装创建 21 个 ENI，并为区域中的每个可用区创 建一个 ENI。例如，us-east-1 因为安装程序无法了解您现有子网中还有哪些其他组件，所以无法选择子网 CIDR 。您必须为安装集群的 子网配置网络。 4.7.3.1. 使用 使用 VPC 的要求 的要求 安装程序不再创建以下组件： 互联网网关 NAT 网关 子网 路由表 VPCs VPC DHCP 选项 VPC 端点 注意 注意 安装程序要求您使用由云提供的 DNS 服务器。不支持使用自定义 DNS 服务器，并导致安 装失败。 如果您使用自定义