产品
iptables
Linux 内核的经典防火墙工具，用于配置网络包过滤规则，功能强大但语法复杂
时间轴 (近 90 天)
10月23日
桥接网络是 Docker 的默认网络模式，容器通过虚拟网桥获得独立 IP，并通过 iptables 规则实现 NAT 和端口映射。
待验证50%
10月16日
Docker 发布的端口默认会绕过 ufw 防火墙规则，通过向 iptables 的 nat 表和 filter 表写入 DNAT 和 FORWARD 规则直接暴露端口。
待验证50%
10月16日
eBPF是Linux内核中的虚拟机，可动态挂载到网络、系统调用、跟踪点等钩子执行沙箱化字节码，相比iptables具有可编程性高、性能开销低、能获取进程级元数据的优势。
待验证50%
10月15日
更务实的自托管安全路线是在操作系统或容器层面做网络隔离（如eBPF或iptables/nftables），配合凭证代理和短期令牌，代价是部署复杂度上升。
待验证50%
全部知识事实 (4)
待验证
桥接网络是 Docker 的默认网络模式，容器通过虚拟网桥获得独立 IP，并通过 iptables 规则实现 NAT 和端口映射。
50%待验证Docker 发布的端口默认会绕过 ufw 防火墙规则，通过向 iptables 的 nat 表和 filter 表写入 DNAT 和 FORWARD 规则直接暴露端口。
50%待验证eBPF是Linux内核中的虚拟机，可动态挂载到网络、系统调用、跟踪点等钩子执行沙箱化字节码，相比iptables具有可编程性高、性能开销低、能获取进程级元数据的优势。
50%待验证更务实的自托管安全路线是在操作系统或容器层面做网络隔离（如eBPF或iptables/nftables），配合凭证代理和短期令牌，代价是部署复杂度上升。
50%